FRsAG June 2022

frsag@frsag.org

14 participants
8 discussions

Réflexion sur référentiel identité unique dans environnement Linux, Windows et web
by DUVERGIER Claude 22 Jan '24

22 Jan '24

Bon(soi|jou)r la liste, Je pose ici mes réflexions sur un problème qui, j'espère, parlera à certains (qui l'auront résolu), pourra en aider d'autres (qui l'ont/l'auront un jour). TL;DR : Quels sont les services à utiliser pour pouvoir authentifier des utilisateurs lors d'accès à des dossiers partagés CIFS, des serveurs SSH Linux et des applications Web avec un référentiel unique/centralisé. CONTEXTE : J'ai actuellement l'infrastructure suivante : * Annuaire LDAP sous OpenLDAP : c'est le référentiel unique, il contient utilisateurs/machines (PosixAccount) et groupes (PosixGroup). * Application (web) maison pour alimenter l'annuaire en fonction des embauches/départs (pas de base de données SQL ou autre, tout est dans le LDAP). * Serveur OpenID pour certaines applications web : utilise le LDAP comme source. * Les utilisateurs ont des comptes locaux sur leur stations de travail Windows/Linux (aucune interaction avec le LDAP). Ainsi, les utilisateurs peuvent s'identifier sur : * des application Web qui gèrent nativement LDAP (eg. Moodle, GitLab, GLPI, etc.). * des applications Web sous Apache/Nginx (via mod_authnz_ldap ou nginx-ldap-auth). * des applications Web qui gèrent OpenID. * des serveurs Linux en SSH via nslcd, libnss-ldapd et libpam-ldapd. (Et avoir un carnet d'adresse des collègues dans leur client de messagerie) Chaque application est responsable de qui elle accepte (utilisateur et/ou groupe) et de ce qu'elle lui autorise de faire (l'annuaire LDAP ne contient pas de permissions). PROBLÈMES/LIMITES : Cela fonctionne (bien) depuis des années, mais ne réponds pas aux besoins suivants (arrivés plus tard) : * (Le plus important): le partage de fichiers via CIFS/Samba (car nécessite des attributs spécifiques dans le LDAP). * stocker *facilement* des données complexes dans OpenLDAP (eg. variantes d'avatars/photo, jours de présence sur x semaines) Bonus facultatif : gestion "domaine" des comptes utilisateurs des stations de travail pour qu'ils utilisent les même identifiants lors de l'ouverture de leur session, que je puisse les gérer de manière centralisée, et qu'ils soient même pré-authentifiés sur les serveurs de fichiers. ÉBAUCHE DE SOLUTION : Je pense donc qu'il est temps de tout reprendre à zéro et c'est là que je découvre (car je suis néophyte sur ces questions) : * FreeIPA qui créer un "AD-like" pour machines Linux. * Samba v4 qui intègre désormais son annuaire LDAP et se comporte comme un Active Directory. * D'autres dont j'avais déjà entendu parler sans jamais les utiliser : Kerberos et RADIUS/DIAMETER. J'envisage donc l'architecture suivante : * Application maison pour stocker (dans une base SQL quelconque) les utilisateurs/groupes (+ des infos spécifiques complexes) ET qui alimente l'annuaire avec seulement les infos pertinentes/standardisées (le schéma LDAP sera plus simple et une API REST pourra exposer les autres infos aux applications si besoin). * Serveur d'annuaire LDAP (OpenLDAP, 389DS, le 389DS de FreeIPA, le LDAP de Samba4 ?). * Serveur(s) de fichiers (TrueNAS, OpenMediaVault, etc.) : qui se connectent à l'annuaire LDAP (ou autre forme de confiance/délégation). Si je prends le bonus "domaine" : que me faudrait-il ? Samba4 seul suffirait pour les stations de travail Windows ET Ubuntu ou bien il faudrait Samba4+FreeIPA pour tout couvrir ? L'idée d'avoir un AD Samba4 qui tourne sur Internet ne me plait guère. Et comme les serveurs de fichiers seront de toutes façons dans le LAN, je pense plutôt installer Samba4 en LAN et mettre en place, juste pour les applications web, une copie (synchro à sens unique) vers un OpenLDAP ouvert sur Internet (sans les attributs samba/domaine). Je suis ouvert à : * toute correction si j'ai dit une énormité sans nom * et surtout à toute suggestion d'outil que je n'aurais pas trouvé qui m'aide dans ma quête. Merci

7 6

[TECH] Sonde température interrogeable en SNMP
by Fabien Sirjean 04 Oct '22

04 Oct '22

Salut la liste, Quel est votre modèle préféré de sonde de température IP interrogeable en SNMP ? Dans mon cahier des charges du monde idéal, il y aurait par exemple : * open hardware * SNMPv3 * pas lié à un provider cloud bling bling quelconque * si ça fait l'hygrométrie aussi c'est bien * 0U, alimenté en USB ou mieux en POE * pour ~ 40-50 balles (je rêve ?) Merci pour vos retours d'expérience :-) Belle fin de journée, Fabien

11 13

Re: [FRsAG] recherche solution relay smtp on premise
by elpablodelcasata＠netcourrier.com 18 Sep '22

18 Sep '22

Vadesecure > c'est super cher super efficace (trop ?) Promox, j'ai vu et je me pose la question sur les performances antispam, est ce vraiment efficace ? des retex ? PineApp > une idée de la tarification ? Tobi De : Maxime DERCHE <maxime(a)mouet-mouet.net> À : frsag(a)frsag.org Sujet : Re: [FRsAG] recherche solution relay smtp on premise Date : 11/01/2022 14:37:17 Europe/Paris Bonjour, Le 11/01/2022 à 11:28, elpablodelcasata(a)netcourrier.com a écrit : > > Bonjour, > > Je suis à la recherche d'une solution de relay SMTP antispam / antivirus performant. > Avec du support et un antispam performant. > Pas besoin de portail utilisateur pour débloquer les emails. > Facilité d'exploitation pour les sysadmin. > C'est pour héberger sur mon infra (vmware), on a environ 2000 boites. > > Il faut que se soit fiable. > Je n'ai pas envie de dépenser une fortune donc pas de solution qui fait payer au mail > protégé si possible. <https://www.vadesecure.com/> ? Société basée à Hem, banlieue Lilloise. Apparemment (<https://fr.wikipedia.org/wiki/Vade_Secure>) il y aurait de l'activité aux USA donc exposition au Patriot Act, à vérifier. J'y ai brièvement bossé il y a quinze ans, mais j'ai pas du tout suivi depuis donc je n'ai pas d'avis sur le produit et je ne connais pas leur politique tarifaire, mais j'en entends régulièrement du bien localement. Bien cordialement, -- Maxime DERCHE OpenPGP public key ID : 0xAE5264B5 OpenPGP public key fingerprint : 7221 4C4F D57C 456F 8E40 3257 47F7 29A6 AE52 64B5 <https://www.mouet-mouet.net/maxime/blog/> _______________________________________________ Liste de diffusion du FRsAG http://www.frsag.org/

8 13

Relais smtp
by P.-A. 08 Jul '22

08 Jul '22

Bonjour, L'acteur qui nous fournissait ce service jusqu'à présent mettant un terme à son activité, je suis à la recherche d'un fournisseur de relais smtp pour acheminer environ 12000 mails par mois et assurer du support concernant les éventuels problèmes de délivrabilité. Il s'agit essentiellement de la communication "ordinaire" de l'entreprise. Nous envoyons aussi des mailings de masse occasionnellement, mais cela ne représente que 200 ou 300 destinataires une dizaine de fois par an. La signature DKIM des messages à la volée serait un plus. J'ai déjà sous le coude une proposition d'un hébergeur sympa, qui me lira peut-être ici, et qui propose de nous fournir une paire de vm pour héberger un relais smtp principal et un secondaire, avec de l'infogérance. Cela ferait évidemment l'affaire, mais ce n'est pas le même budget qu'un "simple" relais smtp mutualisé. Les messages seront issus de notre serveur postfix/dovecot. Nous avons des compétences techniques en interne, mais pas l'envie et le temps de nous coltiner nous-mêmes les problèmes de délivrabilité chez les grosses usines à mail de ms ou google, les problèmes de réputation d'IP, etc. J'essaie d'éviter les gros acteurs impersonnels type mailjet. Nous privilégions les échanges techniques directs, plutôt que d'avoir à discuter avec un N1 pas forcément toujours pertinent en cas de pépin. Cela s'est toujours bien passé jusqu'ici. Quelqu'un ici fournit-il ce genre de services ou saurait-il me conseiller ? Cordialement, P.-A.

10 11

Logs étranges de Corosync
by David Ponzone 13 Jun '22

13 Jun '22

Proxmoxien(ne)s, J’ai 2 Proxmox en cluster (7.1.11, Coro 3.1.5-pve2) qui me font régulièrement (au moins une fois par jour) ceci: Jun 12 03:04:41 prox1-1 corosync[4379]: [KNET ] link: host: 2 link: 0 is down Jun 12 03:04:41 prox1-1 corosync[4379]: [KNET ] host: host: 2 (passive) best link: 0 (pri: 1) Jun 12 03:04:41 prox1-1 corosync[4379]: [KNET ] host: host: 2 has no active links Jun 12 03:04:43 prox1-1 corosync[4379]: [KNET ] rx: host: 2 link: 0 is up Jun 12 03:04:43 prox1-1 corosync[4379]: [KNET ] host: host: 2 (passive) best link: 0 (pri: 1) Jun 12 03:04:43 prox1-1 corosync[4379]: [TOTEM ] Token has not been received in 2250 ms Soit l’un, soit l’autre. Je continue de chercher mais difficile d'isoler ce cas de figure précis en cherchant sur Google, étant donné le flou artistique des logs. Evidemment, aucune perte de lien, ils sont connectés en 10G sur des Nexus, c’est l’unique uplink 10G qui sert pour Coro aussi pour le moment mais il est largement sous-utilisé. Je me demandais donc si je dois quand même chercher du côté d’un problème de transmission (donc perte d’un keepalive de temps en temps), ou si Coro peut avoir un petit bug dans ma version actuelle. Note: j’ai la même chose sur un autre cluster en 6.2.12 qui passe par les mêmes switch, sauf que sur ceux-là, j’ai aussi un message: Jun 3 09:24:07 vh2-1 corosync[3385]: [TOTEM ] A processor failed, forming new configuration. Aucun impact opérationnel à priori. Si quelqu’un a un pointeur sur une bonne doc de debug de Corosync…. Merci

3 4

Proxmox: Question concernant l'ordre des /dev/sdX
by David Ponzone 09 Jun '22

09 Jun '22

Proxmox/KVM Gurus, Quelqu’un peut me confirmer que KVM va toujours mettre le disque scsi0 comme /dev/sda et scsi1 comme /dev/sdb ? Je veux dire ABSOLUMENT toujours! Merci!

4 7

[MISC] [RPLL] Rencontres professionnelles du logiciel libre à Lyon le 28/06
by cam.lafit 03 Jun '22

03 Jun '22

Bonjour tout le monde Je me permets de vous communiquer cette petite information, via le ploss-ra (asso pro du libre auvergne rhone alpes), on organise les RPLL à Lyon. C'est une journée à l'intention des professionnels et des collectivités pour présenter des retours d'expérience réussis de l'intégration du libre. On avait déjà organisé l’événement en 2017 à St Étienne en partenariat avec les RMLL. Entre diverses contraintes, on a tardé à remettre ceci en place. Cette année cela se passe à l’hôtel de région à Lyon le 28 juin. Si cela vous intéresse en tant que visiteur, du fait des protocoles sanitaires et de sécurité en vigueur, une préinscription est obligatoire https://www.rpll.fr/inscription-visiteur Si cela vous intéresse en tant que pro, il est possible de réserver des stands : https://www.rpll.fr/tarifs Si vous avez des questions on peut en parler par mail ou bien lundi prochain lors du prochain apéro admin sys :) Km

1 0

Apéro Lyonnais : lundi 06 juin 2022
by cam.lafit 03 Jun '22

03 Jun '22

Bonjour tout le monde Une fois n'est pas coutume j'anticipe du week end. N'oubliez pas ce lundi 06 juin dès 19h soir c'est apéro lyonnais. On profite de cette journée spéciale pour faire semblant de travailler et boire un coup. Je vous attends donc ce 06/06 pour un apéro lyonnais et ses environs au : Malting-Pot 263 Grande Rue de la Guillotiere, 69007 soit le lundi 06 juin 2022 dès 19h. Et toujours vaguement des infos sur : http://www.agendadulibre.org/tags/araas https://www.meetup.com/fr-FR/Auvergne-Rhone-Alpes-Apero-Admin-Sys/ Km

1 0

2024

2023

2022

2021

2020

2019

2018

2017

2016

2015

2014

2013

2012

2011

2010

FRsAG June 2022