Concepts

Un realm est un espace de gestion isolé dans TOSIAM. Chaque realm possède ses propres utilisateurs, groupes, rôles, politiques, modules d’authentification et configuration de services — sans interférence avec les autres realms. Pourquoi des realms ? Les realms permettent le multi-tenancy : une seule instance TOSIAM peut servir plusieurs organisations, départements ou applications tout en maintenant une séparation stricte des données et des politiques. Cas d’usage typiques : Séparer les utilisateurs internes (employés) des utilisateurs externes (clients) Héberger plusieurs clients sur la même infrastructure Créer des environnements de test isolés du realm de production Hiérarchie Les realms forment une arborescence.

TOSIAM gère deux types de sessions : les sessions stateful (stockées dans le Core Token Store) et les tokens stateless (JWT autonomes). La compréhension de ces mécanismes est essentielle pour dimensionner et sécuriser un déploiement. Sessions stateful Après une authentification réussie, TOSIAM crée une session et retourne un tokenId (cookie iPlanetDirectoryPro par défaut). Ce token est une référence opaque vers la session stockée côté serveur dans le Core Token Store (CTS).

TOSIAM repose sur un modèle d’identité hérité du User Management Service (UMS) d’iPlanet/OpenAM, enrichi par une couche REST moderne. Les identités sont stockées dans un datastore LDAP configurable par realm. Types d’identité Type Description Utilisateur (User) Compte d’une personne physique ou d’un service Groupe statique (StaticGroup) Liste figée de membres Groupe dynamique (DynamicGroup) Membres calculés par filtre LDAP Groupe dynamique assignable (AssignableDynamicGroup) Filtre LDAP + membres manuels Rôle géré (ManagedRole) Rôle assigné explicitement à des utilisateurs Rôle filtré (FilteredRole) Rôle calculé par filtre (tous les utilisateurs répondant à un critère) Datastores Chaque realm peut configurer un ou plusieurs datastores.