Aperçu du Système d’authentification¶

Base de données d’authentification¶

Le nouveau système d’authentification stocke les configurations d’authentification dans un fichier de base de données SQLite situé, par défaut, sous:

<user home>\.qgis2\qgis-auth.db

Cette base de données d’authentification peut être déplacée entre les différentes installations de QGIS sans affecter les autres préférences utilisateur, car elle est complètement indépendante des paramètres de QGIS. Un ID de configuration (une chaîne aléatoire de 7 caractères alphanumériques) est généré lors du stockage de la configuration dans la base de données. Cela permet à l’ID d’être stocké dans des composants plein texte (tels que des projets, des plugins ou des fichiers de paramètres), sans que les informations d’identification y figurent.

Mot de passe principal¶

Pour stocker ou accéder à des informations sensibles dans la base de données, l’utilisateur doit renseigner un mot de passe principal. Un nouveau mot de passe principal est requis et vérifié lors de la première écriture de toute donnée cryptée dans la base de données. Ce n’est que lors de l’accès aux données sensibles que le mot de passe principal est demandé à l’utilisateur, il est alors mis en cache pour le reste de la session (jusqu’à la fermeture de l’application), sauf si l’utilisateur choisi délibérément d’effacer le mot de passe en cache. Certains cas d’utilisation du système d’authentification ne nécessitent pas de saisir le mot de passe principal, comme par exemple lorsque l’on sélectionne une configuration d’authentification existante, ou lorsque l’on applique une configuration à un serveur (comme lors de l’ajout d’une couche WMS).

Figure Master password 1

Entrer un nouveau mot de passe principal

Gestion du mot de passe principal¶

Une fois défini, le mot de passe principal peut être redéfini; le mot de passe courant sera demandé pour pouvoir en définir un nouveau. Pendant cette procédure, une option permet de générer une sauvegarde complète de la base de données.

Figure Master password 2

Réinitialiser le mot de passe principal

Si l’utilisateur oublie le mot de passe principal, il n’existe aucun moyen de le retrouver ou de le contourner. Il n’est pas non plus possible de retrouver des informations cryptées dans le mot de passe principal.

Si un utilisateur saisi sont mot de passe trois fois de manière incorrecte, l’interface propose d’effacer le contenu de la base.

Figure Master password 3

Demande de mot de passe après trois tentatives invalides

Configuration de l’authentification¶

Les configurations d’authentification peuvent être gérées dans Configurations de l’onglet Authentification du dialogue Options de QGIS (Paramètres ‣ Options).

Figure Configuration editor 1

Editeur de configurations

Utilisez le bouton pour ajouter une nouvelle configuration, le bouton pour supprimer des configurations, et le bouton pour modifier des configurations existantes.

Figure Configuration editor 2

Ajouter une configuration avec l’éditeur de configuration

Les mêmes opérations que pour la gestion des configurations d’authentification (Ajouter, Modifier et Supprimer) sont disponibles pour la configuration de la connexion à un service, comme par exemple la configuration de la connexion à un service OWS. Des boutons dédiés à ces actions dans le sélecteur de configuration permettent de gérer les configurations présentes dans la base d’authentification. Il n’est pas nécessaire de se rendre dans configurations de l’onglet Authentification des options de QGIS, sauf si vous avez besoin de gérer les configurations de manière plus complète.

Figure Configuration editor 3

Boite de dialogue de connexion WMS avec les boutons de configuration de l’authentification [Ajouter], [Editer], et [Supprimer]

Lors de la création ou de la modification d’une configuration d’authentification, les informations à fournir sont un nom, une méthode d’authentification et toute autre informatique requise par la méthode (Pour d’avantage d’information sur les types d’authentification supportés, voir Méthodes d’authentification).

Méthodes d’authentification¶

Les authentifications disponibles sont fournies par les extensions C ++ de la même manière que les plugins de fournisseur de données sont pris en charge par QGIS. Le procédé d’authentification qui peut être sélectionné est relatif à l’accès à la ressource p. Ex. HTTP (S) ou à la base de données par le provider, et s’il y a un support dans le code QGIS et dans un plugin. En tant que tel, certaines extensions d’authentification peuvent ne pas être applicables partout où un sélecteur de configuration d’authentification est utilisé. Vous pouvez accéder à la liste des plugins d’authentification disponibles et leurs ressources / fournisseurs compatibles, en allant dans Préférences– > Options et, dans Authentification, cliquez sur le bouton Extensions installées.

Figure Authentication methods 1

Extensions d’authentification disponibles

Des extensions peuvent être créés pour les nouvelles méthodes d’authentification sans qu’il soit nécessitent de recompiler QGIS. Puisque le support des extensions est actuellement en C ++ (depuis QGIS 2.12), seul QGIS devra être redémarré pour que le nouveau plugin soit disponible. Assurez-vous que votre extension est compilée avec la même version cible de QGIS .

Figure Authentication methods 2

Configuration Authentification basique HTTP

Figure Authentication methods 3

Configuration Authentification par cheminement dans l’IGC

Figure Authentication methods 4

Configuration Authentification IGC PKCS#12

Figure Authentication methods 5

Configuration Certificat d’identité stocké dans une IGC

Utilitaire et Mot de passe principal¶

A partir du menu Options (Préférences‣ Options) , dans l’onglet Authentification , plusieurs actions permettent de gérer le mot de passe principal, la base de données et les configurations d’authentification:

Figure configuration utilities 1

Menu du bouton Utilitaires

• Input master password — Opens the master password input dialog, independent of performing any auth db command. Clear cached master password—Unsets the master password if it has been set via input dialog. Reset master password—Opens a dialog to change the master password (the current password must be known) and optionally back up the current database.

• Clear cached authentication configurations — Clears the internal lookup cache for configurations used to speed up network connections. This does not clear QGIS’s core network access manager’s cache, which requires a relaunch of QGIS.

• Reset master password - Replaces the current master password for a new one. The current master password will be needed prior to resetting and a backup of database can be done.

• Remove all authentication configurations — Clears the database of all configuration records, without removing other stored records.

• Erase authentication database — Schedules a backup of the current database and complete rebuild of the database table structure. These actions are scheduled for a later time, so as to ensure other operations like project loading do not interrupt the operation or cause errors due to a temporarily missing database.

  Figure configuration utilities 2

  

  Menu d’effacement de la base de données

Utiliser les configurations d’authentification¶

En règle générale, une configuration d’authentification peut être sélectionnée par une boîte de dialogue de configuration pour des services réseau (tels que WMS). Toutefois, le widget de sélection de configuration peut être intégré à chaque fois que l’authentification est nécessaire dans QGIS ainsi que dans les les plugins PyQGIS ou C ++ tiers.

Lorsque vous utilisez le sélecteur, Pas d’authentification est affiché dans le menu contextuel lorsque rien n’est sélectionné ainsi que lorsqu’il n’y a aucune configuration à choisir ou quand une configuration précédemment affectée ne peut plus être trouvée dans la base de données. Lorsqu’une configuration est choisie, les champs Méthode et Id sont en lecture seule et fournissent respectivement une description de la méthode d’authentification et de l’ID de la configuration .

Figure Authentication configurations 1

Sélecteur de configuration d’authentification sans sélection de configuration

Figure Authentication configurations 2

Sélecteur de configuration d’authentification avec une sélection choisie

Liaisons Python¶

Toutes les classes et les fonctions publiques ont des liaisons sip, sauf QgsAuthCrypto, car la gestion du cryptage du mot de passe principal et du cryptage de la base de données auth doit se faire par l’application principale, et non via Python. Voir Impératifs de sécurité concernant l’accès Python.