SAML2 para TYPO3

SAML 2.0 permite Single Sign-On en TYPO3 sin instalar Shibboleth en el servidor

Universidades, administraciones públicas y grandes empresas operan proveedores de identidad (IdP) basados en SAML 2.0: Microsoft ADFS, Okta, Keycloak, PingFederate. Quien quisiera usar estas identidades en TYPO3 necesitaba hasta ahora un Shibboleth Service Provider en el servidor web, una capa de software adicional con su propia configuración, sus propios certificados y su propio mantenimiento. La extensión saml2 para TYPO3 hace innecesario el Shibboleth SP. Para ello utiliza SimpleSAMLphp, un SP de SAML 2.0 escrito en PHP que funciona junto a TYPO3. Esto simplifica considerablemente la arquitectura del servidor, especialmente en entornos de hosting compartido o en despliegues con contenedores, donde un Shibboleth SP es difícil de instalar.

Para organizaciones cuyo IdP no soporta OIDC (OpenID Connect), SAML 2.0 es el único camino estandarizado hacia el Single Sign-On. La extensión cubre exactamente ese vacío en el ecosistema TYPO3.

Los escenarios típicos abarcan intranets universitarias, portales de administraciones públicas y extranets corporativos

El escenario más frecuente es la intranet universitaria. Una universidad opera un IdP Shibboleth en una federación académica (por ejemplo SIR2 o RedIRIS en España). Estudiantes y personal se autentican con sus credenciales universitarias y obtienen acceso a páginas TYPO3 protegidas: apuntes, noticias internas, calificaciones. La extensión saml2 deja la verificación de la aserción SAML en manos de SimpleSAMLphp e inicia la sesión del usuario de frontend de TYPO3 correspondiente; a través de sus grupos (por ejemplo, estudiantes = grupo “student”, docentes = grupo “staff”), TYPO3 controla el acceso.

Un segundo escenario son los portales de administraciones públicas con conexión a Cl@ve. Cl@ve es la plataforma común de identificación electrónica para servicios públicos en España. SAML 2.0 es uno de los protocolos soportados. Un ayuntamiento puede conectar su sitio web TYPO3 a Cl@ve mediante saml2, de modo que los ciudadanos puedan autenticarse con su DNI electrónico o certificado digital y acceder a servicios personalizados.

Tercer escenario: extranets corporativos. Un fabricante de automoción opera un portal de concesionarios sobre TYPO3. Los concesionarios se autentican a través del IdP corporativo (Microsoft ADFS) y ven listas de precios, material formativo y formularios de pedido asignados a su grupo concesionario. La extensión saml2 inicia la sesión de los concesionarios como usuarios de frontend de TYPO3, y los grupos de estos usuarios controlan el acceso a las áreas de contenido protegidas.

La arquitectura técnica conecta SimpleSAMLphp a TYPO3 como SP de SAML 2.0

saml2 se apoya en SimpleSAMLphp, una implementación PHP independiente de SAML 2.0 que se encarga de AuthnRequest, validación de respuestas, parseo de aserciones y verificación de firmas. SimpleSAMLphp se instala junto a TYPO3; la extensión lo carga a través de una ruta configurada y se registra como servicio de autenticación de TYPO3 para el frontend.

La configuración se reparte entre dos lugares. El IdP y el SP (metadatos, Entity IDs, certificados) se configuran en SimpleSAMLphp. En TYPO3, la configuración de la extensión recoge la ruta a SimpleSAMLphp, el perfil del SP y la dirección del IdP; por TypoScript se definen el atributo con el que se localiza al usuario de TYPO3 y el mapeo de atributos del IdP a campos del usuario de frontend. El inicio de sesión arranca con el plugin “SAML-Login” en la página TYPO3 (SSO iniciado por el SP).

La extensión no crea usuarios de frontend por sí misma: inicia la sesión de un usuario existente, al que localiza mediante el atributo configurado (por defecto: uid), y, si se desea, actualiza sus campos en cada inicio de sesión. Las cuentas nuevas se crean mediante el registro con femanager, al que se engancha la extensión.

La extensión no ofrece inicio de sesión por SAML en el backend (usuarios BE): registra su servicio de autenticación solo para el frontend. Quien implante SAML también para el backend asume un riesgo mayor: si el IdP deja de estar disponible, no habrá acceso al backend. En ese caso recomendamos mantener al menos una cuenta de administrador local como respaldo.

Los problemas habituales afectan a certificados, desviaciones de hora y mapeo de atributos

El problema más frecuente en integraciones SAML son los certificados caducados o mal configurados. El IdP firma la respuesta SAML con su certificado. Si el certificado del SP no se actualiza después de que el IdP lo rote, la verificación de firma falla y el inicio de sesión se interrumpe con un mensaje de error críptico. La solución: incorporar la rotación de certificados al calendario de mantenimiento. La mayoría de IdPs dan un preaviso de 30 días antes de la rotación.

Segundo problema: desviaciones horarias entre IdP y SP. Las aserciones SAML tienen una ventana temporal (NotBefore / NotOnOrAfter). Si los relojes del servidor IdP y del servidor TYPO3 difieren más de lo que tolera la librería SAML (180 segundos por defecto en onelogin/php-saml y SimpleSAMLphp), la aserción se rechaza como inválida. La solución: configurar NTP en ambos servidores.

Tercer tema: mapeo de atributos incorrecto. Cada IdP nombra los atributos de forma distinta. Microsoft ADFS entrega “http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress”, Keycloak entrega “email”, Shibboleth entrega “urn:oid:0.9.2342.19200300.100.1.3”. La extensión debe saber bajo qué nombre aparece el atributo de correo electrónico en el token SAML. Un mapeo incorrecto se traduce en campos vacíos en el perfil de usuario de TYPO3. El logging de depuración de los atributos recibidos ayuda a identificar las claves de mapeo correctas.

La extensión saml2 es una beta de 2014 para TYPO3 6.2

La extensión saml2 del TER es una beta: la versión 1.0.0 de Youwe, de agosto de 2014, que solo soporta TYPO3 6.2. No existe una versión más reciente ni en el TER ni en Packagist; para las versiones actuales de TYPO3 hay que portarla o sustituirla. En los proyectos SSO, Gosign verifica que la librería SAML esté actualizada (parches de seguridad) y qué extensión encaja con la versión de TYPO3 desplegada. Como la extensión saml2 ya no se mantiene, recomendamos como alternativa la extensión oidc, siempre que el IdP soporte OpenID Connect.