Intérogations autour du portail SSO

[Lemalou]

Discuss

Salut,
Tout d’abord un grand merci pour cet outil incroyable qu’est Yunohost, j’auto-héberge plein de trucs depuis quelques mois, c’est génial

J’ai une question concernant le portail SSO et je me demande si j’ai bien tout compris, car je ne saisis pas bien son intérêt avec la plupart des applis.

Je m’explique : j’installe par exemple Nextcloud et je configure les utilisateurs autorisés via la section « Groupes/comptes autorisés » de YNH. Grâce au connecteur LDAP pré-configuré dans Nextcloud, mes utilisateurs arrivent déjà connectés sur l’appli, c’est top.
Sauf qu’utiliser Nextcloud ça signifie bien souvent d’installer l’appli mobile ou le client de synchro PC. Et là, (si j’ai bien compris) la solution pour que ça fonctionne,c’est de modifier “Groupes/comptes autorisés” pour autoriser “Visitors”, et donc bypass complètement le portail SSO en exposant toute l’appli sur le web.

Et quand je regarde les applis les plus populaires dans le store Yunohost, je ne vois presque que des app pour lesquelles l’ouverture à “Visitors” me semble quasi obligatoire (vaultwarden, jellyfin, immich, Joplin, Navidrome,…) car généralement utilisés avec des clients pc/mobile.

Je me doute que chacun a un usage différent de YNH, et que si on utilise les applis installées sur YNH uniquement via le web, ça reste super utile. Mais du coup je me demande s’il ne serait pas possible d’utiliser le portail SSO pour sécuriser l’accès web des applis (ça me parait chouette pour réduire la surface d’attaque), tout en continuant d’exposer les points d’API et autres URLs strictement nécessaires au fonctionnement des clients PC/mobiles de chaque appli ?

J’espère avoir été clair, merci par avance pour vos réponses !

[Aleks]

Yes, c’est clairement une limitation “pas ouf” du système actuel et connu depuis pas mal de temps. C’est lié au fait que sous le capot, on utilise une techno de SSO/authentification assez simpliste, et que pour que l’auth se passe bien via mobile ou app de bureau, il faut un truc comme OIDC ou SAML. En fait le challenge est moins de coder le truc que tout ce qui va autour : comment ça s’insère dans le projet, et comment on transitionne le projet et toutes les apps de catalogue sans passer par une phase où tout est cassé du jour ou lendemain et où il faut réparer les apps au cas par cas

Bref, il se trouve qu’on a eu récemment une confirmation d’une subvention pour financer du taf la dessus, ce qui sécurise que ça devrait arriver dans “un futur par trop lointain”

[Lemalou]

Merci pour ton retour et cette bonne nouvelle ! J’avais peur d’être passé à côté d’un truc, je comprends mieux la problématique En tout cas rien de bien gênant, on patientera le temps qu’il faudra !