July 2023 - FRsAG - frsag.org

Réflexion sur référentiel identité unique dans environnement Linux, Windows et web
by DUVERGIER Claude 22 Jan '24

22 Jan '24

Bon(soi|jou)r la liste, Je pose ici mes réflexions sur un problème qui, j'espère, parlera à certains (qui l'auront résolu), pourra en aider d'autres (qui l'ont/l'auront un jour). TL;DR : Quels sont les services à utiliser pour pouvoir authentifier des utilisateurs lors d'accès à des dossiers partagés CIFS, des serveurs SSH Linux et des applications Web avec un référentiel unique/centralisé. CONTEXTE : J'ai actuellement l'infrastructure suivante : * Annuaire LDAP sous OpenLDAP : c'est le référentiel unique, il contient utilisateurs/machines (PosixAccount) et groupes (PosixGroup). * Application (web) maison pour alimenter l'annuaire en fonction des embauches/départs (pas de base de données SQL ou autre, tout est dans le LDAP). * Serveur OpenID pour certaines applications web : utilise le LDAP comme source. * Les utilisateurs ont des comptes locaux sur leur stations de travail Windows/Linux (aucune interaction avec le LDAP). Ainsi, les utilisateurs peuvent s'identifier sur : * des application Web qui gèrent nativement LDAP (eg. Moodle, GitLab, GLPI, etc.). * des applications Web sous Apache/Nginx (via mod_authnz_ldap ou nginx-ldap-auth). * des applications Web qui gèrent OpenID. * des serveurs Linux en SSH via nslcd, libnss-ldapd et libpam-ldapd. (Et avoir un carnet d'adresse des collègues dans leur client de messagerie) Chaque application est responsable de qui elle accepte (utilisateur et/ou groupe) et de ce qu'elle lui autorise de faire (l'annuaire LDAP ne contient pas de permissions). PROBLÈMES/LIMITES : Cela fonctionne (bien) depuis des années, mais ne réponds pas aux besoins suivants (arrivés plus tard) : * (Le plus important): le partage de fichiers via CIFS/Samba (car nécessite des attributs spécifiques dans le LDAP). * stocker *facilement* des données complexes dans OpenLDAP (eg. variantes d'avatars/photo, jours de présence sur x semaines) Bonus facultatif : gestion "domaine" des comptes utilisateurs des stations de travail pour qu'ils utilisent les même identifiants lors de l'ouverture de leur session, que je puisse les gérer de manière centralisée, et qu'ils soient même pré-authentifiés sur les serveurs de fichiers. ÉBAUCHE DE SOLUTION : Je pense donc qu'il est temps de tout reprendre à zéro et c'est là que je découvre (car je suis néophyte sur ces questions) : * FreeIPA qui créer un "AD-like" pour machines Linux. * Samba v4 qui intègre désormais son annuaire LDAP et se comporte comme un Active Directory. * D'autres dont j'avais déjà entendu parler sans jamais les utiliser : Kerberos et RADIUS/DIAMETER. J'envisage donc l'architecture suivante : * Application maison pour stocker (dans une base SQL quelconque) les utilisateurs/groupes (+ des infos spécifiques complexes) ET qui alimente l'annuaire avec seulement les infos pertinentes/standardisées (le schéma LDAP sera plus simple et une API REST pourra exposer les autres infos aux applications si besoin). * Serveur d'annuaire LDAP (OpenLDAP, 389DS, le 389DS de FreeIPA, le LDAP de Samba4 ?). * Serveur(s) de fichiers (TrueNAS, OpenMediaVault, etc.) : qui se connectent à l'annuaire LDAP (ou autre forme de confiance/délégation). Si je prends le bonus "domaine" : que me faudrait-il ? Samba4 seul suffirait pour les stations de travail Windows ET Ubuntu ou bien il faudrait Samba4+FreeIPA pour tout couvrir ? L'idée d'avoir un AD Samba4 qui tourne sur Internet ne me plait guère. Et comme les serveurs de fichiers seront de toutes façons dans le LAN, je pense plutôt installer Samba4 en LAN et mettre en place, juste pour les applications web, une copie (synchro à sens unique) vers un OpenLDAP ouvert sur Internet (sans les attributs samba/domaine). Je suis ouvert à : * toute correction si j'ai dit une énormité sans nom * et surtout à toute suggestion d'outil que je n'aurais pas trouvé qui m'aide dans ma quête. Merci

7 6

Email perdu ou refusé
by Josué Tille 18 Jul '23

18 Jul '23

Bonjour, Nous avons un système d'inscription dans un CMS qui envoie des mails lors du processus d'inscription. Le tout est hébergé chez OVH et les mails sont envoyés par un compte OVH mail pro. Malheureusement nous avons certains mail perdus ou refusé (environ 10%). Quand on fait des tests manuels on constate aucun problème. Avec mail-tester nous avons la note 9.5/10. La seule chose qui nous fait perdre des points est l'erreur 'HTML_MIME_NO_HTML_TAG' (qui est dû à un bug du CMS). Sur certaines plateformes (notamment free, sfr) le mail est parfois refusé avec l'erreur suivante: <email(a)free.fr>: host mx1.free.fr[212.27.48.6] said: 550 spam detected (in reply to end of DATA command) ET sur d'autres plateformes le mail est parfois perdu (notamment gmail, yahoo, outlook.com) Pour celle-ci, on peut par contre constater des erreurs dans les rapports DMARC. Par exemple voici un extrait de celui de google: |<record> <row> <source_ip>46.105.48.192</source_ip> <count>1</count> <policy_evaluated> <disposition>none</disposition> <dkim>fail</dkim> <spf>pass</spf> </policy_evaluated> </row> <identifiers> <header_from>domain.tld</header_from> </identifiers> <auth_results> <dkim> <domain>domain.tld</domain> <result>fail</result> <selector>ovhemp1120066-selector1</selector> </dkim> <spf> <domain>domain.tld</domain> <result>pass</result> </spf> </auth_results> </record>| Les rapports d'autres serveurs sont un peu différents mais c'est toujours du côté de DKIM que ça cloche. A savoir qu'on reçoit aussi beaucoup de rapport ou tout est OK. Du côté de OVH, un ticket a été ouvert, mais ils demandent le tracé complet d'un mail qui pose problème, mais malheureusement c'est une information que nous avons pas. De plus que le problème est suffisamment fréquent pour poser problème mais pas suffisamment fréquent pour pouvoir facilement le reproduire. Donc avez-vous donc déjà rencontré ce genre de problème et comment pourrait ton localiser le problème ? Et comment pourrait t'on localiser le problème ? Est-ce que l'erreur 'HTML_MIME_NO_HTML_TAG' dans un mail pourrait faire que certains anti spam rejette le mail si tout le reste est OK ? Merci d'avance pour vos réponses Josué

3 2

[JOBS] Recherche d'un Admin Sys sur Paris
by Julien ORIENT 13 Jul '23

13 Jul '23

Bonjour, Je recherche un administrateur systèmes afin de renforcer mon équipe actuellement composé de deux personnes. L'objectif est de participer à la mise en œuvre des projets d'infrastructure dans un parc informatique majoritairement composé de logiciels Open Source et de proposer des évolutions dans le cadre de l'amélioration continue. Notre entreprise est soucieuse de rester souveraine de ses données donc les quasi-totalités des solutions mises en place sont on premise. Nos bureaux sont situés dans le centre de Paris mais il est possible d’exercer ce poste en partiellement en télétravail. Missions et taches Écrire, tester et documenter l'infrastructure as code. Automatiser, maintenir et faire évoluer les composants du système d'information. Participer aux choix technologiques en apportant votre expertise. Conseiller le métier et les développeurs sur le choix des solutions. Répondre à des problématiques de haute disponibilité et de traitement de en flux continu. Définir les pipelines CI/CD en collaboration avec les développeurs. Participer à la mise en en place du plan de continuité d'activité. Centraliser les journaux d'événements des applications dans Kibana afin d'améliorer le suivi de l'activité des clients. Participer aux rituels de l'équipe (stand up, code review, suivi des releases notes...). Environnement technique Virtualisation: VMWare Réseau: Pfsense, Bind, Netbox Système d'exploitation: Debian Supervision: Zabbix Visualisation: Filebeat, Metricbeat, Kibana Load balancers: HA Proxy Base de données: PostgreSQL Bus de messages: RabbitMQ Applications: Nginx, Python (Pyramid Framework), Redis Gestion de l'authentification: Keycloak, OpenLDAP Pour postuler c'est ici : https://www.linkedin.com/company/newsback/jobs/

3 4

Remplacer vmware nsx
by Etienne Magro 07 Jul '23

07 Jul '23

Bonjour à tous, On aimerai remplacer le vieux nsx-v qu'on utilise sur notre infra vmware. On nous a conseillé de partir sur du pfsense et d'éviter nsx-t. Qu'est-ce que vous recommanderiez ? On l'utilise en frontal devant notre SaaS (avec load-balancing) et en point de terminaison IPSec en plus du routage/NAT/etc. On lorgne sur une certification SecNumCloud, ça peut rajouter des contraintes. Et si c'était pilotable avec du ansible, on serait aux anges. Merci d'avance pour vos retours, Etienne Magro

4 4

EXT4 inode error
by Support - Voganet 07 Jul '23

07 Jul '23

Bonjour à tous, depuis quelques temps j'ai des erreurs EXT4 sur un serveur physique, ayant une carte raid matérielle (raid5). Voici les erreurs que j'ai dans syslog : /EXT4-fs error (device sda1) in ext4_free_inode:360: Corrupt filesystem/ /EXT4-fs error (device sda1): ext4_lookup:1708: inode #842105236: comm rm: deleted inode referenced: 941326373/ /EXT4-fs warning (device sda1): ext4_empty_dir:2876: inode #124485994: lblock 0: comm rm: error -117 reading directory block/ /EXT4-fs warning (device sda1): ext4_dirblock_csum_verify:377: inode #123470312: comm rm: No space for directory leaf checksum. Please run e2fsck -D/ /EXT4-fs error (device sda1): ext4_empty_dir:2876: inode #940638217: comm rm: Directory block failed checksum/ /EXT4-fs error (device sda1): ext4_lookup:1708: inode #1809056062: comm rsync: deleted inode referenced: 123469903/ Je n'ai pas d'erreurs au niveau de la carte RAID ou du SMART des HDD. Si je lance un e2fsck -D , les erreurs disparaissent pendant quelques semaines puis reviennent. A savoir que sda1 est un volume sur lequel je fais des rsync avec options --link-dest et -aHvh Des idées sur la cause ? Hugo

6 8

Recherche dev .NET pour signature de programme
by SIMANCAS Hugo 06 Jul '23

06 Jul '23

Bonjour, Je cherche un indep ou une société pour assister un de mes clients sur de la signature numérique d'un programme Windows .NET ? Merci d'avance Hugo Les informations contenues dans ce courrier électronique sont confidentielles et protégées par le secret professionnel. En tout état de cause, elles ne sont destinées qu'à la personne ou entreprise dont le nom est mentionné ci-dessus. Veuillez aviser l'expéditeur de toute difficulté ou de toute erreur dans la transmission de ce document. Si vous n'êtes pas le destinataire du présent courrier, vous n'êtes pas autorisé, sous peine de poursuites à en prendre des copies, le divulguer ou le diffuser. La présence de cette note prouve également que ce message électronique a été vérifié par un logiciel anti-virus.

1 0

[JOBS] Admin Sys & Reseau à St-Ouen (93)
by Pierre-Yves 04 Jul '23

04 Jul '23

Bonjour le FRSAG Je recrute pour étoffer mon équipe 1 ou 2 Admins Systèmes & Réseaux, à St-Ouen-sur-Seine. Stack : une centaine de VM, 80% Linux (Debian, CentOS, Oracle, dans l'ordre) sous VmWare et OpenStack. On croise du Samba-AD, du FreeRadius, du Bind, Xivo, Bluemind, Ubiquity, TinyMDM, Pulse Secure, et beaucoup d'applis métiers en Java (avec les éditeurs derrière pour s'en occuper). Du Oracle et du PostgreSQL a babysitter, un Veeam à surveiller, un Zabbix à optimiser. Switching en Alcatel pour le moment, une centaine de sites en fibre noire ou IRU, avec des zones OSPF à remettre à plat, une centaine de VLANs, des Sophos-HA en bout de chaîne. Le poste est en présentiel à St-Ouen, métro Mairie de St-Ouen, ligne 13 et 14. Télétravail : officiellement 6 mois avant le 1er jour, et encore 6 pour un deuxième jour, en vrai on s'arrange. Astreinte 1 semaine sur 4. Salaire de 2,5 à 3,1 KE *net* mensuel avant impôts, selon profil et expérience. Pass Navigo 50%, participation mutuelle, environ 40 jours pour souffler entre CP et RTT. Premier contrat en CDD de 3 ans, renouvelable une fois avant CDI. Comme on est prêt à tout remettre en question, on cherche des gens qui n'ont pas peur de déployer RustDesk un jour, mélanger Mikrotik et Alcatel le lendemain pour voir si ça marche, refaire un repo Debian interne, écrire des scripts entre Oracle et LDAP et apprendre de nouveaux trucs chaque mois. Questions et CV à moi, je ferais suivre aux RH. NB : _PAS_ de société, merci. J'ai ce qu'il faut en prestataires. -- Pierre-Yves

3 3

Apéro Lyonnais : lundi 05 juillet 2023
by cam.lafit 03 Jul '23

03 Jul '23

Bonjour Avant d'attaquer la pause estivale, le prochain apéro lyonnais aura lieu ce lundi 03 juillet. Je vous attends donc ce soir pour un apéro lyonnais et ses environs au : Malting-Pot 263 Grande Rue de la Guillotiere, 69007 soit ce lundi 03 juillet 2023 dès 19h. Et toujours vaguement des infos sur : http://www.agendadulibre.org/tags/araas https://www.meetup.com/fr-FR/Auvergne-Rhone-Alpes-Apero-Admin-Sys/ Km

1 0