OIDC n'est pas un annuaire : pourquoi je ressors LDAP à côté d'Authentik
J'exploite le système d'information d'un assureur simulé sur un cluster Kubernetes de six nœuds, et l'histoire de l'identité est limpide : Authentik est le fournisseur d'authentification unique, chaque application est derrière lui, un seul login ouvre tout. C'est toute la promesse du SSO — arrêter de disséminer des mots de passe dans quarante applications.
C'était donc un peu gênant de me retrouver, pour la deuxième fois, à monter un serveur LDAP juste à côté d'Authentik. D'abord pour la messagerie. Puis, cette semaine, pour l'ITSM. Deux fois, j'ai dépassé la jolie porte OIDC pour en ouvrir une plus ancienne et moins à la mode. À ce moment-là, la vraie question d'un bon ingénieur n'est pas « comment câbler LDAP ? » — c'est « pourquoi mon beau SSO me laisse-t-il tomber ici ? ».
La réponse s'est révélée identique les deux fois, et elle mérite d'être écrite pour ne jamais la redécouvrir une troisième fois.