December 2021 - FRsAG

Réflexion sur référentiel identité unique dans environnement Linux, Windows et web
by DUVERGIER Claude 22 Jan '24

22 Jan '24

Bon(soi|jou)r la liste, Je pose ici mes réflexions sur un problème qui, j'espère, parlera à certains (qui l'auront résolu), pourra en aider d'autres (qui l'ont/l'auront un jour). TL;DR : Quels sont les services à utiliser pour pouvoir authentifier des utilisateurs lors d'accès à des dossiers partagés CIFS, des serveurs SSH Linux et des applications Web avec un référentiel unique/centralisé. CONTEXTE : J'ai actuellement l'infrastructure suivante : * Annuaire LDAP sous OpenLDAP : c'est le référentiel unique, il contient utilisateurs/machines (PosixAccount) et groupes (PosixGroup). * Application (web) maison pour alimenter l'annuaire en fonction des embauches/départs (pas de base de données SQL ou autre, tout est dans le LDAP). * Serveur OpenID pour certaines applications web : utilise le LDAP comme source. * Les utilisateurs ont des comptes locaux sur leur stations de travail Windows/Linux (aucune interaction avec le LDAP). Ainsi, les utilisateurs peuvent s'identifier sur : * des application Web qui gèrent nativement LDAP (eg. Moodle, GitLab, GLPI, etc.). * des applications Web sous Apache/Nginx (via mod_authnz_ldap ou nginx-ldap-auth). * des applications Web qui gèrent OpenID. * des serveurs Linux en SSH via nslcd, libnss-ldapd et libpam-ldapd. (Et avoir un carnet d'adresse des collègues dans leur client de messagerie) Chaque application est responsable de qui elle accepte (utilisateur et/ou groupe) et de ce qu'elle lui autorise de faire (l'annuaire LDAP ne contient pas de permissions). PROBLÈMES/LIMITES : Cela fonctionne (bien) depuis des années, mais ne réponds pas aux besoins suivants (arrivés plus tard) : * (Le plus important): le partage de fichiers via CIFS/Samba (car nécessite des attributs spécifiques dans le LDAP). * stocker *facilement* des données complexes dans OpenLDAP (eg. variantes d'avatars/photo, jours de présence sur x semaines) Bonus facultatif : gestion "domaine" des comptes utilisateurs des stations de travail pour qu'ils utilisent les même identifiants lors de l'ouverture de leur session, que je puisse les gérer de manière centralisée, et qu'ils soient même pré-authentifiés sur les serveurs de fichiers. ÉBAUCHE DE SOLUTION : Je pense donc qu'il est temps de tout reprendre à zéro et c'est là que je découvre (car je suis néophyte sur ces questions) : * FreeIPA qui créer un "AD-like" pour machines Linux. * Samba v4 qui intègre désormais son annuaire LDAP et se comporte comme un Active Directory. * D'autres dont j'avais déjà entendu parler sans jamais les utiliser : Kerberos et RADIUS/DIAMETER. J'envisage donc l'architecture suivante : * Application maison pour stocker (dans une base SQL quelconque) les utilisateurs/groupes (+ des infos spécifiques complexes) ET qui alimente l'annuaire avec seulement les infos pertinentes/standardisées (le schéma LDAP sera plus simple et une API REST pourra exposer les autres infos aux applications si besoin). * Serveur d'annuaire LDAP (OpenLDAP, 389DS, le 389DS de FreeIPA, le LDAP de Samba4 ?). * Serveur(s) de fichiers (TrueNAS, OpenMediaVault, etc.) : qui se connectent à l'annuaire LDAP (ou autre forme de confiance/délégation). Si je prends le bonus "domaine" : que me faudrait-il ? Samba4 seul suffirait pour les stations de travail Windows ET Ubuntu ou bien il faudrait Samba4+FreeIPA pour tout couvrir ? L'idée d'avoir un AD Samba4 qui tourne sur Internet ne me plait guère. Et comme les serveurs de fichiers seront de toutes façons dans le LAN, je pense plutôt installer Samba4 en LAN et mettre en place, juste pour les applications web, une copie (synchro à sens unique) vers un OpenLDAP ouvert sur Internet (sans les attributs samba/domaine). Je suis ouvert à : * toute correction si j'ai dit une énormité sans nom * et surtout à toute suggestion d'outil que je n'aurais pas trouvé qui m'aide dans ma quête. Merci

7 6

[TECH] Sonde température interrogeable en SNMP
by Fabien Sirjean 04 Oct '22

04 Oct '22

Salut la liste, Quel est votre modèle préféré de sonde de température IP interrogeable en SNMP ? Dans mon cahier des charges du monde idéal, il y aurait par exemple : * open hardware * SNMPv3 * pas lié à un provider cloud bling bling quelconque * si ça fait l'hygrométrie aussi c'est bien * 0U, alimenté en USB ou mieux en POE * pour ~ 40-50 balles (je rêve ?) Merci pour vos retours d'expérience :-) Belle fin de journée, Fabien

11 13

Aide au partitionnement lors installation d'OS Linux sur serveurs dédiés OVH ?
by DUVERGIER Claude 29 Dec '21

29 Dec '21

TL;DR; Pour partitionner et installer du Linux sur des serveurs dédiés OVH vous utilisez 1) le manager web, 2) l'API, 3) un outil tiers. Au bureau on a quelques serveurs dédiés chez OVH (et ses filiales), on utilise principalement du Debian et on aime bien avoir un partitionnement avec /home, /root, /tmp et /var séparés. (et utiliser du LVM et parfois du XFS) Après un temps à utiliser l'outil de partitionnement "à la main" j'ai fait des templates (via l'API [1]) que je pouvais re-utiliser facilement selon les cas. Seulement voilà avec le temps des templates disparaissaient (??) ou s’avéraient ne plus être compatibles (aucune alerte sur le template mais il foire à l'installation). Dernier exemple en date : 4 serveurs identiques (même modèle) commandés, le temps d'installer les 3 premiers avec un template X qu'OVH changeait (en septembre) ses scripts de provisionnement/installation faisant planter l'installation du même template X sur le 4ème serveur : car "/usr" y est sur sa propre partition. Autre soucis : l'API permet d'ajouter des schémas de partitionnement à un même template d'installation, exemple : * Template "acme-debian11" schémas : * default * generic_raid1_ssd * generic_raid1_hdd * generic_raid5_hdd * app_foo * sql_bar Sauf que le manager web d'OVH ne les affiche pas lors de l'installation du serveur (alors que celui de SoYouStart oui). Vu ces écueils (qui arrivent toujours aux pires moments) je me dit que soit : * J'en demande trop à OVH * Il y a d'autres outils pour me permettre d'installer un OS au petits oignons (id. avec mon partitionnement) plus facilement/fidèlement et qui suivent les changements qu'OVH fait avec le temps : * Bring Your Own Image [2] * cloud-init * rescue + dd d'une VM faite en local * Packer [3]/Terraform [4] * … * Il y a une cheatsheet/bible (à jour) qui liste tous les red flags concernant le partitionnement de disque chez OVH et je dois composer avec. Pour ceux qui ont du OVH : vous faites comment ? [1] https://api.ovh.com/console/#/me/installationTemplate#GET [2] https://docs.ovh.com/fr/dedicated/bringyourownimage/ [3] https://www.packer.io [4] https://www.terraform.io

5 4

[BSO] postes ouverts / remote ok.
by Alexandre Legrix 16 Dec '21

16 Dec '21

Salut la liste. Nous avons 3/4 postes à pourvoir dans les équipes. * Sysadmin Linux de 1 à 3 ans d'expérience : localisation partout dans le monde : 100% remote ok [30/50] * Sysadmin Linux sénior de 4 à x ans d'expérience : localisation partout en France : 95% remote ok [45/70] * Customer success Admin : Un mec qui sait gérer des projets complexes de migration dans notre métier : 95% remote ok : bilingue FR/UK Localisation : Londres ou Paris préférence Londres [40/65] * Ingénieur R&D : Python/Go obligatoire Ruby apprécié : 100% remote ok Localisation partout dans le monde : Préférence sud de la France [45/70] Voilou && des bisous -- Alexandre

7 11

[Jobs] Scallog recrute un Admin Sys/Net/Infra en CDD
by Gauthier Millour 15 Dec '21

15 Dec '21

Bonjour à tous, Scallog recrute un admin Sys/Net/Infra en CDD (4 mois) pour me remplacer sur mon poste actuel. Je vous laisse l'annonce un peu plus bas. Pour ce qui est du contexte : - Petite équipe de 3 personnes (1 ingé sur la partie cliente, 1 ingé en interne (moi), un alternant en interne) - L'ingé habituellement sur la partie cliente s'en va en congé paternité et je le remplace le temps de son absence. L'idée est donc de me remplacer sur le périmètre interne le temps de son congé. Il y a un mois avant et après son congé le temps de la passation en sachant que je resterai présent pour l'accompagnement et la prise en main de l'infra N'hésitez pas à me DM pour plus d'infos Bonne soirée, L'annonce : La logistique continue son entrée dans le 4.0 et SCALLOG s’impose depuis 7 ans en acteur majeur de cette évolution. Jeune entreprise française experte dans l’automatisation des plateformes logistiques SCALLOG fabrique, développe et commercialise une flotte de robots mobiles capables de déplacer des étagères dans un environnement de distribution pour la préparation de commandes (stockage, picking, réapprovisionnement) : http://www.scallog.com/ SCALLOG travaille avec les grands noms de la logistique et totalise plus d’une quarantaine d’installations en France et à l’International. Son ambition est de rester leader et de poursuivre sa dynamique au service de la Supply Chain du futur. *LE POSTE* Maintien en condition opérationnelle et sécurisation des infrastructures systèmes et réseaux avec l’aide d’un alternant *MISSIONS PRINCIPALES* .Administration du parc informatique dans son ensemble (postes utilisateurs, serveurs) · Support aux utilisateurs Scallog (tout niveau) · Gestion des infrastructures informatiques : serveurs, stockage, hyperviseurs, sauvegardes, réseau, pare-feu · Administration des services mis à disposition des utilisateurs : Messagerie, Active Directory, Applications métiers, Partages de fichiers, Téléphonie fixe et mobile · Maintien à jour des documentations · Maintien en condition opérationnelle les infrastructures informatiques · Gestion et réalisation des projets d'évolution informatiques · Rédaction des différentes politiques des infrastructures informatiques *MISSIONS CYBERSECURITE* · Sensibiliser et veiller au bon respect de la politique de sécurité informatique · Elaborer, rédiger et déployer les standards de sécurité informatique · Assurer une veille de sécurité informatique et agir dans le cas de découverte d'une vulnérabilité impactant les infrastructures · Maintien de condition de sécurité des infrastructures informatiques · Auditer et superviser les critères de sécurité définis *PROFIL* Bac +4/5 en informatique spécialisation Réseaux 3 ans d’expérience minimum idéalement en PME Forte capacité à s'adapter en environnement hétérogène Bonne communication, pédagogie et force de proposition *COMPETENCES TECHNIQUES & ENVIRONNEMENT* · Administration Windows : Windows 10, Windows 2012R2 à 2019 · Administration Linux : CentOS 7 / 8 (majoritaire), Debian 8 / 9 / 10, Ubuntu 16.04, 18.04, 20.04, Linux Mint · Scripting : Bash, Python, PowerShell · Administration stockage : Synology DSM, Dell iSCSI SAN, SMB, NFS · Environnement de virtualisation : Cluster Hyper-V (3 nœuds) · Administration Réseau : Cisco, Fortinet, Ubiquiti UniFi · Administration des sauvegardes : Veeam · Services réseaux : CA, DHCP, DNS, VLAN, Filtrage, Routage, VPN SLL / IPSec · Services : Gestion des utilisateurs : Active Directory Messagerie : Google WorkspaceTéléphonie fixe : Keyy Téléphonie mobile : Android One (MDM via Google Workspace) Code management : Gitea, Jenkins Supervision : Centreon, Observium Gestion de projet : Redmine ERP : Dolibarr *NOS ATOUTS :* Une expertise métier forte et reconnue Une aventure humaine permettant à nos collaborateurs de se développer et de s’épanouir au sein d’une french tech pionnière dans son domaine Un travail d’équipe favorisant l’échange et le partage de connaissances dans un climat de convivialité Un esprit start-up qui nous anime jour après jour dans une société à taille humaine (50p) Vous avez l’envie de vous inscrire dans un projet ambitieux au sein d’une entreprise innovante et en plein développement dont vous pourrez partager les valeurs humaines et professionnelles ? N’hésitez plus, rejoignez-nous ! Durée du contrat : 4 mois Date limite de candidature : 10/01/2022 Statut : Cadre Date de début prévue : 10/01/2022 Type d'emploi : CDD Salaire : 2 500,00€ à 3 000,00€ par mois Avantages : - Participation au Transport Horaires : - Périodes de Travail de 8 Heures

1 0

Faille Log4j2
by David Ponzone 14 Dec '21

14 Dec '21

Pour ceux qui l’auraient raté: https://nvd.nist.gov/vuln/detail/CVE-2021-44228 <https://nvd.nist.gov/vuln/detail/CVE-2021-44228>

16 23

Écran noir au moment de signer un PDF sur Acrobat
by Hugo SIMANCAS 13 Dec '21

13 Dec '21

Bonjour, L'équipe SUPPORT s’enlise sur un problème avec Adobe Acrobat Reader DC. Lorsque nous faisons une signature, la fenêtre se grise-noir et plante complètement adobe ... C'est exactement ça, mais marche pas. On a déjà réinstallé et le problème revient. une idée ? Un bon pack de bière Toulousaine à gagner :) Merci / ::1 \ Hugo SIMANCAS Directeur Technique Associé https://www.data-expertise.com [https://www.data-expertise.com/] Support technique : 09 78 23 20 29 Standard : 05 34 26 02 46 | Ligne directe : 05 34 26 50 57 Mobile : 06 95 44 29 64 !Utilisez notre plateforme visio libre & gratuite : https://conf.data-expertise.com/ [https://conf.data-expertise.com/] !Pad collaboratif libre & gratuit sécurisé https://pad.data-expertise.com/ [https://pad.data-expertise.com/] Les informations contenues dans ce courrier électronique sont confidentielles et protégées par le secret professionnel. En tout état de cause, elles ne sont destinées qu'à la personne ou entreprise dont le nom est mentionné ci-dessus. Veuillez aviser l'expéditeur de toute difficulté ou de toute erreur dans la transmission de ce document. Si vous n'êtes pas le destinataire du présent courrier, vous n'êtes pas autorisé, sous peine de poursuites à en prendre des copies, le divulguer ou le diffuser. La présence de cette note prouve également que ce message électronique a été vérifié par un logiciel anti-virus.

3 6

JS7 JobScheduler : recherche prestataire pour mise en place et support
by Milamber 10 Dec '21

10 Dec '21

Bonjour, Je recherche un prestataire qui peur mettre en place et apporter du support à l'ordonnanceur JS7 JobScheduler ? Est ce que vous en connaissez? et éventuellement si vous avez un retour d'expérience sur JS7 JobScheduler. Merci. Crdt,

1 0

Apéro Lyonnais : lundi 06 décembre 2021
by cam.lafit 06 Dec '21

06 Dec '21

Bonjour tout le monde On finit l'année en beauté avec ce dernier apéro lyonnais et ses environs ce soir au : Malting-Pot 263 Grande Rue de la Guillotiere, 69007 soit le lundi 06 décembre 2021 dès 19h. Et toujours vaguement des infos sur : http://www.agendadulibre.org/tags/araas https://www.meetup.com/fr-FR/Auvergne-Rhone-Alpes-Apero-Admin-Sys/ Km

2 1

Quizz du vendredi soir: >&/dev/null
by David Ponzone 03 Dec '21

03 Dec '21

Fan de casse-têtes, puzzles, et autres trucs énervants, Ceci est pour toi. Soit une Debian 9.5. Soit un script bash qui est lancé par crontab 1440 fois par jour. Dans la crontab, le script est lancé ainsi: */1 * * * * script >&/dev/null En fait, je le lance 3 fois par min, avec des params différents, donc 4320 lancements par jour. Le script appelle un binaire, qui accessoirement fait lors de son exécution un: fprintf(stderr, "Resolving remote host '%s'... ", remote_host); Comme stdout et stderr sont redirigés vers /dev/null, crontab ne m’envoie jamais de mail…. ….sauf entre 2 et 20 fois par jour, où j’ai la chance de recevoir un mail qui contient: Resolving remote host ’truc.bidule.fr'... Done. Donc lors de 0,2% (environ) des exécutions, stderr n’est pas correctement renvoyée vers /dev/null. Alors moi perso, je suis pas un fan de ce genre d’énigme, surtout si c’est pour découvrir que c’est un truc connu, un bug de bash, ou de la libc sur une Debian 9.5. Je lance le chrono, il y a des tueurs sur cette liste :)

9 13