as_openidsync

AS OpenId Synchronizer

Die Extension bietet die Möglichkeit Backend-Benutzer an einer zetralen Stelle zu pflegen und periodisch deren Kennwörter zu ändern.

Folgende Funktionen bietet diese Extension:

• Synchronisieren der Benutzer von dem AS OpenID Server
• Periodisches Ändern der Kennwörter von Backend Benutzern
• Umbenennen des Admin Zugangs
• Ändern des Admin Kennworts auf ein tagesaktuelles Kennwort

Installation

Damit die Extension korrekt funktioniert, muss das PHP Modul mcrypt installiert und aktiviert sein.

sudo apt-get install php-mcrypt
sudo service apache2 restart

Die Extension muss dann nur noch über den Extensionmanager installiert werden und benötigt keine weiteren Schritte. Es werden zusätzlich die Extensions scheduler und openid installiert.

Konfiguration

Für die Synchronisation muss ein neuer Planer-Task angelegt werden. Der Name des Tasks lautet OpenID - Benutzersynchronisation. Hat man diesen Ausgewählt gibt es drei Felder zum befüllen:

Rename admin user to this user

Hier kann man den neuen Namen einstellen den der Benutzer admin nach der Ausführung haben soll. Den Benutzer admin umzubenennen macht deshalb Sinn, weil dieser Benutzername Standard bei Typo3 ist und ein Angreifer damit schon mal einen gültigen Benutzernamen hat.

Exclude the following users from beeing modified (comma separated)

Gibt es z.B. Admin-Nutzer die nicht von A&S sind, kann man diese von der Verarbeitung ausschließen. Die Benutzernamen dieser Benutzer werden kommasepariert in dieses Feld eingetragen.

Set openid password as default

Wird diese Option gesetzt, dann erhalten die Benutzer als Passwort keine zufällige Zeichenkette sondern das tagesaktuelle Admin Passwort.

Funktionsweise

Der Planer-Task verbindet sich bei dessen Ausführung mit dem OpenID Server von A&S auf www.online-access.de und liest die Datei /var/www/vhosts/openid/httpdocs/pushusers.php. Hier werden alle aktuell verfügbaren Benutzer aus dem OpenId System ausgelesen und mit einigen Standard-Einstellungen für Typo3 versehen. Dort gibt es eine Konfigurationsdatei unter /var/www/vhosts/openid/syncconf.php in der das aktuelle admin Passwort zu finden ist. Das Update-Script /var/www/vhosts/openid/updatesync.php erneuert diese Kennwörter regelmäßig um 0:00 Uhr über einen Cron-Job.

Diese von pushusers.phperzeugten Daten werden dann verschlüsselt an das Typo3 übertragen und der Planertask ergänzt die aktuellen Backend-Benutzer bzw. entfert solche die nicht mehr im OpenId vorhanden sind. Die Kennwörter aller betroffenen Admin-Benutzer werden zusätzlich auf eine zufällige Zeichenkette, oder auf das Standard-Kennwort geändert, je nach Einstellung. Ein Login ins Typo3 Backend ist damit nur noch über OpenID oder den umbenannten admin Account möglich.