CORS : appeler TOSIAM depuis une autre origine

Un navigateur ne laisse une page appeler une autre adresse en JavaScript que si cette adresse l’autorise : c’est le CORS (Cross-Origin Resource Sharing). Une application Angular ou React servie sur https://app.example.com qui appelle le point des jetons ou userinfo de https://sso.example.com a donc besoin d’une configuration CORS dans TOSIAM.

Pas besoin de CORS quand :

• la page est servie par TOSIAM lui-même, ou par un CDN placé sur la même adresse (voir CDN sur le même domaine) ;
• seul un serveur appelle TOSIAM, comme une application Spring Boot qui échange le code contre des jetons.

Ce que TOSIAM vérifie#

Le filtre CORS couvre toutes les adresses de TOSIAM. Il ne s’occupe que des requêtes qui portent un en-tête Origin différent de l’adresse de TOSIAM.

• Aucune configuration active (commutateur global désactivé, ou aucune configuration activée) : TOSIAM n’ajoute aucun en-tête CORS, et le navigateur bloque les appels venus d’une autre origine.
• Au moins une configuration active : une requête venue d’une origine qu’aucune configuration n’accepte est refusée (403).

Avant une requête qui n’est pas « simple » (un POST en JSON, un en-tête authorization…), le navigateur envoie une pré-vérification : une requête OPTIONS qui annonce la méthode (Access-Control-Request-Method) et les en-têtes (Access-Control-Request-Headers) de la vraie requête. TOSIAM y répond 200 avec les en-têtes Access-Control-Allow-* si une configuration accepte l’origine, la méthode annoncée et tous les en-têtes annoncés ; sinon 403.

Les réglages#

Dans la console, Services globaux › CORS configuration :

Puis une configuration par application, sous Sous-configurations › Nouvelle configuration :

Les en-têtes à accepter dépendent de ce que la page appelle :

Configurer avec ssoadm#

Un fichier de données pour l’application, app_cors.properties :

forgerock-am-cors-config-enable-cors=true
forgerock-am-cors-config-accepted-origins=https://app.example.com
forgerock-am-cors-config-accepted-methods=GET
forgerock-am-cors-config-accepted-methods=POST
forgerock-am-cors-config-accepted-headers=authorization
forgerock-am-cors-config-accepted-headers=content-type

Puis le commutateur global et la configuration :

ssoadm set-attr-defs -s iPlanetCORSConfig -t global \
  -a forgerock-am-cors-config-enable-all-cors=true \
  -u amadmin -f /chemin/vers/pwd.txt

ssoadm create-sub-cfg -s iPlanetCORSConfig --subconfigid CorsList --subconfigname app \
  --datafile app_cors.properties -u amadmin -f /chemin/vers/pwd.txt

Pour la retirer : ssoadm delete-sub-cfg -s iPlanetCORSConfig --subconfigname app.

Les changements s’appliquent sans redémarrage, depuis la console comme avec ssoadm. Depuis la version 3.38.0, c’est vrai aussi du commutateur global posé par set-attr-defs ; avant, il n’était pris en compte qu’au redémarrage ou à la modification suivante d’une configuration.

Vérifier avec curl#

Une pré-vérification comme celle du navigateur, pour un POST avec un en-tête authorization :

curl -s -o /dev/null -D - -X OPTIONS \
  -H "Origin: https://app.example.com" \
  -H "Access-Control-Request-Method: POST" \
  -H "Access-Control-Request-Headers: authorization" \
  https://sso.example.com/tosiam/oauth2/realms/root/userinfo

Réponse attendue (l’ordre des valeurs peut varier) :

HTTP/1.1 200
Access-Control-Allow-Methods: POST,GET
Access-Control-Allow-Headers: authorization,content-type
Access-Control-Allow-Origin: https://app.example.com

Avec une origine, une méthode ou un en-tête absent de la configuration, la réponse est 403, sans en-tête Access-Control-Allow-*.

En cas de problème#