FRsAG January 2023

frsag@frsag.org

13 participants
6 discussions

Réflexion sur référentiel identité unique dans environnement Linux, Windows et web
by DUVERGIER Claude 22 Jan '24

22 Jan '24

Bon(soi|jou)r la liste, Je pose ici mes réflexions sur un problème qui, j'espère, parlera à certains (qui l'auront résolu), pourra en aider d'autres (qui l'ont/l'auront un jour). TL;DR : Quels sont les services à utiliser pour pouvoir authentifier des utilisateurs lors d'accès à des dossiers partagés CIFS, des serveurs SSH Linux et des applications Web avec un référentiel unique/centralisé. CONTEXTE : J'ai actuellement l'infrastructure suivante : * Annuaire LDAP sous OpenLDAP : c'est le référentiel unique, il contient utilisateurs/machines (PosixAccount) et groupes (PosixGroup). * Application (web) maison pour alimenter l'annuaire en fonction des embauches/départs (pas de base de données SQL ou autre, tout est dans le LDAP). * Serveur OpenID pour certaines applications web : utilise le LDAP comme source. * Les utilisateurs ont des comptes locaux sur leur stations de travail Windows/Linux (aucune interaction avec le LDAP). Ainsi, les utilisateurs peuvent s'identifier sur : * des application Web qui gèrent nativement LDAP (eg. Moodle, GitLab, GLPI, etc.). * des applications Web sous Apache/Nginx (via mod_authnz_ldap ou nginx-ldap-auth). * des applications Web qui gèrent OpenID. * des serveurs Linux en SSH via nslcd, libnss-ldapd et libpam-ldapd. (Et avoir un carnet d'adresse des collègues dans leur client de messagerie) Chaque application est responsable de qui elle accepte (utilisateur et/ou groupe) et de ce qu'elle lui autorise de faire (l'annuaire LDAP ne contient pas de permissions). PROBLÈMES/LIMITES : Cela fonctionne (bien) depuis des années, mais ne réponds pas aux besoins suivants (arrivés plus tard) : * (Le plus important): le partage de fichiers via CIFS/Samba (car nécessite des attributs spécifiques dans le LDAP). * stocker *facilement* des données complexes dans OpenLDAP (eg. variantes d'avatars/photo, jours de présence sur x semaines) Bonus facultatif : gestion "domaine" des comptes utilisateurs des stations de travail pour qu'ils utilisent les même identifiants lors de l'ouverture de leur session, que je puisse les gérer de manière centralisée, et qu'ils soient même pré-authentifiés sur les serveurs de fichiers. ÉBAUCHE DE SOLUTION : Je pense donc qu'il est temps de tout reprendre à zéro et c'est là que je découvre (car je suis néophyte sur ces questions) : * FreeIPA qui créer un "AD-like" pour machines Linux. * Samba v4 qui intègre désormais son annuaire LDAP et se comporte comme un Active Directory. * D'autres dont j'avais déjà entendu parler sans jamais les utiliser : Kerberos et RADIUS/DIAMETER. J'envisage donc l'architecture suivante : * Application maison pour stocker (dans une base SQL quelconque) les utilisateurs/groupes (+ des infos spécifiques complexes) ET qui alimente l'annuaire avec seulement les infos pertinentes/standardisées (le schéma LDAP sera plus simple et une API REST pourra exposer les autres infos aux applications si besoin). * Serveur d'annuaire LDAP (OpenLDAP, 389DS, le 389DS de FreeIPA, le LDAP de Samba4 ?). * Serveur(s) de fichiers (TrueNAS, OpenMediaVault, etc.) : qui se connectent à l'annuaire LDAP (ou autre forme de confiance/délégation). Si je prends le bonus "domaine" : que me faudrait-il ? Samba4 seul suffirait pour les stations de travail Windows ET Ubuntu ou bien il faudrait Samba4+FreeIPA pour tout couvrir ? L'idée d'avoir un AD Samba4 qui tourne sur Internet ne me plait guère. Et comme les serveurs de fichiers seront de toutes façons dans le LAN, je pense plutôt installer Samba4 en LAN et mettre en place, juste pour les applications web, une copie (synchro à sens unique) vers un OpenLDAP ouvert sur Internet (sans les attributs samba/domaine). Je suis ouvert à : * toute correction si j'ai dit une énormité sans nom * et surtout à toute suggestion d'outil que je n'aurais pas trouvé qui m'aide dans ma quête. Merci

7 6

reset les notifications smartd OfflineUncorrectableSector
by Daniel Caillibaud 06 Feb '23

06 Feb '23

Bonjour, Sur une machine en raid5 mdadm, j'ai des notifications smartd avec Device: /dev/sda [SAT], 63 Offline uncorrectable sectors Device: /dev/sdc [SAT], 1 Offline uncorrectable sectors D'après ce que j'ai pu comprendre, c'est pas dramatique tant que ça n'évolue pas, mais comment faire un reset des notifications smartd (qu'il arrête de me notifier chaque jour pour cette erreur et me notifie de nouveau si ça change) ? (smartd 7.2 sur debian11) Merci -- Daniel Quand on est trop bonne pâte, on risque de finir dans le pétrin. Pierre Dac

9 12

[TECH] Terminaux téléphoniques sans-fils compatibles avec la téléphonie de Microsoft Teams
by DUVERGIER Claude 04 Feb '23

04 Feb '23

Bonjour, Au bureau, la direction envisage d'opter pour la solution Teams de Microsoft pour la téléphonie [1] (en faisant de Microsoft l'opérateur téléphonique). Je peine à trouver un équivalent "Teams" à notre installation actuelle. On est équipé de PABX/IPBX avec bornes DECT et téléphones physiques DECT GAP "classiques" sur nos différents sites. Il existe bien des téléphones physiques de bureau filaires compatibles Teams mais pas de modèles sans-fils (même pour juste faire de l'audio simple). De ce que je lis ici et là [2] l'offre matérielle à ce niveau n'est pas très vaste (mais ça semble bouger) et semble assez propriétaire/chère (ou j'ai mal compris). La seule solution "simple" que je vois si je veux que les collaborateurs aient un téléphone physique sans fils (qui leur permettent de se déplacer au téléphone dans les bureaux sans devoir se trimballer l'ordinateur sous le bras) est de leur fournir un smartphone sans SIM, connecté au WiFi et avec l'application Teams (et avec tous les problèmes de comptes Apple/Google que cela apporte). J'ai raté un truc dans le projet de conquête du monde de l'entreprise par Microsoft pour que ça soit si compliqué que ça d'avoir de la téléphonie sans-fils (DECT ou WiFi peu importe) ? [1] : https://learn.microsoft.com/fr-fr/microsoftteams/what-is-phone-system-in-of… [2] : https://techcommunity.microsoft.com/t5/microsoft-teams-blog/teams-phone-mob… -- Duvergier Claude

4 6

Dons écrans 19 pouces Villeurbanne
by SIMANCAS Hugo 24 Jan '23

24 Jan '23

1 0

[TECH] [BIZ] Recherche prestataire courant faible
by open doc 12 Jan '23

12 Jan '23

Bonjour à tous, tous mes meilleurs vœux, je suis désolé de mon post est un peu hors sujet, mais j'ai beaucoup de mal à trouver une boite sérieuse pour la reprise de notre courant faible. Nous sommes une PME dans le 78 (proche Poissy) et nous recherchons un prestataire sérieux pour : - Détection et extinction incendie - Détection intrusion (centrale à changer) - Contrôle d’accès (centrale à changer) Si la boite fait aussi du courant fort et du câblage réseau cela peut être utile. Si vous avez des contacts, je suis vraiment preneur ! Par avance merci de vos retours. Alex

1 0

[JOBS] Poste sysadmin junior en télétravail
by Aurélien Bras 02 Jan '23

02 Jan '23

Bonjour et bonne année à tous ! Je recherche un sysadmin/devops junior pour mon équipe, le poste est full télé-travail et le cadre de travail sympa. Idéal pour un débutant motivé. Plus d'infos ici : https://jobs.oclock.io/jobs/2298209-devops-junior-f-h-en-teletravail Vous pouvez me contacter directement pour plus d'infos. Bonne fin de journée.

1 0

2025

2024

2023

2022

2021

2020

2019

2018

2017

2016

2015

2014

2013

2012

2011

2010

FRsAG January 2023