February 2023 - FRsAG

Réflexion sur référentiel identité unique dans environnement Linux, Windows et web
by DUVERGIER Claude 22 Jan '24

22 Jan '24

Bon(soi|jou)r la liste, Je pose ici mes réflexions sur un problème qui, j'espère, parlera à certains (qui l'auront résolu), pourra en aider d'autres (qui l'ont/l'auront un jour). TL;DR : Quels sont les services à utiliser pour pouvoir authentifier des utilisateurs lors d'accès à des dossiers partagés CIFS, des serveurs SSH Linux et des applications Web avec un référentiel unique/centralisé. CONTEXTE : J'ai actuellement l'infrastructure suivante : * Annuaire LDAP sous OpenLDAP : c'est le référentiel unique, il contient utilisateurs/machines (PosixAccount) et groupes (PosixGroup). * Application (web) maison pour alimenter l'annuaire en fonction des embauches/départs (pas de base de données SQL ou autre, tout est dans le LDAP). * Serveur OpenID pour certaines applications web : utilise le LDAP comme source. * Les utilisateurs ont des comptes locaux sur leur stations de travail Windows/Linux (aucune interaction avec le LDAP). Ainsi, les utilisateurs peuvent s'identifier sur : * des application Web qui gèrent nativement LDAP (eg. Moodle, GitLab, GLPI, etc.). * des applications Web sous Apache/Nginx (via mod_authnz_ldap ou nginx-ldap-auth). * des applications Web qui gèrent OpenID. * des serveurs Linux en SSH via nslcd, libnss-ldapd et libpam-ldapd. (Et avoir un carnet d'adresse des collègues dans leur client de messagerie) Chaque application est responsable de qui elle accepte (utilisateur et/ou groupe) et de ce qu'elle lui autorise de faire (l'annuaire LDAP ne contient pas de permissions). PROBLÈMES/LIMITES : Cela fonctionne (bien) depuis des années, mais ne réponds pas aux besoins suivants (arrivés plus tard) : * (Le plus important): le partage de fichiers via CIFS/Samba (car nécessite des attributs spécifiques dans le LDAP). * stocker *facilement* des données complexes dans OpenLDAP (eg. variantes d'avatars/photo, jours de présence sur x semaines) Bonus facultatif : gestion "domaine" des comptes utilisateurs des stations de travail pour qu'ils utilisent les même identifiants lors de l'ouverture de leur session, que je puisse les gérer de manière centralisée, et qu'ils soient même pré-authentifiés sur les serveurs de fichiers. ÉBAUCHE DE SOLUTION : Je pense donc qu'il est temps de tout reprendre à zéro et c'est là que je découvre (car je suis néophyte sur ces questions) : * FreeIPA qui créer un "AD-like" pour machines Linux. * Samba v4 qui intègre désormais son annuaire LDAP et se comporte comme un Active Directory. * D'autres dont j'avais déjà entendu parler sans jamais les utiliser : Kerberos et RADIUS/DIAMETER. J'envisage donc l'architecture suivante : * Application maison pour stocker (dans une base SQL quelconque) les utilisateurs/groupes (+ des infos spécifiques complexes) ET qui alimente l'annuaire avec seulement les infos pertinentes/standardisées (le schéma LDAP sera plus simple et une API REST pourra exposer les autres infos aux applications si besoin). * Serveur d'annuaire LDAP (OpenLDAP, 389DS, le 389DS de FreeIPA, le LDAP de Samba4 ?). * Serveur(s) de fichiers (TrueNAS, OpenMediaVault, etc.) : qui se connectent à l'annuaire LDAP (ou autre forme de confiance/délégation). Si je prends le bonus "domaine" : que me faudrait-il ? Samba4 seul suffirait pour les stations de travail Windows ET Ubuntu ou bien il faudrait Samba4+FreeIPA pour tout couvrir ? L'idée d'avoir un AD Samba4 qui tourne sur Internet ne me plait guère. Et comme les serveurs de fichiers seront de toutes façons dans le LAN, je pense plutôt installer Samba4 en LAN et mettre en place, juste pour les applications web, une copie (synchro à sens unique) vers un OpenLDAP ouvert sur Internet (sans les attributs samba/domaine). Je suis ouvert à : * toute correction si j'ai dit une énormité sans nom * et surtout à toute suggestion d'outil que je n'aurais pas trouvé qui m'aide dans ma quête. Merci

7 6

Re: Promox - stockage partagé
by Yann Richard 25 Feb '23

25 Feb '23

Salut, Chez nous on a une petite infra de dev sous proxmox avec deux hyperviseurs sur lesquels on a (de souvenir) : * configuré multipath, * présenté un Virtual Volume a chaque HV proxmox (chez nous via une baie HPE 3PAR qui exporte un volume via un réseau SAN FC) * utiliser LVM ( [ https://pve.proxmox.com/wiki/Storage | https://pve.proxmox.com/wiki/Storage ] - le ² dans la colonne LVM : It is possible to use LVM on top of an iSCSI or FC-based storage. That way you get a shared LVM storage. ) * créer un PV et un Volume Group * chaque disque utilisé par une VM sera un LV dans le VG, On a un peu plus de 60 VM qui tournent et 60 de plus en état arrêté actuellement. Exemple de ce que ca donne en console : root@c:~# multipath -ll mpatha (360002ac00000000000000***********) dm-5 3PARdata,VV size=4.0T features='1 queue_if_no_path' hwhandler='1 alua' wp=rw `-+- policy='round-robin 0' prio=50 status=active |- 1:0:0:1 sdb 8:16 active ready running |- 2:0:0:1 sdd 8:48 active ready running |- 1:0:1:1 sdc 8:32 active ready running `- 2:0:2:1 sde 8:64 active ready running root@c:~# ls -alh /dev/mapper/mpatha lrwxrwxrwx 1 root root 7 Jan 4 14:18 /dev/mapper/mpatha -> ../dm-5 root@c:~# ls -alh /dev/mapper/mpatha-part1 lrwxrwxrwx 1 root root 7 Feb 24 11:39 /dev/mapper/mpatha-part1 -> ../dm-6 root@c:~# pvdisplay --- Physical volume --- PV Name /dev/mapper/mpatha-part1 VG Name pve-datastore PV Size <4.00 TiB / not usable <12.02 MiB Allocatable yes PE Size 4.00 MiB Total PE 1048567 Free PE 389760 Allocated PE 658807 root@c:~# pvs PV VG Fmt Attr PSize PFree /dev/mapper/mpatha-part1 pve-datastore lvm2 a-- <4.00t <1.49t root@c:~# vgs VG #PV #LV #SN Attr VSize VFree pve-datastore 1 343 0 wz--n- <4.00t <1.49t root@c:~# lvs LV VG Attr LSize Pool Origin Data% Meta% Move Log Cpy%Sync Convert vm-100-cloudinit pve-datastore -wi-a----- 4.00m vm-100-disk-0 pve-datastore -wi-a----- 10.00g vm-101-disk-0 pve-datastore -wi-ao---- 10.00g vm-102-cloudinit pve-datastore -wi------- 4.00m vm-102-disk-0 pve-datastore -wi------- 2.00g vm-102-disk-1 pve-datastore -wi------- 50.00g vm-103-cloudinit pve-datastore -wi------- 4.00m vm-103-disk-0 pve-datastore -wi------- 10.00g vm-103-disk-1 pve-datastore -wi------- 2.00g vm-104-disk-0 pve-datastore -wi------- 10.00g vm-105-cloudinit pve-datastore -wi------- 4.00m vm-105-disk-0 pve-datastore -wi------- 30.00g [...] et on voit exactement la même chose sur le second hyperviseur. Dans proxmox pour chaque hyperviseur on peux voir dans Disk > LVM : ++ De: "Ludovic Scotti" <tontonlud(a)gmail.com> À: mysolo(a)cynetek.com Cc: "French SysAdmin Group" <frsag(a)frsag.org> Envoyé: Vendredi 24 Février 2023 13:59:53 Objet: [FRsAG] Re: Promox - stockage partagé BQ_BEGIN Bonjour, Une baie MSA qu'elle soit Fiber Channel, iSCSI, ou SAS se comporte de la même manière, elle présente une LUN à un host. Donc en présentant une même LUN à 2, 3, 4 hosts avec un système de fichier partagé qu'il soit NFS, VMFS, NTFS/ReFS, QueSais-jeFS, on peut faire des opérations de Live Migration, Storage vMotion, etc. @job-1/-3 j'en ai installé/utlisé avec de l'Hyper-V Failover Cluster, du cluster vSphere HA. Jamais testé avec Proxmox mais j'imagine que ca doit fonctionner pareil. En fouillant un peu sur le net j'ai trouvé cet article : [ https://forum.proxmox.com/threads/proxmox-with-hp-msa-2040-storage.38955/ | https://forum.proxmox.com/threads/proxmox-with-hp-msa-2040-storage.38955/ ] Bonne fin de semaine à tous. Ludovic Le ven. 24 févr. 2023, 00:57, [ mailto:mysolo@cynetek.com | mysolo(a)cynetek.com ] < [ mailto:mysolo@cynetek.com | mysolo(a)cynetek.com ] > a écrit : BQ_BEGIN Je rejoins David, Il aurait mieux fallut 2 serveurs relié chacun a 2 baies. Tu as toujours une redondance si un équipement a des problèmes. Le 23/02/2023 à 13:35, HYVERNAT Philippe Responsable Informatique CHAVS a écrit : BQ_BEGIN oui je comprends. c'est pas full redondé mais c'est une bonne entrée en matière et limite un peu les coûts. est ce que quelqu'un l'a déjà essayé ? C'est la question initiale ;) Le 23/02/2023 à 13:18, David Ponzone a écrit : BQ_BEGIN Pas de réseau mais t’as quand même un seul chassis MSA. Je sais que c’est très solide, mais quand on me parle de HA et que je vois un SPOF, euh, comment dire…. BQ_BEGIN Le 23 févr. 2023 à 13:04, HYVERNAT Philippe Responsable Informatique CHAVS < [ mailto:phhyvernat@ch-avs.fr | phhyvernat(a)ch-avs.fr ] > a écrit : Une baie MSA 2050 avec port SAS pour connecter les 3 serveurs DL donc pas de réseau entre les hôtes et le stockage sous vmware on voit le stockage comme du stockage interne mais je voulais m'assurer que sur Proxmox on est la même réaction. BQ_END BQ_END _______________________________________________ Liste de diffusion du %(real_name)s [ http://www.frsag.org/ | http://www.frsag.org/ ] BQ_END _______________________________________________ Liste de diffusion du %(real_name)s [ http://www.frsag.org/ | http://www.frsag.org/ ] BQ_END _______________________________________________ Liste de diffusion du %(real_name)s http://www.frsag.org/ BQ_END

4 3

Demande de prestations
by ml 24 Feb '23

24 Feb '23

Bonjour, Dans le cadre de nos travaux, nous recherchons des expertises pour : - Une montée en compétence sur Ansible, au rythme d’une journée en présentiel à Paris centre; - La configuration d’un ELK existant pour y créer de beaux dashboards depuis les logs de nos firewalls. En présentiel également à Paris centre. Cela peut-être deux sociétés différentes pour les deux expertises. Je vous remercie par avance pour vos propositions. HP

1 0

Promox - stockage partagé
by HYVERNAT Philippe Responsable Informatique CHAVS 24 Feb '23

24 Feb '23

Bonjour la communauté, J'ai un futur projet de clustering et aimerais utiliser Proxmox. Je vous décris la config : - 3 serveurs HP DL360gen10, reliés directement chacun d'eux en SAS 12G sur une baie MSA 2050 (2 contrôleurs / 2 ports par serveur), jusque là, rien d'exceptionnel :) La question était de savoir si Proxmox allait reconnaitre le stockage SAS et si on peut faire : - Clustering - HA - Live migration Si oui, y a t il des spécificités, des outils en plus à installer etc... De plus, quitte à faire de l'opensource, j'aimerais utiliser Proxmox Backup Server pour sauvegarder tout cela. Est ce que cela sera possible ? J'ai fouiller un peu partout sur le net, je trouve un peu tout et son contraire et surtout du stockage réseau SAN ISCSI NFS ... En vous remerciant pour votre expertise -- ** *HYVERNAT Philippe * *Responsable Informatique * CH Ain Val de Saône Rue Pierre Goujon - 01290 Pont de Veyle Téléphone : 03.85.36.23.50 **

6 13

ApéroRéseau et SysAdmin ce mercredi 1 mars à Nantes
by Antoine Nivard 23 Feb '23

23 Feb '23

Bonjour à tous, Nous sommes encore en hiver alors on en profite! nous vous proposons un apéro Réseau et SysAdmin le mercredi 22 juin à partir de 19h00 au Berlin1989 de Saint-Herblain. https://www.openstreetmap.org/node/7467668997 En before, nous proposons un atelier BGP et peering à 17h30, réalisé par LUGOS et des membres de l'équipe de Ouest Network. -- Cordialement, Antoine Nivard Président & Business Developer de https://Ouest.Network - Vous rapprocher ! https://www.linkedin.com/company/ouestnetwork/ Tél: 06 52 57 79 69 - antoine.nivard(a)ouest.network

1 1

Re: Promox - stockage partagé
by HYVERNAT Philippe Responsable Informatique CHAVS 23 Feb '23

23 Feb '23

Merci pour ces retours, Y a t il quelqu'un qui a déjà eu ce projet ? ** *HYVERNAT Philippe * *Responsable Informatique * CH Ain Val de Saône Rue Pierre Goujon - 01290 Pont de Veyle Téléphone : 03.85.36.23.50 ** Le 23/02/2023 à 10:38, Christophe BARRY a écrit : > > Côté HP, la présentation d’une LUN à plusieurs hôtes fonctionne pas > mal sur RHEL ou VmWare par ex. > > cb > > *De : *David Ponzone <david.ponzone(a)gmail.com> > *Date : *jeudi 23 février 2023 à 10:32 > *À : *HYVERNAT Philippe Responsable Informatique CHAVS > <phhyvernat(a)ch-avs.fr> > *Cc : *"frsag(a)frsag.org" <frsag(a)frsag.org> > *Objet : *[FRsAG] Re: Promox - stockage partagé > > En fait, c’est plus un problème côté HP. > > Si tu sais monter le même volume de la MSA depuis les 3 PVE, y pas de > raison que ça marche pas. > > Proxmox lui, il se contente de démarrer les VM parce qu’il détecte > qu’un autre PVE est dead. > > Après, ça se maquette, quand même. > > Le 23 févr. 2023 à 10:24, HYVERNAT Philippe Responsable > Informatique CHAVS <phhyvernat(a)ch-avs.fr> a écrit : > > Bonjour, > > Merci pour ce retour > > Le but est de configurer les choses simplement, 1 volume pour > l'ensemble des VM sur la MSA pour un accès au même volume depuis > les 3 PVE pour du live migration sans coupure. > > Le 23/02/2023 à 09:37, David Ponzone a écrit : > > Avec Proxmox, et tout HV je pense, la règle est simple: > > si tu veux faire HA/Live Migration, tous les HV doivent > pouvoir accéder à l’image de la VM sur ton stockage. > > Donc les technos vont varier: > > -NFS > > -CIFS > > -CEPH > > -iSCSI > > etc.. > > Une baie SAS, c’est comme des HD internes. A priori, tu vas > physiquement configurer la MSA pour assigner les disques aux > différents HV. > > Mon petit doigt me dit que HP pourrait être capable de > basculer un groupe de HDs d’un client vers un autre, mais je > doute que Proxmox gère ça. > > Pour Proxmox Backup Server, il parle par le réseau avec les > HV, donc l’endroit où tu mets le storage ne le concerne pas. > > Le 23 févr. 2023 à 08:53, HYVERNAT Philippe Responsable > Informatique CHAVS <phhyvernat(a)ch-avs.fr> a écrit : > > Bonjour la communauté, > > J'ai un futur projet de clustering et aimerais utiliser > Proxmox. > > Je vous décris la config : > > - 3 serveurs HP DL360gen10, reliés directement chacun > d'eux en SAS 12G sur une baie MSA 2050 (2 contrôleurs / 2 > ports par serveur), jusque là, rien d'exceptionnel :) > > La question était de savoir si Proxmox allait reconnaitre > le stockage SAS et si on peut faire : > > - Clustering > > - HA > > - Live migration > > Si oui, y a t il des spécificités, des outils en plus à > installer etc... > > De plus, quitte à faire de l'opensource, j'aimerais > utiliser Proxmox Backup Server pour sauvegarder tout cela. > Est ce que cela sera possible ? > > J'ai fouiller un peu partout sur le net, je trouve un peu > tout et son contraire et surtout du stockage réseau SAN > ISCSI NFS ... > > En vous remerciant pour votre expertise > > -- > > *HYVERNAT Philippe* > > *Responsable Informatique* > > CH Ain Val de Saône > > Rue Pierre Goujon - 01290 Pont de Veyle > > Téléphone : 03.85.36.23.50 > > *<VdMaO5kdVx3SjnCg.png><GNsaOj7kKok0rPvw.png>* > > _______________________________________________ > Liste de diffusion du %(real_name)s > http://www.frsag.org/ > <https://antiphishing.vadesecure.com/v4?f=NmhwUWdPbjljNWRxSlVxNUQHyRjXhZxLDB…> >

2 1

[MISC] Don de baie informatique
by N R 21 Feb '23

21 Feb '23

Bonjour/Bonsoir, Mon hackerspace doit vider un espace de stockage, il nous reste qu'une baie informatique 22U sur les bras. Je n'ai pas les dimensions exactes, elle n'est pas assez profonde pour contenir du gros serveur, mais sans problème pour du matos réseau ou des serveurs 1U "courts". Elle est démontée, avec toutes ses vis. Quelques photos dispo ici: https://mia.gasy.me/index.php/s/YSTmoMjHqyJcBZR À venir récupérer sur place à Pantin jusqu'au 5 mars. Contactez-moi directement pour les modalités d'accès. Cordialement, Kholah pour La Bidouille

1 1

Question hyper V et promiscuous mode
by Anthony Frnog 21 Feb '23

21 Feb '23

Bonjour , J ai installé sur un serveur Windows 2019, une vm sous hyperV Cette vm a pour but de sniffer le réseau depuis un flux mirroré depuis un switch. Lorsque je lance un wireshark sur le serveur 2019, je constate bien l ensemble des flux arriver sur l interface mirrorée. Lorsque je lance un tcpdump depuis ma Vm, j ai uniquement que du brodcast. Il semblerait qu HyperV ne remonte pas les flux mirrorés depuis un switch vers la vm. Quelqu'un a déjà rencontré ce phénomène et si oui, comment l avez-vous corrigé ? Note : le promiscuous mode fonctionne très bien sous esxi, virtualbox et promox, mais pas avec hyperV Merci par avance de votre aide Anthony

3 4

Recherche intervenant stockage Unity / Vplex
by Fabien Sirjean 21 Feb '23

21 Feb '23

Bonjour la liste, Je récupère une infra mobilisant pas mal de stockage EMC Unity et Vplex, technos que je connais très mal (pour ne pas dire pas du tout). Je cherche donc un intervenant qui pourrait venir une journée ou deux sur site à Grenoble afin de jeter un œil à la conf actuelle, et nous former sur l'administration. N'hésitez pas à me contacter pour plus de précisions :) Merci pour votre aide, Fabien

1 0

Don matériel bureautique paris 9
by SIMANCAS Hugo 21 Feb '23

21 Feb '23

1 0