Il y a 389 articles et 19 utilisateurs inscrits (ce bandeau est défini dans MediaWiki:Sitenotice)

« Doctrine des accès sur eole3 » : différence entre les versions

De AJLSM
Aller à la navigation Aller à la recherche
← Modification précédente

Jlarvers (discussion | contributions)

3 groupes d'utilisateurs
2 791 modifications
annuler
VisuelWikicode
 
(3 versions intermédiaires par le même utilisateur non affichées)
Ligne 1 : Ligne 1 :
= Doctrine des accès sur eole3 =
= Doctrine des accès sur eole3 =
 
[[category:eole3]]
== Principe général ==
== Principe général ==
Voir aussi : [[EOLE3_—_Administration,_maintenance_et_flux_de_données]]


Sur ‘’‘eole3’’’, il faut distinguer clairement trois types d’accès :
Sur '''eole3''', il faut distinguer clairement trois types d’accès :
• les comptes d’administration ;
* les comptes d’administration ;
• les comptes clients de dépôt en SFTP ;
* les comptes clients de dépôt en SFTP ;
• les comptes techniques nominatifs utilisés pour le travail en SSH.
* les comptes techniques nominatifs utilisés pour le travail en SSH.


Cette distinction est importante afin d’éviter de mélanger les usages et de recréer des accès incohérents au fil des besoins.
Cette distinction est importante afin d’éviter de mélanger les usages et de recréer des accès incohérents au fil des besoins.
Ligne 14 : Ligne 15 :
=== Rôle ===
=== Rôle ===


Le compte ‘’‘root’’’ est le compte d’administration système.
Le compte '''root''' est le compte d’administration système.


=== Ce qu’il peut faire ===
=== Ce qu’il peut faire ===
• administrer entièrement le serveur ;
* administrer entièrement le serveur ;
• gérer les datasets ZFS ;
* gérer les datasets ZFS ;
• créer, modifier ou supprimer des arborescences ;
* créer, modifier ou supprimer des arborescences ;
• corriger les droits et propriétaires ;
* corriger les droits et propriétaires ;
• lancer les scripts de synchronisation ;
* lancer les scripts de synchronisation ;
• intervenir dans tous les répertoires clients ;
* intervenir dans tous les répertoires clients ;
• modifier la configuration SSH et SFTP.
* modifier la configuration SSH et SFTP.


=== Exemples ===
=== Exemples ===
• créer un dataset ZFS pour un nouveau client ;
* créer un dataset ZFS pour un nouveau client ;
• lancer la synchronisation provisoire entre eole2 et eole3 ;
* lancer la synchronisation provisoire entre eole2 et eole3 ;
• corriger les droits sur un répertoire client ;
* corriger les droits sur un répertoire client ;
• consulter les logs système ;
* consulter les logs système ;
• modifier la configuration de SSH.
* modifier la configuration de SSH.


=== Conclusion ===
=== Conclusion ===


Le compte ‘’‘root’’’ est réservé à l’exploitation, à la maintenance, aux migrations et au dépannage.
Le compte '''root''' est réservé à l’exploitation, à la maintenance, aux migrations et au dépannage.


== 2. Compte ubuntu ==
== 2. Compte ubuntu ==
Ligne 40 : Ligne 41 :
=== Rôle ===
=== Rôle ===


Le compte ‘’‘ubuntu’’’ est le compte d’entrée d’administration distante.
Le compte '''ubuntu''' est le compte d’entrée d’administration distante.


=== Ce qu’il peut faire ===
=== Ce qu’il peut faire ===
• se connecter en SSH avec clé ;
* se connecter en SSH avec clé ;
• devenir root via sudo ;
* devenir root via sudo ;
• servir de point d’entrée pour l’administration distante.
* servir de point d’entrée pour l’administration distante.


=== Ce qu’il ne doit pas être ===
=== Ce qu’il ne doit pas être ===
• ce n’est pas un compte client ;
* ce n’est pas un compte client ;
• ce n’est pas un compte de dépôt ;
* ce n’est pas un compte de dépôt ;
• ce n’est pas un compte métier.
* ce n’est pas un compte métier.


=== Exemples ===
=== Exemples ===
• connexion SSH initiale au serveur ;
* connexion SSH initiale au serveur ;
• utilisation de sudo pour passer root ;
* utilisation de sudo pour passer root ;
• intervention d’administration courante.
* intervention d’administration courante.


=== Conclusion ===
=== Conclusion ===


Le compte ‘’‘ubuntu’’’ sert d’accès d’administration, mais l’administration effective se fait ensuite en ‘’‘root’’’.
Le compte '''ubuntu''' sert d’accès d’administration, mais l’administration effective se fait ensuite en '''root'''.


== 3. Comptes clients SFTP, par exemple ad53 ==
== 3. Comptes clients SFTP ==


=== Rôle ===
=== Rôle ===


Un compte comme ‘’‘ad53’’’ est un compte de dépôt ou de récupération de fichiers, en ‘’‘SFTP uniquement’’’.
Un compte comme '''ad53''' est un compte de dépôt ou de récupération de fichiers, en '''SFTP uniquement'''.
 
=== Fonctionnement ===
 
Les comptes clients sont :
* membres du groupe '''pleade''' (logique métier) ;
* membres du groupe '''eole3-sftp''' (confinement SSH).
 
=== Configuration SSH associée ===
 
<pre>
Match Group eole3-sftp
    ChrootDirectory %h
    ForceCommand internal-sftp -P setstat,fsetstat
</pre>


=== Ce qu’il peut faire ===
=== Ce qu’il peut faire ===
• se connecter en SFTP ;
 
• accéder à son espace propre ;
* se connecter en SFTP ;
• déposer ou récupérer des fichiers dans son répertoire de travail.
* accéder à son dataset ;
* déposer et récupérer des fichiers dans les zones prévues.


=== Ce qu’il ne peut pas faire ===
=== Ce qu’il ne peut pas faire ===
• ouvrir une session SSH interactive ;
• lancer un shell ;
• accéder aux autres espaces clients ;
• intervenir sur la configuration du serveur.


=== Fonctionnement ===
* ouvrir une session SSH ;
    Match Group pleade
* exécuter des commandes ;
        ChrootDirectory /data/ftp/%u
* sortir de son chroot ;
        ForceCommand internal-sftp
* accéder aux autres clients.
        AllowTcpForwarding no
 
        X11Forwarding no
=== Droits réels ===
 
Les permissions ne sont pas gérées par SSH mais par les droits Unix :


=== Explication ===
* écriture autorisée dans :
  * <code>/data/pleade</code>
  * <code>/data/projets</code>


Cette configuration impose un environnement strictement limité pour les comptes clients :
* écriture interdite dans :
* ‘’‘ChrootDirectory’’’ enferme l’utilisateur dans son répertoire ;
  * <code>/data</code>
* ‘’‘ForceCommand internal-sftp’’’ empêche l’accès à un shell ;
  * <code>/data/data-private</code>
* les redirections réseau sont désactivées.


=== Conclusion ===
=== Conclusion ===


Les comptes SFTP sont volontairement limités à un usage de dépôt et de récupération de fichiers, sans possibilité d’interaction avec le système.
Les comptes SFTP sont strictement limités à un usage de dépôt, en respectant les droits Unix existants.


== 4. Comptes techniques nominatifs ==
== 4. Comptes techniques nominatifs ==
Ligne 110 : Ligne 125 :
* être utilisés comme comptes de service ;
* être utilisés comme comptes de service ;
* être partagés entre plusieurs personnes ;
* être partagés entre plusieurs personnes ;
* remplacer le compte ‘’‘root’’’ pour les opérations critiques.
* remplacer le compte '''root''' pour les opérations critiques.


=== Bonnes pratiques ===
=== Bonnes pratiques ===
Ligne 130 : Ligne 145 :
== Conclusion générale ==
== Conclusion générale ==


La séparation entre ‘’‘root’’’, ‘’‘ubuntu’’’, les comptes SFTP et les comptes nominatifs est essentielle pour garantir :
La séparation entre '''root''', '''ubuntu''', les comptes SFTP et les comptes nominatifs est essentielle pour garantir :
* la sécurité du système ;
* la sécurité du système ;
* la cohérence des droits ;
* la cohérence des droits ;

Dernière version du 10 avril 2026 à 10:05

Doctrine des accès sur eole3

[modifier | modifier le wikicode]

Principe général

[modifier | modifier le wikicode]

Voir aussi : EOLE3_—_Administration,_maintenance_et_flux_de_données

Sur eole3, il faut distinguer clairement trois types d’accès :

  • les comptes d’administration ;
  • les comptes clients de dépôt en SFTP ;
  • les comptes techniques nominatifs utilisés pour le travail en SSH.

Cette distinction est importante afin d’éviter de mélanger les usages et de recréer des accès incohérents au fil des besoins.

1. Compte root

[modifier | modifier le wikicode]

Rôle

[modifier | modifier le wikicode]

Le compte root est le compte d’administration système.

Ce qu’il peut faire

[modifier | modifier le wikicode]
  • administrer entièrement le serveur ;
  • gérer les datasets ZFS ;
  • créer, modifier ou supprimer des arborescences ;
  • corriger les droits et propriétaires ;
  • lancer les scripts de synchronisation ;
  • intervenir dans tous les répertoires clients ;
  • modifier la configuration SSH et SFTP.

Exemples

[modifier | modifier le wikicode]
  • créer un dataset ZFS pour un nouveau client ;
  • lancer la synchronisation provisoire entre eole2 et eole3 ;
  • corriger les droits sur un répertoire client ;
  • consulter les logs système ;
  • modifier la configuration de SSH.

Conclusion

[modifier | modifier le wikicode]

Le compte root est réservé à l’exploitation, à la maintenance, aux migrations et au dépannage.

2. Compte ubuntu

[modifier | modifier le wikicode]

Rôle

[modifier | modifier le wikicode]

Le compte ubuntu est le compte d’entrée d’administration distante.

Ce qu’il peut faire

[modifier | modifier le wikicode]
  • se connecter en SSH avec clé ;
  • devenir root via sudo ;
  • servir de point d’entrée pour l’administration distante.

Ce qu’il ne doit pas être

[modifier | modifier le wikicode]
  • ce n’est pas un compte client ;
  • ce n’est pas un compte de dépôt ;
  • ce n’est pas un compte métier.

Exemples

[modifier | modifier le wikicode]
  • connexion SSH initiale au serveur ;
  • utilisation de sudo pour passer root ;
  • intervention d’administration courante.

Conclusion

[modifier | modifier le wikicode]

Le compte ubuntu sert d’accès d’administration, mais l’administration effective se fait ensuite en root.

3. Comptes clients SFTP

[modifier | modifier le wikicode]

Rôle

[modifier | modifier le wikicode]

Un compte comme ad53 est un compte de dépôt ou de récupération de fichiers, en SFTP uniquement.

Fonctionnement

[modifier | modifier le wikicode]

Les comptes clients sont :

  • membres du groupe pleade (logique métier) ;
  • membres du groupe eole3-sftp (confinement SSH).

Configuration SSH associée

[modifier | modifier le wikicode]
Match Group eole3-sftp
    ChrootDirectory %h
    ForceCommand internal-sftp -P setstat,fsetstat

Ce qu’il peut faire

[modifier | modifier le wikicode]
  • se connecter en SFTP ;
  • accéder à son dataset ;
  • déposer et récupérer des fichiers dans les zones prévues.

Ce qu’il ne peut pas faire

[modifier | modifier le wikicode]
  • ouvrir une session SSH ;
  • exécuter des commandes ;
  • sortir de son chroot ;
  • accéder aux autres clients.

Droits réels

[modifier | modifier le wikicode]

Les permissions ne sont pas gérées par SSH mais par les droits Unix :

  • écriture autorisée dans :
 * /data/pleade
 * /data/projets
  • écriture interdite dans :
 * /data
 * /data/data-private

Conclusion

[modifier | modifier le wikicode]

Les comptes SFTP sont strictement limités à un usage de dépôt, en respectant les droits Unix existants.

4. Comptes techniques nominatifs

[modifier | modifier le wikicode]

Rôle

[modifier | modifier le wikicode]

Les comptes techniques nominatifs sont des comptes individuels utilisés par les administrateurs pour intervenir en SSH.

Ce qu’ils peuvent faire

[modifier | modifier le wikicode]
  • se connecter en SSH avec clé ;
  • exécuter des commandes d’administration via sudo ;
  • intervenir sur les données selon les droits attribués.

Ce qu’ils ne doivent pas faire

[modifier | modifier le wikicode]
  • être utilisés comme comptes de service ;
  • être partagés entre plusieurs personnes ;
  • remplacer le compte root pour les opérations critiques.

Bonnes pratiques

[modifier | modifier le wikicode]
  • un compte par personne ;
  • authentification par clé uniquement ;
  • traçabilité des actions via les logs ;
  • utilisation de sudo plutôt que connexion directe en root si nécessaire.

Exemples

[modifier | modifier le wikicode]
  • connexion SSH nominative ;
  • intervention sur un dataset client ;
  • analyse de logs ;
  • opérations de maintenance courante.

Conclusion

[modifier | modifier le wikicode]

Les comptes nominatifs permettent d’assurer la traçabilité des actions tout en conservant un bon niveau de sécurité.

Conclusion générale

[modifier | modifier le wikicode]

La séparation entre root, ubuntu, les comptes SFTP et les comptes nominatifs est essentielle pour garantir :

  • la sécurité du système ;
  • la cohérence des droits ;
  • la simplicité de maintenance ;
  • la traçabilité des interventions.

Toute dérogation à ces principes doit rester exceptionnelle, justifiée et documentée.

Récupérée de "https://mediawiki.ajlsm.com/index.php?title=Doctrine_des_accès_sur_eole3&oldid=6163"