Nœuds : certificat / PKI

Authentification par certificat client X.509, dans le cadre d’un graphe d’authentification.

Graphe d'exemple dans l'éditeur : collecte et validation d'un certificat client — Exemple : le certificat transmis par le proxy est collecté (1), validé (2), puis le compte est vérifié avant la connexion.

CertificateCollectorNode : lit un certificat client X.509 (PEM) déposé dans un en-tête HTTP par un reverse proxy qui termine le mTLS.

Faites défiler le tableau

Propriété	Type	Défaut
`headerName`	string	`""` (utilise `SSL_CLIENT_CERT`)

Outcomes : present / absent.

CertificateValidationNode : valide le certificat client (PKIX) contre les autorités du truststore de la JVM, puis résout l’identité (par défaut via le SAN e-mail) vers un uid LDAP. Le nœud valide le certificat seul, sans les intermédiaires : il doit donc être émis directement par une autorité présente dans le truststore.

Faites défiler le tableau

Propriété	Type	Défaut
`checkCrl`	boolean	`false`
`checkOcsp`	boolean	`false`
`requiredSanType`	string	`RFC822_NAME`
`sanExpectedValue`	string	`""`
`userIdMapper`	string	`EMAIL_ADDRESS`

Outcomes : valid / invalid / revoked.

Points d'attention

En-tête du certificat. CertificateCollectorNode accepte l’en-tête quelle que soit l’origine de la requête : TOSIAM ne doit être joignable qu’au travers du proxy, et le proxy doit écraser l’en-tête envoyé par le client (Apache : RequestHeader unset SSL_CLIENT_CERT early, puis RequestHeader set SSL_CLIENT_CERT "%{SSL_CLIENT_CERT}e"). Sinon, un appelant peut présenter le certificat (public) d’un autre utilisateur.
Autorités intermédiaires. Le certificat est validé seul : il doit être émis par une autorité présente dans le truststore de la JVM. Un certificat émis par une autorité intermédiaire est refusé, sauf à ajouter cette intermédiaire au truststore.
OCSP. À ce jour, l’option checkOcsp n’active pas l’interrogation OCSP, et un nœud avec checkOcsp à false désactive OCSP pour toute la JVM. Utiliser plutôt les CRL (checkCrl) quand le certificat déclare un point de distribution.