Marché

Tous les visiteurs de votre site Joomla ne devraient pas voir le même contenu. Un site d'adhésion peut réserver certains articles aux membres payants. Un portail interne peut restreindre l'accès aux pages spécifiques à un service pour le reste du personnel. Une plateforme communautaire peut donner aux modérateurs accès à des zones inaccessibles aux membres ordinaires.

Joomla gère tout cela grâce à son système de contrôle d'accès intégré, qui permet de restreindre l'accès aux pages, articles, catégories et éléments de menu par groupe d'utilisateurs. Il manquait cependant l'affectation automatique des utilisateurs aux groupes appropriés. Lorsqu'un utilisateur se connecte via l'authentification unique OAuth (SSO), l'extension miniOrange Joomla OAuth Client récupère les rôles qui lui sont attribués par le fournisseur d'identité et les associe instantanément aux groupes d'utilisateurs Joomla correspondants. Le système de contrôle d'accès (ACL) de Joomla prend ensuite le relais et applique les restrictions de contenu que vous avez préalablement définies. Vous gérez les rôles de manière centralisée, et l'accès à l'ensemble de votre site Joomla est automatiquement appliqué.

Pré-requis :

Pour activer le contrôle d'accès basé sur les rôles avec l'authentification unique OAuth sur un site web Joomla, vous aurez besoin des éléments suivants :

Extension client OAuth miniOrange pour Joomla

Télécharger l'extension

Challenge

Le système de contrôle d'accès de Joomla est puissant, mais il ne fonctionne correctement que si les utilisateurs appartiennent aux groupes appropriés. Sans authentification unique (SSO), ce processus présente plusieurs dysfonctionnements courants :

• L'attribution des groupes doit être effectuée manuellement. À chaque inscription ou connexion d'un nouvel utilisateur via l'authentification unique (SSO), un administrateur doit vérifier son compte et l'ajouter au groupe approprié avant qu'il puisse accéder au contenu souhaité. Cette opération est gérable avec quelques utilisateurs, mais devient ingérable avec des centaines.
• Les rôles se désynchronisent. Si le rôle d'un utilisateur change dans le fournisseur d'identité, si un abonnement expire, si un employé change d'équipe ou si un contributeur est promu, son groupe Joomla reste inchangé jusqu'à ce qu'un administrateur le remarque et le mette à jour. Par conséquent, les utilisateurs conservent un accès qu'ils auraient dû perdre ou se retrouvent bloqués sur un contenu auquel ils ont désormais droit.
• Des contenus protégés sont exposés. Lorsque les affectations de groupe sont incohérentes, il est facile que des articles ou des pages à accès restreint deviennent accessibles à un public plus large que prévu. Cela n'est pas toujours évident avant qu'un signalement ne soit fait.
• La gestion des autorisations de modification devient complexe. L'accès en lecture seule ne suffit pas. Il est tout aussi important de savoir qui peut créer des articles, modifier du contenu existant ou publier des pages. Sans une gestion fiable des groupes, les droits d'auteur sont difficiles à contrôler et encore plus difficiles à révoquer en cas de changement de rôle.

Mise en œuvre

La configuration implique de paramétrer le mappage des rôles dans l'extension miniOrange, puis d'utiliser les outils ACL standard de Joomla pour appliquer des restrictions à votre contenu.

1. Connexion au fournisseur d'identité : configurez le fournisseur d'identité dans l'extension miniOrange OAuth Client en utilisant la configuration OAuth 2.0 ou OIDC standard. Assurez-vous que les étendues OAuth incluent les revendications contenant les informations de rôle ou de groupe de votre fournisseur. Dans Entra ID, il peut s'agir d'une revendication de groupe ; dans Okta, d'une revendication de rôle. Ce sont ces données que l'extension utilisera pour attribuer les groupes Joomla lors de la connexion.

2. Association des rôles du fournisseur d'identité aux groupes Joomla : Dans les paramètres d'association des rôles de l'extension, associez chaque rôle du fournisseur d'identité au groupe d'utilisateurs Joomla correspondant. Par exemple, le rôle « Membre Premium » du fournisseur d'identité correspond à un groupe Joomla ayant accès au contenu premium. Le rôle « Éditeur » correspond à un groupe disposant des droits de création et de modification d'articles. Lorsqu'un utilisateur se connecte via l'authentification unique (SSO), l'extension récupère ses rôles actuels, attribue les groupes Joomla correspondants et met à jour automatiquement ces attributions en cas de modification depuis sa dernière session.

3. Restriction d'articles et de catégories dans Joomla : Grâce à l'attribution fiable des groupes via l'authentification unique (SSO), vous pouvez utiliser le gestionnaire de contenu de Joomla pour restreindre l'accès aux articles et aux catégories de manière classique. Définissez le niveau d'accès de chaque article ou catégorie en fonction du groupe d'utilisateurs concerné. Le contenu réservé aux membres premium est restreint au groupe « Membres premium », la documentation interne est réservée au groupe « Personnel », et le contenu public reste accessible à tous. Aucun code personnalisé n'est nécessaire ; tout est géré par l'interface standard de Joomla.

4. Restriction des éléments de menu et des modules : Le contrôle d’accès ne se limite pas aux articles. Dans Joomla, chaque élément de menu et module peut se voir attribuer son propre niveau d’accès. Ainsi, les liens de navigation et le contenu de la barre latérale ne sont visibles que pour les utilisateurs autorisés. Cela évite qu’une page restreinte soit techniquement inaccessible, mais toujours visible dans le menu pour les utilisateurs qui ne peuvent pas l’ouvrir.

5. Gestion des autorisations de modification et de création : Si votre site compte des utilisateurs qui contribuent ou gèrent du contenu, le système de contrôle d’accès (ACL) de Joomla vous permet de contrôler qui peut créer, modifier, publier ou supprimer du contenu dans des catégories spécifiques. Les groupes associés aux rôles de contributeur ou d’éditeur du fournisseur d’identité peuvent se voir attribuer les autorisations appropriées dans leurs domaines respectifs. Grâce à la mise à jour automatique des droits d’auteur lors de la prochaine connexion d’un utilisateur après un changement de rôle, l’appartenance aux groupes est automatiquement ajustée.

6. Tests d'accès selon les rôles : Avant la mise en production, connectez-vous avec des comptes de test représentant chaque niveau de rôle et vérifiez que les groupes appropriés sont attribués dans le gestionnaire d'utilisateurs de Joomla. Assurez-vous que les articles et catégories restreints sont inaccessibles depuis les comptes disposant de privilèges limités et que les éléments de menu et les modules s'affichent correctement en fonction du groupe de l'utilisateur connecté. Testez également les cas particuliers : utilisateurs possédant plusieurs rôles, utilisateurs sans rôle attribué et utilisateurs dont le rôle a changé depuis leur dernière connexion.

Conclusion

Le système de contrôle d'accès de Joomla gère efficacement les restrictions de contenu, mais nécessite une appartenance précise aux groupes pour fonctionner correctement. En connectant l'authentification unique (SSO) à l'attribution des groupes via l'extension miniOrange OAuth Client, votre fournisseur d'identité devient la source de référence fiable pour savoir qui a accès à quoi. Les administrateurs configurent les règles d'accès une seule fois, et les utilisateurs concernés obtiennent automatiquement les droits d'accès appropriés à chaque connexion.

Ressources additionnelles

1. Sécurité d'accès via la compartimentation - Protocole OAuth dans Joomla!
2. SAML vs OAuth dans Joomla : lequel choisir ?
3. Consultez notre documentation