Aperçu du Système d’authentification¶

Base de données d’authentification
Mot de passe principal
- Gestion du mot de passe principal
Configuration de l’authentification
Méthodes d’authentification
Utilitaire et Mot de passe principal
Utiliser les configurations d’authentification
Liaisons Python

../../../_images/auth-system-overview.png

Anatomie du Système d’authentification¶

Base de données d’authentification ¶

Le nouveau système d’authentification stocke les configurations d’authentification dans un fichier de base de données SQLite situé, par défaut, sous <user home>/.qgis3/qgis-auth.db.

Cette base de données d’authentification peut être déplacée entre les différentes installations de QGIS sans affecter les autres préférences utilisateur, car elle est complètement indépendante des paramètres de QGIS. Un ID de configuration (une chaîne aléatoire de 7 caractères alphanumériques) est généré lors du stockage de la configuration dans la base de données. Cela permet à l’ID d’être stocké dans des composants plein texte (tels que des projets, des plugins ou des fichiers de paramètres), sans que les informations d’identification y figurent.

Note

Le dossier contenant la base qgis-auth.db peut être défini dans la variable d’environnement QGIS_AUTH_DB_DIR_PATH, ou dans la ligne de commande utilisée lors du lancement avec l’option --authdbdirectory .

Mot de passe principal ¶

Pour stocker ou accéder à des informations sensibles dans la base de données, l’utilisateur doit renseigner un mot de passe principal. Un nouveau mot de passe principal est requis et vérifié lors de la première écriture de toute donnée cryptée dans la base de données. Ce n’est que lors de l’accès aux données sensibles que le mot de passe principal est demandé à l’utilisateur, il est alors mis en cache pour le reste de la session (jusqu’à la fermeture de l’application), sauf si l’utilisateur choisi délibérément d’effacer le mot de passe en cache. Certains cas d’utilisation du système d’authentification ne nécessitent pas de saisir le mot de passe principal, comme par exemple lorsque l’on sélectionne une configuration d’authentification existante, ou lorsque l’on applique une configuration à un serveur (comme lors de l’ajout d’une couche WMS).

../../../_images/auth-password-new_enter.png

Entrer un nouveau mot de passe principal¶

Note

Un chemin vers un fichier contenant le mot de passe principal peut être paramétré au moyen de la variable d’environnement suivante, QGIS_AUTH_PASSWORD_FILE.

Gestion du mot de passe principal ¶

Une fois défini, le mot de passe principal peut être redéfini; le mot de passe courant sera demandé pour pouvoir en définir un nouveau. Pendant cette procédure, une option permet de générer une sauvegarde complète de la base de données.

../../../_images/auth-password-reset.png

Réinitialiser le mot de passe principal¶

Si l’utilisateur oublie le mot de passe principal, il n’existe aucun moyen de le retrouver ou de le contourner. Il n’est pas non plus possible de retrouver des informations cryptées dans le mot de passe principal.

Si un utilisateur saisi sont mot de passe trois fois de manière incorrecte, l’interface propose d’effacer le contenu de la base.

../../../_images/auth-password-invalid-3times.png

Demande de mot de passe après trois tentatives invalides¶

Configuration de l’authentification ¶

Les configurations d’authentification peuvent être gérées dans Configurations de l’onglet Authentification du dialogue Options de QGIS (Paramètres ‣ Options).

../../../_images/auth-editor-configs2.png

Editeur de configurations¶

Utilisez le bouton pour ajouter une nouvelle configuration, le bouton pour supprimer des configurations, et le bouton pour modifier des configurations existantes.

../../../_images/auth-config-create_authcfg-id.png

Ajouter une configuration avec l’éditeur de configuration¶

Les mêmes opérations que pour la gestion des configurations d’authentification (Ajouter, Modifier et Supprimer) sont disponibles pour la configuration de la connexion à un service, comme par exemple la configuration de la connexion à un service OWS. Des boutons dédiés à ces actions dans le sélecteur de configuration permettent de gérer les configurations présentes dans la base d’authentification. Il n’est pas nécessaire de se rendre dans configurations de l’onglet Authentification des options de QGIS, sauf si vous avez besoin de gérer les configurations de manière plus complète.

../../../_images/auth-selector-wms-connection.png

Fenêtre de connexion WMS avec les boutons de configuration de l’authentification Ajouter, Editer, et Supprimer¶

Lors de la création ou de la modification d’une configuration d’authentification, les informations à fournir sont un nom, une méthode d’authentification et toute autre informatique requise par la méthode (Pour d’avantage d’information sur les types d’authentification supportés, voir Méthodes d’authentification).

Méthodes d’authentification ¶

Les authentifications disponibles sont fournies par les extensions C ++ de la même manière que les extensions de fournisseur de données sont prises en charge par QGIS. Le procédé d’authentification qui peut être sélectionné est relatif à l’accès à la ressource p. ex. HTTP(S) ou à la base de données par le provider, et s’il y a un support dans le code QGIS et dans une extension. En tant que telles, certaines extensions d’authentification peuvent ne pas être applicables partout où un sélecteur de configuration d’authentification est utilisé. Vous pouvez accéder à la liste des extensions d’authentification disponibles et leurs ressources / fournisseurs compatibles, en allant dans Préférences– > Options et, dans l’onglet Authentification, cliquez sur le bouton Extensions installées**.

../../../_images/auth-method-listing.png

Extensions d’authentification disponibles¶

Des extensions peuvent être créés pour les nouvelles méthodes d’authentification sans qu’il soit nécessitent de recompiler QGIS. Puisque le support des extensions est actuellement en C ++ (depuis QGIS 2.12), seul QGIS devra être redémarré pour que le nouveau plugin soit disponible. Assurez-vous que votre extension est compilée avec la même version cible de QGIS .

../../../_images/auth-config-create_basic-auth.png

Configuration Authentification basique HTTP¶

../../../_images/auth-config-create_esritoken.png

ESRI Token authentication configs¶

../../../_images/auth-config-create_oauth2.png

OAuth2 authentication configs¶

../../../_images/auth-config-create_pem-der-paths.png

Configuration Authentification par cheminement dans l’IGC¶

../../../_images/auth-config-create_pkcs12-paths.png

Configuration Authentification IGC PKCS#12¶

../../../_images/auth-config-create_stored-identity2.png

Configuration Certificat d’identité stocké dans une IGC¶

Note

L’URL de la ressource est actuellement une fonctionnalité non implémentée qui permettra éventuellement de choisir automatiquement une configuration particulière lors de la connexion aux ressources à une URL donnée.

Utilitaire et Mot de passe principal ¶

A partir du menu Options (Préférences‣ Options) , dans l’onglet Authentification , plusieurs actions permettent de gérer le mot de passe principal, la base de données et les configurations d’authentification:

../../../_images/auth-editor-configs_utilities-menu.png

Menu du bouton Utilitaires¶

Entrer le mot de passe principal :
- Opens the master password input dialog, independent of performing any authentication database command.
Clear cached master password:
- Unsets the master password if it has been set via input dialog.
Reset master password:
- Opens a dialog to change the master password (the current password must be known) and optionally back up the current database.
Effacer les configurations d’authentification mises en cache : Efface le cache interne des configurations utilisées pour accélérer les connexions réseau. Cela n’efface pas le cache du gestionnaire d’accès au réseau principal de QGIS, qui nécessite de relancer QGIS.
Réinitialiser le mot de passe principal : Remplace le mot de passe principal actuel par un nouveau mot de passe. Le mot de passe principal actuel sera nécessaire avant la réinitialisation et une sauvegarde de la base de données pourra être effectuée.
Supprimer toutes les configurations d’authentification : Efface de la base de données tous les enregistrements de configuration, sans supprimer les autres enregistrements stockés.
Effacer la base de données d’authentification : La sauvegarde de la base de données courante et la reconstruction de la structure de tables de base de données ne seront réalisées que lorsque d’autres opérations, comme le chargement du projet, ne provoquent pas d’erreurs en raison de l’absence temporaire de la base de données. Dans ces cas, la sauvegarde et la reconstruction sont différées.

Menu d’effacement de la base de données¶

Utiliser les configurations d’authentification ¶

En règle générale, une configuration d’authentification peut être sélectionnée par une boîte de dialogue de configuration pour des services réseau (tels que WMS). Toutefois, le widget de sélection de configuration peut être intégré à chaque fois que l’authentification est nécessaire dans QGIS ainsi que dans les les plugins PyQGIS ou C ++ tiers.

Lorsque vous utilisez le sélecteur, Pas d’authentification est affiché dans le menu contextuel lorsque rien n’est sélectionné ainsi que lorsqu’il n’y a aucune configuration à choisir ou quand une configuration précédemment affectée ne peut plus être trouvée dans la base de données. Lorsqu’une configuration est choisie, les champs Méthode et Id sont en lecture seule et fournissent respectivement une description de la méthode d’authentification et de l’ID de la configuration .

../../../_images/auth-selector-no-authentication.png

Authentication configuration selector with no authentication¶

../../../_images/auth-selector-pkcs12-authentication.png

Authentication configuration selector with selected config¶

Liaisons Python ¶

Toutes les classes et les fonctions publiques ont des liaisons sip, sauf QgsAuthCrypto, car la gestion du cryptage du mot de passe principal et du cryptage de la base de données auth doit se faire par l’application principale, et non via Python. Voir Impératifs de sécurité concernant l’accès Python.