|
|
| Ligne 1 : |
Ligne 1 : |
| = EOLE3 — Accès et sécurité =
| |
| [[category:eole3]]
| |
| == 1. Principe ==
| |
|
| |
|
| Séparer les usages :
| |
|
| |
| * administration
| |
| * SFTP clients
| |
| * comptes nominatifs
| |
|
| |
| == 2. Comptes ==
| |
|
| |
| === root ===
| |
|
| |
| * accès total
| |
| * réservé maintenance
| |
|
| |
| === ubuntu ===
| |
|
| |
| * accès SSH principal
| |
| * sudo vers root
| |
|
| |
| === SFTP ===
| |
|
| |
| * pas de shell
| |
| * accès limité au dataset
| |
|
| |
| === comptes nominatifs ===
| |
|
| |
| * accès SSH personnel
| |
| * traçabilité
| |
|
| |
| == 3. Configuration SSH ==
| |
|
| |
| Fichier :
| |
|
| |
| /etc/ssh/sshd_config.d/20-eole3-sftp.conf
| |
|
| |
| Contenu :
| |
|
| |
| Match Group eole3-sftp
| |
| ChrootDirectory %h
| |
| ForceCommand internal-sftp
| |
| AllowTcpForwarding no
| |
| PermitTunnel no
| |
| X11Forwarding no
| |
|
| |
| == 4. Règles ==
| |
|
| |
| * ne jamais ajouter admin dans eole3-sftp
| |
| * ne jamais donner de shell aux clients
| |
| * toujours utiliser chroot
| |
|
| |
| == 5. Sécurité réseau ==
| |
|
| |
| * exposer uniquement Apache (443)
| |
| * ne pas exposer ports internes (9090, 8080)
| |
| * restreindre par IP si possible
| |
|
| |
| == 6. Bonnes pratiques ==
| |
|
| |
| * authentification par clé SSH
| |
| * comptes nominatifs obligatoires
| |
| * logs actifs
| |