March 2023 - FRsAG

Réflexion sur référentiel identité unique dans environnement Linux, Windows et web
by DUVERGIER Claude 22 Jan '24

22 Jan '24

Bon(soi|jou)r la liste, Je pose ici mes réflexions sur un problème qui, j'espère, parlera à certains (qui l'auront résolu), pourra en aider d'autres (qui l'ont/l'auront un jour). TL;DR : Quels sont les services à utiliser pour pouvoir authentifier des utilisateurs lors d'accès à des dossiers partagés CIFS, des serveurs SSH Linux et des applications Web avec un référentiel unique/centralisé. CONTEXTE : J'ai actuellement l'infrastructure suivante : * Annuaire LDAP sous OpenLDAP : c'est le référentiel unique, il contient utilisateurs/machines (PosixAccount) et groupes (PosixGroup). * Application (web) maison pour alimenter l'annuaire en fonction des embauches/départs (pas de base de données SQL ou autre, tout est dans le LDAP). * Serveur OpenID pour certaines applications web : utilise le LDAP comme source. * Les utilisateurs ont des comptes locaux sur leur stations de travail Windows/Linux (aucune interaction avec le LDAP). Ainsi, les utilisateurs peuvent s'identifier sur : * des application Web qui gèrent nativement LDAP (eg. Moodle, GitLab, GLPI, etc.). * des applications Web sous Apache/Nginx (via mod_authnz_ldap ou nginx-ldap-auth). * des applications Web qui gèrent OpenID. * des serveurs Linux en SSH via nslcd, libnss-ldapd et libpam-ldapd. (Et avoir un carnet d'adresse des collègues dans leur client de messagerie) Chaque application est responsable de qui elle accepte (utilisateur et/ou groupe) et de ce qu'elle lui autorise de faire (l'annuaire LDAP ne contient pas de permissions). PROBLÈMES/LIMITES : Cela fonctionne (bien) depuis des années, mais ne réponds pas aux besoins suivants (arrivés plus tard) : * (Le plus important): le partage de fichiers via CIFS/Samba (car nécessite des attributs spécifiques dans le LDAP). * stocker *facilement* des données complexes dans OpenLDAP (eg. variantes d'avatars/photo, jours de présence sur x semaines) Bonus facultatif : gestion "domaine" des comptes utilisateurs des stations de travail pour qu'ils utilisent les même identifiants lors de l'ouverture de leur session, que je puisse les gérer de manière centralisée, et qu'ils soient même pré-authentifiés sur les serveurs de fichiers. ÉBAUCHE DE SOLUTION : Je pense donc qu'il est temps de tout reprendre à zéro et c'est là que je découvre (car je suis néophyte sur ces questions) : * FreeIPA qui créer un "AD-like" pour machines Linux. * Samba v4 qui intègre désormais son annuaire LDAP et se comporte comme un Active Directory. * D'autres dont j'avais déjà entendu parler sans jamais les utiliser : Kerberos et RADIUS/DIAMETER. J'envisage donc l'architecture suivante : * Application maison pour stocker (dans une base SQL quelconque) les utilisateurs/groupes (+ des infos spécifiques complexes) ET qui alimente l'annuaire avec seulement les infos pertinentes/standardisées (le schéma LDAP sera plus simple et une API REST pourra exposer les autres infos aux applications si besoin). * Serveur d'annuaire LDAP (OpenLDAP, 389DS, le 389DS de FreeIPA, le LDAP de Samba4 ?). * Serveur(s) de fichiers (TrueNAS, OpenMediaVault, etc.) : qui se connectent à l'annuaire LDAP (ou autre forme de confiance/délégation). Si je prends le bonus "domaine" : que me faudrait-il ? Samba4 seul suffirait pour les stations de travail Windows ET Ubuntu ou bien il faudrait Samba4+FreeIPA pour tout couvrir ? L'idée d'avoir un AD Samba4 qui tourne sur Internet ne me plait guère. Et comme les serveurs de fichiers seront de toutes façons dans le LAN, je pense plutôt installer Samba4 en LAN et mettre en place, juste pour les applications web, une copie (synchro à sens unique) vers un OpenLDAP ouvert sur Internet (sans les attributs samba/domaine). Je suis ouvert à : * toute correction si j'ai dit une énormité sans nom * et surtout à toute suggestion d'outil que je n'aurais pas trouvé qui m'aide dans ma quête. Merci

7 6

Quel est votre processus de demande de VM ?
by Alban Garrigue 13 Mar '23

13 Mar '23

Bonjour la liste, je suis un lecteur de l'ombre de longue date. Je vous sollicite aujourd'hui pour connaître votre processus de demande de VM. J'aimerais savoir comment vous faites pour récupérer les besoins utilisateurs et comment vous faites pour créer les VM ? Faute de constater que les tickets sont rarement complets, des excels imbitables et surtout impliquent la ressaisie des infos plusieurs fois (kickstart/VM,...). J'ai développé une IHM web pour que les utilisateurs puissent spécifier leurs besoins: - Nombre de VM - Partition - OS - Connectivité(lan / DMZ) Du côté DSI, on a renseigné les infos des différentes plateformes: - Sous réseau, trigramme ( partie dans le nom de la VM) - Environnement ( freeipa / pays / Vcenter / Datastore / Adaptateur) Depuis l'IHM, l'utilisateur peut demander l'instanciation d'une stack de VM sur n'importe quelle plateforme. L'outil permet de suivre un workflow création d'un ticket, validation de la DSI, déploiement. Une fois validé, on peut lancer la création depuis l'IHM. Le temps moyen de création d'une VM est d'environ 10 minutes qu'importe le nombre de VM (7 minutes pour la création du template) (3 minutes pour l'instanciation avec terraform) Une fois les vm déployées, on peut notifier les utilisateurs via une notification slack. Coté sécurité les secrets sont gérés dans passbolt, et l'outil ne sert que de passe-plat, l'utilisateur est authentifié avec son compte. Bien cordialement, Alban Garrigue

1 0

RECHERCHE URGENTE : Expert sécurité pour CDI
by m-montes-gil＠maten.fr 07 Mar '23

07 Mar '23

Bonjour à tous, Je recherche à titre professionnel un expert sécurité aspirant devenir RSSI dans quelques années. Le poste serait basé dans le 95 à Ecouen et peut s'effectuer avec deux jours de Remote par semaine. le poste est à pourvoir ASAP. Vous trouverez plus d'infos ci-dessous. Titre du poste: Expert en Sécurité des Systèmes d'Information H/F Type de contrat: CDI Localisation: Ecouen, Île-de-France, Val d'Oise (95) Description de la mission: En tant qu'Expert en Sécurité des Systèmes d'Information, vous rapportez directement au Directeur Technique et êtes responsable de l'évaluation de la vulnérabilité des systèmes d'information de l'entreprise et de la mise en œuvre de la politique de sécurité de ces systèmes. Dans ce rôle, vos principales responsabilités incluent: Analyser les risques et effectuer des audits de la sécurité interne et externe de l'entreprise Identifier les dysfonctionnements de protection et proposer des solutions techniques adéquates Mettre en œuvre et suivre les dispositifs de sécurité Identifier et mettre en place des méthodes et outils de sécurité Coordonner l'ensemble des opérations en cas de gestion de crise de sécurité Communiquer et former les équipes aux normes de sécurité Créer des référentiels de sécurité En rejoignant notre entreprise, vous aurez l'opportunité d'évoluer dans un contexte international, au sein d'une équipe bienveillante, dynamique et stimulante. Profil: Titulaire d'un diplôme de niveau bac+5, spécialisé en sécurité informatique, réseaux ou télécommunications, vous justifiez d'une expérience professionnelle d'au moins 10 ans au cours de laquelle vous avez mené à bien plusieurs projets liés à la sécurité informatique. Votre organisation et votre rigueur sont des atouts reconnus et vous avez démontré vos compétences en management d'équipe. Vous êtes également pédagogue et doté d'un excellent relationnel. La pratique courante de l'anglais est indispensable pour le déploiement des projets IT. Si vous êtes intéressé(e), merci de nous adresser votre candidature (CV, lettre de motivation et prétentions salariales). Critères candidat: Niveau d'études minimum requis: Bac+5, Master ou MBA Niveau d'expérience minimum requis: 7 à 10 ans Compétences linguistiques: Anglais (Niveau avancé) Rémunération : 70-75k Si intéressé, me contacter au : 07 72 88 31 82

1 0

Vieux matos à récupérer sur Lyon
by cam.lafit 06 Mar '23

06 Mar '23

Hello J'ai tout un tas de serveurs inutiles et vieux à récupérer avant passage à la casse dans la semaine. Je me dit qu'avec un tout petit peu de chance cela pourrait intéresser du monde. L'inventaire est disponible sur https://parana.webelys.net/f/33b5453539834311989b/?dl=1https://parana.webel… Pour ouvrir le fichier : Nx1*A=P;E4 Si cela intéresse du monde c'est sur Lyon et possible d'en parler par courriel et/ou ce soir à l'apéro. Km

1 0

Apéro Lyonnais : lundi 06 mars 2023
by cam.lafit 03 Mar '23

03 Mar '23

Bonjour Pour rappel, le prochain apéro lyonnais aura lieu ce lundi 6 mars. Je vous attends donc ce soir pour un apéro lyonnais et ses environs au : Malting-Pot 263 Grande Rue de la Guillotiere, 69007 soit ce lundi 06 mars 2023 dès 19h. Et toujours vaguement des infos sur : http://www.agendadulibre.org/tags/araas https://www.meetup.com/fr-FR/Auvergne-Rhone-Alpes-Apero-Admin-Sys/ Km

1 0