October 2022 - FRsAG

Réflexion sur référentiel identité unique dans environnement Linux, Windows et web
by DUVERGIER Claude 22 Jan '24

22 Jan '24

Bon(soi|jou)r la liste, Je pose ici mes réflexions sur un problème qui, j'espère, parlera à certains (qui l'auront résolu), pourra en aider d'autres (qui l'ont/l'auront un jour). TL;DR : Quels sont les services à utiliser pour pouvoir authentifier des utilisateurs lors d'accès à des dossiers partagés CIFS, des serveurs SSH Linux et des applications Web avec un référentiel unique/centralisé. CONTEXTE : J'ai actuellement l'infrastructure suivante : * Annuaire LDAP sous OpenLDAP : c'est le référentiel unique, il contient utilisateurs/machines (PosixAccount) et groupes (PosixGroup). * Application (web) maison pour alimenter l'annuaire en fonction des embauches/départs (pas de base de données SQL ou autre, tout est dans le LDAP). * Serveur OpenID pour certaines applications web : utilise le LDAP comme source. * Les utilisateurs ont des comptes locaux sur leur stations de travail Windows/Linux (aucune interaction avec le LDAP). Ainsi, les utilisateurs peuvent s'identifier sur : * des application Web qui gèrent nativement LDAP (eg. Moodle, GitLab, GLPI, etc.). * des applications Web sous Apache/Nginx (via mod_authnz_ldap ou nginx-ldap-auth). * des applications Web qui gèrent OpenID. * des serveurs Linux en SSH via nslcd, libnss-ldapd et libpam-ldapd. (Et avoir un carnet d'adresse des collègues dans leur client de messagerie) Chaque application est responsable de qui elle accepte (utilisateur et/ou groupe) et de ce qu'elle lui autorise de faire (l'annuaire LDAP ne contient pas de permissions). PROBLÈMES/LIMITES : Cela fonctionne (bien) depuis des années, mais ne réponds pas aux besoins suivants (arrivés plus tard) : * (Le plus important): le partage de fichiers via CIFS/Samba (car nécessite des attributs spécifiques dans le LDAP). * stocker *facilement* des données complexes dans OpenLDAP (eg. variantes d'avatars/photo, jours de présence sur x semaines) Bonus facultatif : gestion "domaine" des comptes utilisateurs des stations de travail pour qu'ils utilisent les même identifiants lors de l'ouverture de leur session, que je puisse les gérer de manière centralisée, et qu'ils soient même pré-authentifiés sur les serveurs de fichiers. ÉBAUCHE DE SOLUTION : Je pense donc qu'il est temps de tout reprendre à zéro et c'est là que je découvre (car je suis néophyte sur ces questions) : * FreeIPA qui créer un "AD-like" pour machines Linux. * Samba v4 qui intègre désormais son annuaire LDAP et se comporte comme un Active Directory. * D'autres dont j'avais déjà entendu parler sans jamais les utiliser : Kerberos et RADIUS/DIAMETER. J'envisage donc l'architecture suivante : * Application maison pour stocker (dans une base SQL quelconque) les utilisateurs/groupes (+ des infos spécifiques complexes) ET qui alimente l'annuaire avec seulement les infos pertinentes/standardisées (le schéma LDAP sera plus simple et une API REST pourra exposer les autres infos aux applications si besoin). * Serveur d'annuaire LDAP (OpenLDAP, 389DS, le 389DS de FreeIPA, le LDAP de Samba4 ?). * Serveur(s) de fichiers (TrueNAS, OpenMediaVault, etc.) : qui se connectent à l'annuaire LDAP (ou autre forme de confiance/délégation). Si je prends le bonus "domaine" : que me faudrait-il ? Samba4 seul suffirait pour les stations de travail Windows ET Ubuntu ou bien il faudrait Samba4+FreeIPA pour tout couvrir ? L'idée d'avoir un AD Samba4 qui tourne sur Internet ne me plait guère. Et comme les serveurs de fichiers seront de toutes façons dans le LAN, je pense plutôt installer Samba4 en LAN et mettre en place, juste pour les applications web, une copie (synchro à sens unique) vers un OpenLDAP ouvert sur Internet (sans les attributs samba/domaine). Je suis ouvert à : * toute correction si j'ai dit une énormité sans nom * et surtout à toute suggestion d'outil que je n'aurais pas trouvé qui m'aide dans ma quête. Merci

7 6

Question théorique concernant la migration d'un LXC
by David Ponzone 12 Nov '22

12 Nov '22

S’il y a des gurus des LXC ici, J’ai déplacé un LXC d’un Proxmox 6 (Debian 10.6) vers un Proxmox 7 (Debian 11.4) (j’ai donc juste copié le fichier de conf, et le root disk était accessible en NFS). Et ça marche. Je m’attendais à ce que ça crash lamentablement. Donc, je me questionne: -coup de bol parce que Debian 10 à Debian 11, même organisation et pas de gros changement entre les 2 ? -pas un coup de bol, les LXC permettent ça tout le temps tant que les binaires sont compatibles -je crois que ça marche, mais en fait ça va finir par déconner ? Merci

7 7

SpamAssassin et bitcoin scam en French
by David Ponzone 11 Nov '22

11 Nov '22

Combattant(e)s du spam, J’ai l’impression que SpamAssassin ne bloque pas les spams du type extorsion de bitcoin sous prétexte de vidéos compromettantes quand ils sont en français. Je me trompe ou effectivement la localisation en french a pas été faite ? Merci David

3 2

[TECH] Réception de SMS via API (voire e-mail à défaut)
by DUVERGIER Claude 25 Oct '22

25 Oct '22

Bonjour la liste, Je recherche un service/fournisseur/opérateur de téléphonie mobile capable de me donner accès, via une API, aux SMS envoyé sur un numéro de téléphonie mobile français (+33 06xxx, +33 07xxx). L'idée étant d'y greffer un script (via polling régulier et/ou callback) qui irait lire ce SMS et faire des choses avec (dans le cadre de monitoring notamment)… Commercialement, ça semble se nommer "Numéro (mobile) virtuel". J'avais (il y a quelques temps) identifié les fournisseurs suivants : * https://www.ovhtelecom.fr/sms/reponse/numeros-virtuels.xml (arrêté sans successeur à ce jour : « Bientôt de retour sous un nouveau format ») * https://simpletexting.com/api/ * https://sms.to * https://www.bandwidth.com/messaging/sms-api/ * https://www.cm.com/sms/ * https://www.plivo.com/sms/ * https://www.primotexto.com * https://www.sinch.com/products/apis/messaging/sms/ * https://www.smspartner.fr/numero-virtuel/ * https://www.telesign.com/products/sms-api * https://www.textlocal.com/integrations/api/ * https://www.twilio.com/fr/sms * https://www.vonage.com/communications-apis/sms/ Mais je prends volontiers des retours d'expériences/conseils avec une préférence pour un service français/européen. Note : j'ai actuellement le numéro destinataire chez un opérateur mobile "classique" et j'aimerais si possible le conserver (il est connu des tiers qui y envoient des SMS) mais si c'est vraiment problématique je pourrais en changer. -- DUVERGIER Claude

2 1

Problème envoie mail avec Microsoft
by Pierre-E 25 Oct '22

25 Oct '22

Bonjour à tous, Mon premier mail sur la liste pour parler mail justement... Depuis ce matin 8h50, j'ai l'ensemble des mails envoyé chez Microsoft, depuis le serveur d'un client, qui se font rejeter pour la raison suivante : 550 5.7.1 Unfortunately, messages from [178.208.4.148] weren't sent. Please contact your Internet service provider since part of their network is on our block list (S3150). You can also refer your provider to http://mail.live.com/mail/troubleshooting.aspx#errors. [BN8NAM04FT039.eop-NAM04.prod.protection.outlook.com] Aucun souci ailleurs, listé sur aucune blacklist publique et clean sur SDNS(https://sendersupport.olc.protection.outlook.com/snds/). J'ai aussi réalisé des tests depuis plusieurs serveurs, et tous les mails se font soit rejeté soit envoyé en spam. Suis-je le seul à constater ce problème ? Avez-vous une idée ? Pierre-Emmanuel LE THIEC

7 8

Certificat pour signature de documents
by Zorg 24 Oct '22

24 Oct '22

Bonjour Je cherche à savoir qu'elle est pour vous Je dois mettre en place une solution qui fonctionne actuellement en signant des documents (pdf, odt) avec de clés PKCS#12 généré à partir d'un certificat racine autosigné Je cherche maintenant à pouvoir signer mes documents à partir de clés signées par un certificat valide. Mais je vous avoue être un peu perdu dans la jungle des certificats. Du coup, je suis ouvert à tout conseil. Qu'elle type de certificat dois je acheter et chez qui me le procurer Merci d'avance pour vos réponses Zorg

5 5

Comment gérer mon compte sur la liste ?
by contact＠orditux.org 20 Oct '22

20 Oct '22

Bonjour, n'ayant pas trouvé d'instruction fonctionnelle* depuis frsag.org pour gérer mon compte (je voudrais changer d'adresse mail, donc me désinscrire et me réinscrire avec une autre adresse). J'ai envoyé une demande dans ce sens à l'adresse que j'ai trouvée en suivant la piste, c'est à dire sur frsag-owner(a)frsag.org, vendredi dernier, le 14/10. Auprès de qui puis-je réexpédier mon mail de vendredi dernier pour présenter le problème en détail ? (*L' adresse sur la quelle je reçois les mails de la liste est déclarée tantôt déjà existante et tantôt inconnue par le programme de gestion des mails). Merci par avance, Joyce MARKOLL -- Orditux Informatique https://orditux.org https://orditux.org/aol

4 5

approvisionnement switches, recherche alternative
by elpablodelcasata＠netcourrier.com 19 Oct '22

19 Oct '22

Bonjour la liste, avec les problèmes d'approvisionnement j'ai du mal a trouver des switches Aruba de distribution POE dans des délais convenable. Avez vous une fournisseur qui assure ? ou un broker sur de l'ancienne gamme genre HP 2530. Sinon je me demande si quelqu'un a testé les switches FS ? (fs.com) qui ont du stock et des délais convenables. Merci

3 2

Re: FRsAG Digest, Vol 547, Issue 7
by luc le rumeur 18 Oct '22

18 Oct '22

Hello, Un presque hors sujet, vous avez des recommandations pour du desktop laptop en remplacement de Ubuntu ? Luc On Sun, Oct 16, 2022, 12:00 <frsag-request(a)frsag.org> wrote: > Envoyez vos postes pour la liste de diffusion FRsAG à > frsag(a)frsag.org > > Pour vous inscrire ou désinscrire par courriel, envoyez un message > avec 'help' dans l’objet ou le corps à > frsag-request(a)frsag.org > > Vous pouvez contacter la personne gérant la liste en écrivant à > frsag-owner(a)frsag.org > > Quand vous répondez, veuillez éditer l’objet pour qu’il soit plus > précis que "Re: Contenu du résumé de FRsAG ..." > > Today's Topics: > > 1. Re: De la pub dans votre cli... merci ubuntu (Wallace) > > > ---------------------------------------------------------------------- > > Message: 1 > Date: Sat, 15 Oct 2022 13:20:07 +0200 > From: Wallace <wallace(a)morkitu.org> > Subject: [FRsAG] Re: De la pub dans votre cli... merci ubuntu > To: frsag(a)frsag.org > Message-ID: <cdb0978a-6a77-ab60-5d54-4889db285dd8(a)morkitu.org> > Content-Type: multipart/alternative; > boundary="------------uEeK6FisZvWK3dOovfiCm0RU" > > > Le 14/10/2022 à 09:12, Sebastien Guilbaud a écrit : > > > > tout le monde ne peut pas avoir un positionnement aussi clivant, > > surtout quand le discours sonne plus politique que rationnel => tu as > > du bol d'avoir des clients qui suivent, profites-en :-) > > > Les clients arrivent rarement avec des architectures propres et idéales. > Donc c'est notre rôle de remettre le contexte, vous fournissez une > application et des données, on s'occupe du reste. > > Après on fait bien d'autres distributions, on aura du RedHat / Suse > principalement dans le milieu industriel ou des clients SAP, RockyLinux > pour quelques progiciels qui tournaient sous CentOS, toutes les demandes > Ubuntu s'adressent sans soucis sous Debian et clairement on ne déploie > plus d'Ubuntu. Et après on va déployer du Alpine ou Debian pour les > dockers, FreeBSD pour les firewalls et certains progiciels. > > Voilà les demandes qu'on a et les distros qu'on déploie mais clairement > dans le lot Ubuntu c'est fini, on a virer les dernières justement après > des maj entre LTS qui déconnent. > >

4 3

De la pub dans votre cli... merci ubuntu
by Mickael MONSIEUR 15 Oct '22

15 Oct '22

Bonjour, Tout d'abord, petite mise en contexte. Je n'aime pas spécialement Ubuntu. J'administre du Debian depuis 20 ans et je ne changerais pour rien au monde. Mais malheureusement, j'ai des clients en infogérance qui ont choisi Ubuntu, il faut bien faire avec. Aujourd'hui, je mets à jour un système qui sert de plateforme Docker et que vois-je dans mon cli après un apt-get dist-upgrade : Try Ubuntu Pro beta with a free personal subscription on up to 5 machines. Learn more at https://ubuntu.com/pro C'est super intrusif je trouve. J'ai trouvé (ici https://askubuntu.com/questions/1434512/how-to-get-rid-of-ubuntu-pro-advert…) comme désactiver cela. Je compte bien le déployer avec Ansible sur toutes les machines. Et vous, qu'est-ce que vous en pensez ?

11 13