Doctrine des accès sur eole3

Doctrine des accès sur eole3

Principe général

Voir aussi : EOLE3_—_Administration,_maintenance_et_flux_de_données

Sur eole3, il faut distinguer clairement trois types d’accès :

• les comptes d’administration ;
• les comptes clients de dépôt en SFTP ;
• les comptes techniques nominatifs utilisés pour le travail en SSH.

Cette distinction est importante afin d’éviter de mélanger les usages et de recréer des accès incohérents au fil des besoins.

1. Compte root

Rôle

Le compte root est le compte d’administration système.

Ce qu’il peut faire

• administrer entièrement le serveur ;
• gérer les datasets ZFS ;
• créer, modifier ou supprimer des arborescences ;
• corriger les droits et propriétaires ;
• lancer les scripts de synchronisation ;
• intervenir dans tous les répertoires clients ;
• modifier la configuration SSH et SFTP.

Exemples

• créer un dataset ZFS pour un nouveau client ;
• lancer la synchronisation provisoire entre eole2 et eole3 ;
• corriger les droits sur un répertoire client ;
• consulter les logs système ;
• modifier la configuration de SSH.

Conclusion

Le compte root est réservé à l’exploitation, à la maintenance, aux migrations et au dépannage.

2. Compte ubuntu

Rôle

Le compte ubuntu est le compte d’entrée d’administration distante.

Ce qu’il peut faire

• se connecter en SSH avec clé ;
• devenir root via sudo ;
• servir de point d’entrée pour l’administration distante.

Ce qu’il ne doit pas être

• ce n’est pas un compte client ;
• ce n’est pas un compte de dépôt ;
• ce n’est pas un compte métier.

Exemples

• connexion SSH initiale au serveur ;
• utilisation de sudo pour passer root ;
• intervention d’administration courante.

Conclusion

Le compte ubuntu sert d’accès d’administration, mais l’administration effective se fait ensuite en root.

3. Comptes clients SFTP

Rôle

Un compte comme ad53 est un compte de dépôt ou de récupération de fichiers, en SFTP uniquement.

Fonctionnement

Les comptes clients sont :

• membres du groupe pleade (logique métier) ;
• membres du groupe eole3-sftp (confinement SSH).

Configuration SSH associée

Match Group eole3-sftp
    ChrootDirectory %h
    ForceCommand internal-sftp -P setstat,fsetstat

Ce qu’il peut faire

• se connecter en SFTP ;
• accéder à son dataset ;
• déposer et récupérer des fichiers dans les zones prévues.

Ce qu’il ne peut pas faire

• ouvrir une session SSH ;
• exécuter des commandes ;
• sortir de son chroot ;
• accéder aux autres clients.

Droits réels

Les permissions ne sont pas gérées par SSH mais par les droits Unix :

• écriture autorisée dans :

 * /data/pleade
 * /data/projets

• écriture interdite dans :

 * /data
 * /data/data-private

Conclusion

Les comptes SFTP sont strictement limités à un usage de dépôt, en respectant les droits Unix existants.

4. Comptes techniques nominatifs

Rôle

Les comptes techniques nominatifs sont des comptes individuels utilisés par les administrateurs pour intervenir en SSH.

Ce qu’ils peuvent faire

• se connecter en SSH avec clé ;
• exécuter des commandes d’administration via sudo ;
• intervenir sur les données selon les droits attribués.

Ce qu’ils ne doivent pas faire

• être utilisés comme comptes de service ;
• être partagés entre plusieurs personnes ;
• remplacer le compte root pour les opérations critiques.

Bonnes pratiques

• un compte par personne ;
• authentification par clé uniquement ;
• traçabilité des actions via les logs ;
• utilisation de sudo plutôt que connexion directe en root si nécessaire.

Exemples

• connexion SSH nominative ;
• intervention sur un dataset client ;
• analyse de logs ;
• opérations de maintenance courante.

Conclusion

Les comptes nominatifs permettent d’assurer la traçabilité des actions tout en conservant un bon niveau de sécurité.

Conclusion générale

La séparation entre root, ubuntu, les comptes SFTP et les comptes nominatifs est essentielle pour garantir :

• la sécurité du système ;
• la cohérence des droits ;
• la simplicité de maintenance ;
• la traçabilité des interventions.

Toute dérogation à ces principes doit rester exceptionnelle, justifiée et documentée.