October 2021 - FRsAG

Réflexion sur référentiel identité unique dans environnement Linux, Windows et web
by DUVERGIER Claude 22 Jan '24

22 Jan '24

Bon(soi|jou)r la liste, Je pose ici mes réflexions sur un problème qui, j'espère, parlera à certains (qui l'auront résolu), pourra en aider d'autres (qui l'ont/l'auront un jour). TL;DR : Quels sont les services à utiliser pour pouvoir authentifier des utilisateurs lors d'accès à des dossiers partagés CIFS, des serveurs SSH Linux et des applications Web avec un référentiel unique/centralisé. CONTEXTE : J'ai actuellement l'infrastructure suivante : * Annuaire LDAP sous OpenLDAP : c'est le référentiel unique, il contient utilisateurs/machines (PosixAccount) et groupes (PosixGroup). * Application (web) maison pour alimenter l'annuaire en fonction des embauches/départs (pas de base de données SQL ou autre, tout est dans le LDAP). * Serveur OpenID pour certaines applications web : utilise le LDAP comme source. * Les utilisateurs ont des comptes locaux sur leur stations de travail Windows/Linux (aucune interaction avec le LDAP). Ainsi, les utilisateurs peuvent s'identifier sur : * des application Web qui gèrent nativement LDAP (eg. Moodle, GitLab, GLPI, etc.). * des applications Web sous Apache/Nginx (via mod_authnz_ldap ou nginx-ldap-auth). * des applications Web qui gèrent OpenID. * des serveurs Linux en SSH via nslcd, libnss-ldapd et libpam-ldapd. (Et avoir un carnet d'adresse des collègues dans leur client de messagerie) Chaque application est responsable de qui elle accepte (utilisateur et/ou groupe) et de ce qu'elle lui autorise de faire (l'annuaire LDAP ne contient pas de permissions). PROBLÈMES/LIMITES : Cela fonctionne (bien) depuis des années, mais ne réponds pas aux besoins suivants (arrivés plus tard) : * (Le plus important): le partage de fichiers via CIFS/Samba (car nécessite des attributs spécifiques dans le LDAP). * stocker *facilement* des données complexes dans OpenLDAP (eg. variantes d'avatars/photo, jours de présence sur x semaines) Bonus facultatif : gestion "domaine" des comptes utilisateurs des stations de travail pour qu'ils utilisent les même identifiants lors de l'ouverture de leur session, que je puisse les gérer de manière centralisée, et qu'ils soient même pré-authentifiés sur les serveurs de fichiers. ÉBAUCHE DE SOLUTION : Je pense donc qu'il est temps de tout reprendre à zéro et c'est là que je découvre (car je suis néophyte sur ces questions) : * FreeIPA qui créer un "AD-like" pour machines Linux. * Samba v4 qui intègre désormais son annuaire LDAP et se comporte comme un Active Directory. * D'autres dont j'avais déjà entendu parler sans jamais les utiliser : Kerberos et RADIUS/DIAMETER. J'envisage donc l'architecture suivante : * Application maison pour stocker (dans une base SQL quelconque) les utilisateurs/groupes (+ des infos spécifiques complexes) ET qui alimente l'annuaire avec seulement les infos pertinentes/standardisées (le schéma LDAP sera plus simple et une API REST pourra exposer les autres infos aux applications si besoin). * Serveur d'annuaire LDAP (OpenLDAP, 389DS, le 389DS de FreeIPA, le LDAP de Samba4 ?). * Serveur(s) de fichiers (TrueNAS, OpenMediaVault, etc.) : qui se connectent à l'annuaire LDAP (ou autre forme de confiance/délégation). Si je prends le bonus "domaine" : que me faudrait-il ? Samba4 seul suffirait pour les stations de travail Windows ET Ubuntu ou bien il faudrait Samba4+FreeIPA pour tout couvrir ? L'idée d'avoir un AD Samba4 qui tourne sur Internet ne me plait guère. Et comme les serveurs de fichiers seront de toutes façons dans le LAN, je pense plutôt installer Samba4 en LAN et mettre en place, juste pour les applications web, une copie (synchro à sens unique) vers un OpenLDAP ouvert sur Internet (sans les attributs samba/domaine). Je suis ouvert à : * toute correction si j'ai dit une énormité sans nom * et surtout à toute suggestion d'outil que je n'aurais pas trouvé qui m'aide dans ma quête. Merci

7 6

Re: [FRsAG] ESXi VM backup lent 12Mo/s (Dell R710 SATA)
by Ludovic Levet 15 Nov '21

15 Nov '21

Bonjour, On parle d'un cp entre datastores locaux, on passe pas par le réseau. Ludo. Le 15/10/2021 à 06:41, Stéphane Karges a écrit : > Hello, > > Pb de drivers carte réseau, j’ai eu le pb par défaut la carte est en 100g et pas en 1000. Il y a eu manip pour prendre l’ancien drivers tu trouve sur internet. Cela réglera ton pb. > > Stéphane > > Envoyé de mon iPhone > >> Le 14 oct. 2021 à 23:03, Ludovic Levet via FRsAG <frsag(a)frsag.org> a écrit : >> >> Bonjour, >> >> A vérifier : >> >> - Présence de la barrette mémoire (cache) sur la la perc 700 >> >> - État de la batterie cache de la perc 700 >> >> - Config de la Perc -> Perc cache enable et disk cache enable >> >> Ludo. >> >> >>> Le 14/10/2021 à 12:18, Frédéric Dumas a écrit : >>> Bonjour, >>> >>> que ce soit par la console locale avec la commande cp, ou par le client vSphere, le backup manuel de VMs entre datastore locaux se fait à un débit ridicule de 10~12Mo/s. Je m’attendais à 10 fois mieux. Coté hardware, le serveur est un Dell R710, la source est une grappe raid5 branchée au contrôleur PERC H700, la cible un HDD 7200 rpm, branché sur un port SATA interne de la carte mère. Remplacer le HDD par un SSD n’a rien amélioré. Coté software, tous les volumes impliqués sont en vmfs et VMware est en version 5.5. >>> >>> Ce genre de transfert lent rappelle-t-il des souvenirs à certains, qui pourraient m’aiguiller ? Est-ce une limite hardware voulue par Dell (le HDD et le SSD ont des firmwares constructeur génériques) ? Ou est-ce un mauvais usage de la commande copy? >>> >>> Il y a quelques téra à récupérer. Le plus simple serait de laisser tourner le backup quelques jours, mais sur le bureau, le serveur fait un boucan pas possible. Je n’ose pas trop lui retirer les ventilos capot ouvert, les radiateurs des procs sont quand même bien chauds. >>> >>> Si certains ont une piste! Merci. >>> >>> -- >>> Frédéric Dumas >>> f.dumas(a)ellis.siteparc.fr >>> >>> >>> >>> >>> >>> _______________________________________________ >>> Liste de diffusion du FRsAG >>> http://www.frsag.org/ >> -- >> ------------------------------------------------------------------------------------------------------------------------- >> Ce message inclut une signature numérique. Il certifie que l'expéditeur et le contenue du message sont authentiques. >> Si votre logiciel de messagerie est compatible, Il doit garantir que le document n'a pas été altéré entre l'instant où >> l'auteur l'a signé et le moment où le lecteur le consulte. >> Loi n°2000-230 du 13 mars 2000 Art. 1316, 1316-1, 1316-2, 1316-3, 1316-4 du Code civil. >> La présence d'un fichier joint 'smime.p7s' (fichier signature) indique que votre client messagerie n'est pas compatible. >> ------------------------------------------------------------------------------------------------------------------------- >> >> _______________________________________________ >> Liste de diffusion du FRsAG >> http://www.frsag.org/ -- ------------------------------------------------------------------------------------------------------------------------- Ce message inclut une signature numérique. Il certifie que l'expéditeur et le contenue du message sont authentiques. Si votre logiciel de messagerie est compatible, Il doit garantir que le document n'a pas été altéré entre l'instant où l'auteur l'a signé et le moment où le lecteur le consulte. Loi n°2000-230 du 13 mars 2000 Art. 1316, 1316-1, 1316-2, 1316-3, 1316-4 du Code civil. La présence d'un fichier joint 'smime.p7s' (fichier signature) indique que votre client messagerie n'est pas compatible. -------------------------------------------------------------------------------------------------------------------------

3 3

Des utilisateurs de purestorage ?
by open doc 28 Oct '21

28 Oct '21

Bonjour à tous, on doit investir dans un nouveau stockage pour une nouvelle salle. Actuellement on utilise nimble et on en est vraiment content, super simple d'utilisation, gestion facile via le vcenter. Je souhaiterai savoir si certaines personnes utilisent du purestorage, est ce que le produit s'intègre bien dans le vcenter pour des actions d'agrandissement et de création de datastore ? Si vous avez des retours sur de la gestion de pannes je suis preneur. Alexandre.

3 5

consomation electrique des postes informatiques desktop/laptop
by Vincent 28 Oct '21

28 Oct '21

Bonjour, Je cherche à mesurer la consommation electrique en temps réel de mon parc informatique desktop et laptop. Je pensais naivement que cette donnée était facilement accessible (comme sur les serveurs via les idrac) mais cela ne me semble pas le cas. Savez vous : 1) Si c'est possible? (je n'ai pour l'instant rien trouvé.. sauf si un ordi portable est en mode batterie) 2) si non, quel logiciel (de préférence multi-plateforme Microsoft/Windows et GNU/Linux) conseillerez vous pour une estimation? L'objectif étant de savoir fournir un bilan de la conso electrique basique (sans les écrans, accessoire BT, etc) de notre parc en continu (présentiel et télétravail) pour mes collègues du dévelopement durable. D'avance merci! Vincent

12 28

Git et image de filesystem
by Pierre Colombier 25 Oct '21

25 Oct '21

Bonjour, J'ai un filesystem (ext4) que j'aimerai intégralement versionner dans un dépot Git. Problème : git ne gère pas les propriétaires/groupes ni la plupart des droits d'accès. Existe-il une façon classique de conserver ces métadonnées et de les réappliquer ?

6 6

Re: [FRsAG] Git et image de filesystem
by frsag＠thomas.cuivre.fr.eu.org 25 Oct '21

25 Oct '21

Le 25/10/2021 à 12:39, Pierre Colombier a écrit : > > Précision sur le/les cas d'usage > > > Le filesystem est un os "embarqué" d'environ 200Mo qui se pose une une > mémoire flash du genre sdcard ou clé usb ou plus probablement flash > directement soudée sur la carte. > > On l'y uploadera sous la forme d'une image brute. > > Dans ce cas une autre option possible, plutôt que de versionner l'ensemble de l'image, serait de versionner les scripts qui permettent de la bâtir (par exemple une recette Yocto).

1 0

Re: [FRsAG] Exchange like - OpenSource
by Olivier CALZI 23 Oct '21

23 Oct '21

Bonjour, En ce qui concerne Zentyal cela as été "repris" par Nethserver. Projet vivant avec bonne communauté. #my2cents Cordialement, Olivier Calzi

2 1

Re: [FRsAG] Sauvegarde office 365
by David Ponzone 22 Oct '21

22 Oct '21

> Le 21 oct. 2021 à 21:45, Thomas Constans <thomas(a)opendoor.fr> a écrit : > > Merci de vos conseils, je vais tester acronis et veeam. > > > On 2021-10-21 14:55, David Ponzone wrote: >> Peut-être parce que l’open source a jamais été capable de délivrer les mêmes outils avec le même niveau d’intégration ? > > pour le niveau d'intégration, une solution qui ne propose pas de mécanisme de backup / restauration ... Il y a un mécanisme de rétention (EOA). Excellente analyse de ce que MS fait et ne fait pas, et plusieurs solutions de backup: https://lazyadmin.nl/office-365/microsoft-office-365-backup/ <https://lazyadmin.nl/office-365/microsoft-office-365-backup/> MS, ils ont besoin de créer un écosystème autour de de leurs produits. C’est pas parce qu’ils passent online qu’ils doivent défoncer leurs partenaires historiques. Et dans le domaine du backup, c’est particulièrement justifié, car si on backup son Exchange Online, on aura tendance à le faire ailleurs que chez MS/Azure….. >> Je suis le dernier à défendre MS, mais MS365, avec absolument tout contrôlable/configurable depuis un powershell n’importe où dans le monde, c’est bluffant de puissance, particulièrement pour un mastodonte de l’IT traditionnel qui aurait pu échouer à se transformer en mastodonte de l’IT 2.0 > > Je suis preneur d'un powershell qui me dump mes boîtes utilisateurs et mes fichiers sur un serveur local :D > Clairement, pas possible.

3 2

Re: [FRsAG] Sauvegarde office 365
by Vincent Habchi 22 Oct '21

22 Oct '21

Salut, > Un de mes clients a eu la bonne idée de passer chez Microsoft pour les mails et l'hébergement de fichiers. Quelle [e|ho]rreur ! :p Tu n’as pas pu l’en dissuader ? V.

11 18

Exchange like - OpenSource
by HYVERNAT Philippe Responsable Informatique CHAVS 22 Oct '21

22 Oct '21

Bonjour, je me permets d'envoyer un message à la communauté car nous avons un projet de refonte de notre messagerie, dans notre établissement. En effet, nous possédons plusieurs avec plusieurs solutions différentes, notamment de l'IMAP hébergé chez OVH pour le site A , et de l'Exchange 2010 pour le site B. Gérant ce projet, j'aimerais savoir s'il existe une solution OpenSource ayant des fonctionnalités similaires à Exchange (annuaire global de contact, partage de calendrier, connexion avec notre Active directory, mail de distribution etc....). Les utilisateurs du site B ayant gouté a Exchange ne veulent pas repasser sur une solution moins avancé. Merci à vous pour vos retours. HYVERNAT Philippe Responsable Informatique

13 18