Quelles alternatives à LemonLDAP pour gérer l’authentification SSO ?

Le SSO (Single Sign-On) permet à un utilisateur de s’authentifier une seule fois pour accéder ensuite à plusieurs applications ou services sans avoir à saisir de nouveau ses identifiants. Derrière ce principe se cachent cependant des enjeux qui dépassent largement la seule authentification.

Gestion des identités et des accès, sécurité, intégration avec le système d’information, personnalisation des parcours utilisateurs, mais aussi déploiement, maintenance et supervision, le choix d’une solution SSO peut avoir des conséquences importantes sur l’ensemble d’un projet digital.

Chez Adimeo, nous utilisons beaucoup la solution LemonLDAP, que nous associons sur certains projets à OpenLDAP. L’expérience acquise avec cette architecture nous a conduits à nous interroger sur les alternatives disponibles et sur leur capacité à répondre à certains besoins rencontrés sur nos projets.

Notre objectif n’est pas de trouver un remplaçant systématique à LemonLDAP, mais bien de déterminer dans quels contextes d’autres solutions peuvent être plus adaptées.

Pourquoi avons-nous cherché une alternative à LemonLDAP ?

LemonLDAP est aujourd’hui une solution éprouvée sur nos projets digitaux. Mais au fil des années, son utilisation nous a aussi permis d’en mesurer les limites et de nous interroger sur les alternatives disponibles.

LemonLDAP, une solution que nous connaissons bien

LemonLDAP est une solution open source de gestion des accès et d’authentification SSO. Auto-hébergeable et sans coût de licence lié au nombre d’utilisateurs, elle prend en charge les principaux standards d’authentification, notamment OpenID Connect/OAuth 2.0 et SAML 2.0.

Elle peut s’appuyer sur différentes sources d’identités, dont un annuaire OpenLDAP, comme c’est le cas sur certains de nos projets. Des mécanismes d’extension permettent également d’intégrer des traitements spécifiques.

LemonLDAP répond donc toujours à une grande partie de nos besoins et nous disposons aujourd’hui d’une solide expérience de son utilisation.

Des limites apparues au fil des projets

Cette expérience a toutefois fait apparaître plusieurs limites.

Dans une architecture associant LemonLDAP et OpenLDAP, la gestion des identités et des attributs utilisateurs peut tout d’abord devenir contraignante lorsque les besoins métier se complexifient.

Certains traitements nécessitent des développements spécifiques. Sur l’un de nos projets, nous avons par exemple développé un plugin qui interroge une API métier lors de l’authentification afin de récupérer des informations et de mettre à jour le compte utilisateur. Le besoin est couvert, mais il implique de développer puis de maintenir un composant spécifique.

L’exploitation et le diagnostic des incidents constituent un autre point de vigilance. Lors de certaines indisponibilités, les informations disponibles dans les logs ne nous ont pas toujours permis d’identifier facilement l’origine du problème. Or, lorsqu’un même système d’authentification conditionne l’accès à plusieurs services, la capacité à superviser son fonctionnement et à diagnostiquer rapidement un incident devient essentielle.

Enfin, l’installation et la maintenance peuvent s’avérer relativement complexes. L’ergonomie de l’interface d’administration et un écosystème plus restreint que celui d’autres solutions constituent aussi des éléments à prendre en compte.

Ces constats ne remettent pas en cause LemonLDAP ni les projets sur lesquels nous l’utilisons. Ils nous ont en revanche conduits à ne plus considérer la solution comme un choix systématique pour de nouveaux projets et à étudier les alternatives disponibles.

Sur quels critères choisir une solution SSO pour un projet digital ?

Avant de comparer les solutions, encore faut-il déterminer ce que nous attendons réellement d’une solution SSO.

La prise en charge des protocoles d’authentification est évidemment indispensable, mais elle ne suffit pas. Notre comparaison repose sur plusieurs critères : fonctionnels, techniques et opérationnels.

Garder la maîtrise de l’hébergement et des données

Afin de conserver la maîtrise de l’infrastructure, des données et de leur localisation, nous avons privilégié les solutions open source pouvant être auto-hébergées.

L’existence d’une offre managée peut toutefois constituer un avantage pour les organisations qui souhaitent déléguer l’exploitation de leur authentification SSO, à condition, évidemment, de conserver la possibilité d’auto-héberger la technologie. L’absence de coût de licence directement lié au nombre d’utilisateurs fait également partie de nos critères.

Gérer les identités et les parcours utilisateurs

La gestion des utilisateurs ne se limite pas à un identifiant et un mot de passe. Selon les projets, nous devons pouvoir gérer des groupes, des rôles ou encore des attributs personnalisés répondant à des besoins métiers.

Nous avons donc pris en compte les différents parcours utilisateurs : inscription, validation de l’adresse e-mail, récupération du compte, modification du profil ou authentification multifacteur (MFA).

S’intégrer au système d’information

De plus, les solutions étudiées doivent prendre en charge les principaux standards utilisés dans nos projets, comme OpenID Connect/OAuth 2.0 et SAML 2.0, et pouvoir s’intégrer à un annuaire OpenLDAP existant.

La solution doit également pouvoir communiquer avec d’autres composants du système d’information. Appel à une API, récupération de données ou exécution d’un traitement métier pendant l’authentification peuvent faire partie des besoins d’un projet.

Adapter les parcours aux besoins du projet

Un parcours d’authentification peut comporter de nombreuses étapes et varier selon le profil de l’utilisateur, les informations disponibles ou le niveau de sécurité attendu.

La capacité à personnaliser ces parcours, idéalement sans multiplier les développements spécifiques, constitue donc un critère important de notre étude.

Faciliter l’exploitation et la maintenance

Parce qu’une indisponibilité du SSO peut empêcher l’accès à plusieurs applications, nous avons accordé une attention particulière à la fiabilité et à l’observabilité des solutions.

Logs, événements, métriques, health checks ou possibilités de supervision doivent permettre de suivre leur fonctionnement et de faciliter le diagnostic en cas d’incident. Les conditions de déploiement, de maintenance et de mise à jour sont des critères que nous avons inclus dans notre comparatif.

Évaluer la pérennité de la solution

Enfin, un SSO est un composant qui doit pouvoir être exploité pendant plusieurs années.

La documentation, l’activité du projet, sa communauté, son écosystème et la disponibilité de compétences ou de prestataires sont donc aussi importants que ses fonctionnalités.

Ces différents critères nous ont permis d’évaluer notre solution actuelle, LemonLDAP, puis les deux alternatives qui ont principalement retenu notre attention : Keycloak et Authentik.

LemonLDAP : une solution éprouvée, mais avec certaines limites

Au regard des critères définis précédemment, LemonLDAP conserve de nombreux atouts. Open source, auto-hébergeable et sans coût de licence lié au nombre d’utilisateurs, la solution prend en charge les principaux standards SSO. Elle propose aussi différents mécanismes d’authentification multifacteur ainsi que des possibilités de personnalisation et d’extension.

Ses principales limites concernent la gestion des identités et son exploitation. Dans notre architecture associant LemonLDAP à OpenLDAP, certains besoins autour des attributs métier ou des parcours utilisateurs peuvent nécessiter des adaptations ou des développements spécifiques. L’installation, la maintenance et le diagnostic des incidents constituent également des points de vigilance.

LemonLDAP reste donc une solution pertinente, d’autant que nous disposons déjà des compétences nécessaires pour la déployer et l’exploiter. Pour des projets présentant des besoins plus avancés en matière de gestion des identités, de personnalisation des parcours ou d’exploitation, d’autres solutions méritent néanmoins d’être envisagées.

Keycloak : une alternative mature et très complète

Keycloak est une solution open source de gestion des identités et des accès (IAM). Là où LemonLDAP intervient principalement comme gestionnaire d’accès dans notre architecture actuelle, Keycloak peut directement prendre en charge les utilisateurs, les groupes, les rôles et les attributs personnalisés. Il peut également être connecté à un annuaire existant.

La solution couvre les principaux standards nécessaires à nos projets et propose des mécanismes avancés pour gérer les parcours d’authentification, l’inscription, la MFA ou encore la personnalisation des interfaces.

Une gestion complète des identités et des parcours

Keycloak peut prendre en charge une grande partie du cycle de vie du compte utilisateur : création et gestion du profil, inscription, récupération du mot de passe, vérification de l’adresse e-mail ou configuration des méthodes d’authentification.

Les utilisateurs disposent également d’un espace leur permettant d’administrer eux-mêmes certaines informations de leur compte, leurs sessions ou leurs méthodes d’authentification.

Cette gestion native des identités répond directement à certaines limites rencontrées avec notre architecture actuelle, en particulier lorsque les informations associées à un utilisateur dépassent ce que nous souhaitons gérer dans OpenLDAP.

Une solution mature et un écosystème important

La maturité constitue l’un des principaux atouts de Keycloak. La solution est largement adoptée et bénéficie d’une documentation riche et d’un écosystème développé.

Elle apporte également des réponses aux problématiques d’exploitation que nous avons identifiées : mécanismes de haute disponibilité, health checks, métriques, événements ou encore outils d’observabilité.

La disponibilité de compétences et l’existence de nombreux prestataires capables de proposer une exploitation managée renforcent sa pérennité.

Une richesse qui apporte aussi de la complexité

Cette richesse fonctionnelle a cependant une contrepartie.

Keycloak repose sur de nombreux concepts et possibilités de configuration. Si le déploiement d’un environnement simple peut être relativement rapide, son exploitation en production nécessite de maîtriser son architecture, sa base de données, la haute disponibilité, la supervision et les montées de version.

Keycloak apparaît donc comme une solution particulièrement solide pour des projets nécessitant une plateforme IAM complète et évolutive. Encore faut-il que cette richesse fonctionnelle soit justifiée par les besoins du projet.

Authentik : davantage de flexibilité dans la construction des parcours

Solution open source de gestion des identités et des accès, Authentik prend notamment en charge OpenID Connect/OAuth 2.0, SAML et LDAP et peut gérer directement les utilisateurs, les groupes et leurs attributs personnalisés.

Mais c’est surtout son approche de la construction des parcours utilisateurs qui a retenu notre attention.

Des parcours construits avec des Flows, Stages et Policies

Authentik repose sur un système de Flows, Stages et Policies.

Un Flow correspond à un parcours, comme l’authentification, l’inscription ou la récupération d’un compte. Il est constitué de différentes étapes, les Stages, auxquelles peuvent être associées des Policies qui déterminent les conditions de leur exécution.

Cette approche permet de construire des parcours personnalisés depuis l’interface d’administration et de répondre à différents besoins sans avoir systématiquement recours à des développements spécifiques.

Pour nos projets, cette possibilité constitue l’un des principaux intérêts de la solution.

Une gestion native des identités

Comme Keycloak, Authentik peut directement gérer les utilisateurs et leurs attributs personnalisés.

Selon l’architecture retenue, Authentik pourrait ainsi réduire la dépendance à OpenLDAP comme référentiel principal et faciliter la gestion de certaines données métiers associées aux utilisateurs.

Sur le plan de l’exploitation, Authentik propose également des logs, des événements et des métriques pour superviser son fonctionnement. Son déploiement, principalement pensé autour des conteneurs, apparaît relativement accessible.

Une solution prometteuse, avec moins de recul

Authentik bénéficie cependant d’un écosystème moins développé que Keycloak. Les retours d’expérience et le nombre d’experts disponibles sont plus limités, tout comme les possibilités d’exploitation managée.

Certains besoins devront par ailleurs être testés en conditions réelles. Les traitements métier actuellement réalisés par des plugins LemonLDAP devront par exemple faire l’objet d’un POC (Proof of Concept) afin de déterminer s’ils peuvent être reproduits avec les mécanismes standards d’Authentik ou s’ils nécessitent eux aussi des développements spécifiques.

Authentik apparaît ainsi comme une alternative particulièrement intéressante lorsque la flexibilité des parcours, la gestion native des identités ou la simplicité d’administration sont prioritaires.

Quelles autres solutions SSO open source avons-nous étudiées ?

Notre étude ne s’est pas limitée à Keycloak et Authentik. Plusieurs autres solutions open source auto-hébergeables ont été passées à la loupe afin d’évaluer leur adéquation avec nos besoins.

Enfin, des solutions comme Rauthy, Hiboo ou encore SSOwat ont également été étudiées. Cependant, leur périmètre fonctionnel, leur écosystème ou leur positionnement répondaient moins aux besoins que nous avions identifiés.

Toutes ces solutions ne sont pas pour autant à écarter. Certaines peuvent se révéler pertinentes selon les besoins et les contraintes du projet. Au regard de l’ensemble des critères retenus pour notre comparatif, Keycloak et Authentik sont les deux alternatives qui nous semblent aujourd’hui les plus intéressantes à approfondir face à LemonLDAP.

LemonLDAP, Keycloak ou Authentik : que retenir de notre comparaison ?

Les trois solutions répondent aux fondamentaux que nous avons définis, mais avec des positionnements différents.

Trois positionnements se dégagent donc de notre étude. LemonLDAP reste une solution éprouvée, mais présente certaines limites en matière de gestion des identités, de personnalisation des parcours et d’exploitation. Keycloak se distingue par sa maturité et son écosystème, au prix d’une plus grande complexité. Authentik propose une approche plus flexible de la gestion des identités et des parcours, mais avec moins de recul.

Il n’existe donc pas de solution qui soit systématiquement meilleure que les autres. Le choix dépend avant tout des besoins du projet digital, de sa complexité fonctionnelle et du mode d’exploitation souhaité.

Alors, faut-il remplacer LemonLDAP par Keycloak, Authentik ou une autre solution ? Non, pas systématiquement.

Ce qu’il faut retenir de ce comparatif, c’est que LemonLDAP reste une solution éprouvée qui répond à de nombreux besoins en matière d’authentification SSO. Elle présente néanmoins certaines limites, notamment en matière de gestion des identités, de personnalisation des parcours, d’observabilité ou d’exploitation.

Keycloak et Authentik apportent des réponses intéressantes à certaines de ces limites, avec des positionnements différents. Mais notre comparatif reste à ce stade théorique. Avant d’envisager l’une ou l’autre de ces solutions sur un projet, il est nécessaire de les confronter à des cas d’usage représentatifs et à des conditions proches de la production.

La prochaine étape consiste donc à réaliser des POC sur Keycloak et Authentik afin d’évaluer concrètement leur installation, leur configuration, leur capacité à répondre aux besoins métier et leur exploitation.

Même si nous avons aujourd’hui l’habitude de travailler avec LemonLDAP sur nos projets, cette solution ne doit pas pour autant être considérée comme un choix par défaut. Selon les besoins, les contraintes et le mode d’exploitation du projet digital, Keycloak, Authentik ou d’autres solutions peuvent se révéler plus adaptées.

Crédit photo : pcess609