FRsAG August 2023

frsag@frsag.org

3 participants
4 discussions

Réflexion sur référentiel identité unique dans environnement Linux, Windows et web
by DUVERGIER Claude 22 Jan '24

22 Jan '24

Bon(soi|jou)r la liste, Je pose ici mes réflexions sur un problème qui, j'espère, parlera à certains (qui l'auront résolu), pourra en aider d'autres (qui l'ont/l'auront un jour). TL;DR : Quels sont les services à utiliser pour pouvoir authentifier des utilisateurs lors d'accès à des dossiers partagés CIFS, des serveurs SSH Linux et des applications Web avec un référentiel unique/centralisé. CONTEXTE : J'ai actuellement l'infrastructure suivante : * Annuaire LDAP sous OpenLDAP : c'est le référentiel unique, il contient utilisateurs/machines (PosixAccount) et groupes (PosixGroup). * Application (web) maison pour alimenter l'annuaire en fonction des embauches/départs (pas de base de données SQL ou autre, tout est dans le LDAP). * Serveur OpenID pour certaines applications web : utilise le LDAP comme source. * Les utilisateurs ont des comptes locaux sur leur stations de travail Windows/Linux (aucune interaction avec le LDAP). Ainsi, les utilisateurs peuvent s'identifier sur : * des application Web qui gèrent nativement LDAP (eg. Moodle, GitLab, GLPI, etc.). * des applications Web sous Apache/Nginx (via mod_authnz_ldap ou nginx-ldap-auth). * des applications Web qui gèrent OpenID. * des serveurs Linux en SSH via nslcd, libnss-ldapd et libpam-ldapd. (Et avoir un carnet d'adresse des collègues dans leur client de messagerie) Chaque application est responsable de qui elle accepte (utilisateur et/ou groupe) et de ce qu'elle lui autorise de faire (l'annuaire LDAP ne contient pas de permissions). PROBLÈMES/LIMITES : Cela fonctionne (bien) depuis des années, mais ne réponds pas aux besoins suivants (arrivés plus tard) : * (Le plus important): le partage de fichiers via CIFS/Samba (car nécessite des attributs spécifiques dans le LDAP). * stocker *facilement* des données complexes dans OpenLDAP (eg. variantes d'avatars/photo, jours de présence sur x semaines) Bonus facultatif : gestion "domaine" des comptes utilisateurs des stations de travail pour qu'ils utilisent les même identifiants lors de l'ouverture de leur session, que je puisse les gérer de manière centralisée, et qu'ils soient même pré-authentifiés sur les serveurs de fichiers. ÉBAUCHE DE SOLUTION : Je pense donc qu'il est temps de tout reprendre à zéro et c'est là que je découvre (car je suis néophyte sur ces questions) : * FreeIPA qui créer un "AD-like" pour machines Linux. * Samba v4 qui intègre désormais son annuaire LDAP et se comporte comme un Active Directory. * D'autres dont j'avais déjà entendu parler sans jamais les utiliser : Kerberos et RADIUS/DIAMETER. J'envisage donc l'architecture suivante : * Application maison pour stocker (dans une base SQL quelconque) les utilisateurs/groupes (+ des infos spécifiques complexes) ET qui alimente l'annuaire avec seulement les infos pertinentes/standardisées (le schéma LDAP sera plus simple et une API REST pourra exposer les autres infos aux applications si besoin). * Serveur d'annuaire LDAP (OpenLDAP, 389DS, le 389DS de FreeIPA, le LDAP de Samba4 ?). * Serveur(s) de fichiers (TrueNAS, OpenMediaVault, etc.) : qui se connectent à l'annuaire LDAP (ou autre forme de confiance/délégation). Si je prends le bonus "domaine" : que me faudrait-il ? Samba4 seul suffirait pour les stations de travail Windows ET Ubuntu ou bien il faudrait Samba4+FreeIPA pour tout couvrir ? L'idée d'avoir un AD Samba4 qui tourne sur Internet ne me plait guère. Et comme les serveurs de fichiers seront de toutes façons dans le LAN, je pense plutôt installer Samba4 en LAN et mettre en place, juste pour les applications web, une copie (synchro à sens unique) vers un OpenLDAP ouvert sur Internet (sans les attributs samba/domaine). Je suis ouvert à : * toute correction si j'ai dit une énormité sans nom * et surtout à toute suggestion d'outil que je n'aurais pas trouvé qui m'aide dans ma quête. Merci

7 6

ATA locked - hdparm
by Frederic Dumas 31 Aug '23

31 Aug '23

Bonjour à tous, une personne me rend un SSD S3700 Intel (EOL). Le disque a été verrouillé par un petit coup de hdparm --security-set-pass. l'aimable farceur ne se rappelle de rien; hdparm -I indique "not frozen" et "locked"; l'accès au block device avec dd ou cat | hexdump -C renvoie des erreurs i/o. La commande hdparm --security-unlock accepte l'option --user-master m, pour fournir un mot de passe maitre, lorsque le mot de passe utilisateur est "égaré". On trouve des mots de passe maitre sur le web pour certains HDD, mais je n'ai rien vu concernant Intel. Quelqu'un a-t-il vu passer ce genre d'info ? La valeur des VM sur le SSD ne vaut pas l'envoi du SSD vers un professionnel de la récupération des données. Au pire ça se finira avec un coup d'intelmas delete. Ça devrait faire sauter les données et le mot de passe. Ça reste à tester. Merci à qui à une idée. -- Frédéric Dumas f.dumas(a)ellis.siteparc.fr

1 1

[JOBS] Sysadmin HPC à l'Université du Luxembourg
by Hyacinthe Cartiaux 27 Aug '23

27 Aug '23

Bonjour, L'Université du Luxembourg recrute un administrateur système HPC sur le campus du Belval, situé à Esch-sur-Alzette, à la frontière française. Le formulaire de candidature se trouve ici: https://recruitment.uni.lu/en/details.html?id=QMUFK026203F3VBQB7V7VV4S8&nPo… Le poste en question est au sein de mon équipe qui gère la plate-forme HPC de l'Université (architecture, administration système/devops, opérations, maintenance). L'environnement technique se compose de 2 calculateurs de production (550 nodes, Rpeak ~= 3PFlops) et d'une plate-forme expérimentale (sous la forme d'un site SLICES/Grid'5000), entièrement hébergé dans notre propre datacenter. Notre calculateur le plus récent est basé sur des racks Atos Sequana XH2000 refroidis par eau. Pour plus d'info sur ces points, je vous renvoie à notre doc technique: * nos salles serveurs: https://hpc-docs.uni.lu/data-center/ * nos calculateurs: https://hpc-docs.uni.lu/systems/aion/ & https://hpc-docs.uni.lu/systems/iris/ Nous sommes ouverts aux profils avec pas/peu d'expérience HPC si le candidat a de solides compétences en devops/administration système linux. :) D'un point de vue salarial, je peux vous donner quelques indications en privé, notamment par rapport aux règles de télétravail (dépendant de votre pays de résidence). N'hésitez pas à me contacter pour toute information complémentaire ! Cordialement, Hyacinthe Cartiaux

1 0

snmpwalk capricieux
by Nicolas JANÇON 23 Aug '23

23 Aug '23

Bonjour à tous, J'ai un cas curieux et j'avoue que je ne vois pas trop pourquoi ça se passe comme ça: je fais un snmpwalk sur un contrôleur wifi afin de l'interroger sur son tableau de bornes connues afin d'en connaître le nombre et j'envoie ensuite mes get pour récupérer via les oid reconstruits ce qu'il me faut. Ça fonctionne globalement très bien, sauf que régulièrement, le snmpwalk "racine" n'aboutit pas! Alors que si je teste en direct les OID filles j'ai bien toutes mes réponses... Le contrôleur me répond bien en snmp, il continue de connaître ses bornes,... et malgré tout j'ai besoin de pouvoir compter le nombre d'entrées dans le tableau racine pour savoir combien de bornes sont attachées. J'avoue ne pas saisir le pourquoi du comment là. Si quelqu'un à une idée je suis preneur! Merci et bonne journée à tous. Nicolas

1 0

2024

2023

2022

2021

2020

2019

2018

2017

2016

2015

2014

2013

2012

2011

2010

FRsAG August 2023