Formation Horus : Administration

Transcription

1 Formation Horus : Administration

2 Support de cours Formation Horus : Administration Auteur(s) : Marc Simon. La reproduction dans ce manuel de noms de marques déposées, de désignations des marques, etc. même sans stipulation explicite que de tels noms et marques sont protégés par la loi, n autorise pas à supposer qu ils soient libres et puissent être utilisés par quiconque. Cet ouvrage a été mis en page avec L A T E X, à partir de fichiers au format XML convertis à l aide de xsltproc développé par Daniel Veillard ( Les logos EOLE ont été réalisés par Marielle Bourdot. Le logo Logidée a été réalisé par Patrice Weber. Les feuilles de styles, la DTD et les outils associés ont été developpés par Logidée ( pour rédiger et maintenir ses supports de formations. Ces outils sont bien sûr sous licence libre et disponibles sur le site web mentionné ci-dessus. Reproduction autorisée dans le cadre du projet EOLE. La reproduction à l identique, au format numérique ou papier, de ce manuel, est autorisée au personnel de l Éducation nationale. Son utilisation est libre dans le cadre de la formation non commerciale sur les différents produits constitutifs du projet EOLE. La reproduction de versions tronquées ou modifiées du support ne peut s effectuer sans l accord préalable des auteurs et de leurs ayants-droits. Veuillez contacter l équipe Eole pour plus de renseignements.

3 Sommaire Thème 1 : Présentation du projet Le projet EOLE : Ensemble Ouvert Libre et Évolutif L objectif est de disposer à terme d un ensemble de serveurs L objectif est de fournir des fonctionnalités aux établissements L administration du parc doit être la plus simple possible L état du développement d EOLE L indispensable base de travail : le pare-feu Amon Le concentrateur VPN Sphynx : compagnon de l Amon Le serveur de fichier Scribe Le serveur d application administratives Horus Le cœur d EOLE : l intégration des services Tous les services sont prévus pour coopérer Les serveurs EOLE seront communiquants Les serveurs s intègreront à la gestion académique Le système EOLE utilise du logiciel libre EOLE : Ensemble ouvert libre et évolutif Définition du logiciel libre Intérêt du logiciel libre dans l Éducation Nationale La question des coûts est à prendre en compte Le logiciel libre peut fédérer les développeurs individuels Les solutions libres sont durables Un soutien politique dans les administrations Thème 2 : Le rôle dévolu au serveur Horus Le serveur Horus, pourquoi faire? Le serveur Horus remplace un serveur Novell Horus, sur quel matériel? Horus, quand? Les fonctionnalités d Horus Le partage de fichiers La gestion des comptes Une gestion différentes des permissions d accès aux fichiers Les fonctionnalités secondaires Une base LDAP Un service DHCP

4 Un serveur Interbase Thème 3 : Utilisation de l outil d administration EAD Aperçu général de l outil L accès se fait par le Web L accès à EAD est authentifié Il est nécessaire de changer le mot de passe rapidement La page d accueil permet de savoir si tout fonctionne Les rapports de sauvegarde et de mise à jour Surveillance des ressources Les informations sur le matériel L indication de la charge Les volumes de données transmis par les différentes interfaces La mémoire utilisée L espace disque utilisé Gestion des services Redémarrage des services Redémarrage du système Mise à jour du système La surveillance des connexions Identifier les machines connectées sur le réseau Identifier les machines accédant à des données La gestion des sauvegardes L interface est identique à celle des mises à jour Deux supports supportés à terme Gestion de l annuaire LDAP Résumé du contenu de l annuaire Ajout d un utilisateur Ajout et modification d un groupe Administration avancée d Horus Ces fonctionnalités nécessitent des compétences Linux Personnalisation de l interface Web Utilisation de l outil Webmin Connexion directe à Horus Thème 4 : La gestion des imprimantes Les imprimantes se gèrent par le Web L interface est distincte de l EAD

5 4.2 L ajout d une imprimante Deux modes de fonctionnement pour les imprimantes Définition de l imprimante Il faut relancer le service Samba par la suite Gestion des files d attente d impression Supprimer les impressions en cours Créer des groupes d imprimantes Thème 5 : La connexion distante avec SSH Le protocole SSH : pour quel public? SSH est un outil d administration distante Il peut servir pour transférer un affichage graphique Il s adresse à tous Il est sécurisé SSH et la cryptographie SSH utilise deux méthodes de chiffrement L obtention des clefs Connexion SSH : guide pratique La connexion authentifiée par mot de passe Connexion authentifiée par clef Thème 6 : La gestion des droits et des utilisateurs La gestion des droits : deux approches L approche Unix : celle des permissions d accès Les droits d accès sous Microsoft Windows La gestion des droits de Linux Initialement, identique aux systèmes Unix Certains systèmes de fichiers prennent en compte des ACL L évolution des systèmes de fichier Fonctionnement de Samba/Horus Il y a plusieurs niveaux de contrôles d accès Samba est un utilisateur Unix Horus utilise les ACL pour les partages Il est possible d imiter la gestion des ACL Microsoft Windows Quelles tâches pour l administrateur? L administrateur doit créer les comptes L administrateur installe des applications Quelques recommandations sur les droits

6 S assurer que les utilisateurs de l EAD sont responsabilisés Différencier les droits d installation et d utilisation Inscrire tous les utilisateurs dans le groupe Domain Admins Inscrire les utilisateurs d imprimantes au groupe PRINTERADMINS Les droits de GEP, un élément complexe Les applications Windows et Interbase Comptes fonctionnels ou nominatifs? Les comptes fonctionnels sont plus simples pour l administrateur Les comptes personnels sont plus pratiques Le système retenu doit permette le respect de la vie privée La solution la plus simple : des droits sur les groupes La réplication des droits Valider les droits sur le serveur père Sauvegarder les ACL Thème 7 : Rappels concernant les paramètres réseau La structure des adresses IP Internet est divisé en réseaux Les masques de réseau indiquent la taille de l adresse du réseau Pour simplifier le routage, des classes standard sont utilisées Il était coûteux de faire circuler la taille du masque La notation par classes est remise en question Les classes engendrent un immense gaspillage Les routeurs ont fait des progrès Thème 8 : Phase pratique Aperçu global de l installation L installation se fait en deux étapes Le serveur n est qu un support pour des applications Quelques rappels nécessaires Le questionnaire d installation Que faut-il savoir? Procédure d installation Deux modes d installation normal et pro Toute la configuration se fait par le biais de scripts Connexion initiale Configuration de la base de donnée Interbase n est pas intégré à la distribution

7 Première étape : enregistrer une licence Utiliser l outil iblicense Configuration avancée : manipulation du dictionnaire La configuration est générée d après /etc/eole/dico.eol Ajouter des fonctionnalités

8 1. Présentation du projet

9 1.1 : Le projet EOLE : Ensemble Ouvert Libre et Évolutif L objectif est de disposer à terme d un ensemble de serveurs Toutes les tâches ne sont pas cumulables sur une même machine En isolant certains systèmes-clefs, on peut mieux les sécuriser L objectif est de fournir des fonctionnalités aux établissements Chaque établissement pourra activer des services prédéfinis Il ne doit pas être possible de diminuer la fiabilité du système L administration du parc doit être la plus simple possible Une interface graphique prend en charge les besoins courants L administration sera centralisée sur un poste L équipe technique du rectorat peut intervenir à distance L objectif est de disposer à terme d un ensemble de serveurs En matière de conception informatique, il est souvent recommandé de ne pas multiplier les services fonctionnant sur le même système. En cas de défaillance matérielle, par exemple, on ne perd ainsi qu une partie des services et non pas la totalité. Il faut toutefois éviter, dans la mesure du possible, de perdre en cohérence entre les services déployés, afin de faciliter l administration des machines. Le projet EOLE a été conçu comme une solution pour les problèmes informatiques en réseau des établissements. Cette solution est entièrement modulaire : chacun des modules peut fonctionner en autonomie, mais plusieurs modules peuvent collaborer pour tenir compte de leur présence et modifier leur comportement en fonction. De même, tous les modules se déclarent dans une interface unique d administration graphique, regroupant l ensemble des services fournis par des éléments EOLE. Même si chaque module reste autonome, un portail d entrée sera prévu pour en faciliter la gestion. Toutes les tâches ne sont pas cumulables sur une même machine La multiplication des systèmes permet d éviter d autres problèmes que les défaillances techniques. En répartissant les services sur différentes machines, on peut répartir efficacement la charge de travail imposée au matériel. Il est en effet généralement moins coûteux, une fois passé un certain niveau de charge, de se procurer plusieurs serveurs que de dimensionner un seul serveur capable de supporter une charge intense. En isolant certains systèmes-clefs, on peut mieux les sécuriser De plus, des considérations de sécurité entrent en ligne de compte. Il est rare que la sécurité d un système informatique soit compromise par une faille du noyau, du cœur du système. Ce code, qui sert d interface entre les applications et le matériel, est généralement l objet d attentions de nombreux développeurs, et les bogues exploitables sont rares. Quand ils existent, ils sont rapidement détectés et corrigés. La plupart des problèmes proviennent des applications installées. D un usage moins universel que le système, elles sont moins réactives. Les services réseaux, qui tournent en permanence sur le système, et qui ont pour but d interagir avec des logiciels tiers (un navigateur dans le cas d un serveur Web, par exemple) sont les applications les plus vulnérables. Présentation du projet Le projet EOLE : Ensemble Ouvert Libre et Évolutif 9

10 Afin de garantir la meilleure sécurité possible, on recommande généralement de limiter les applications installées sur un même système. Cette division a été reprise dans le système EOLE. Ainsi, le module Amon, la première brique du système, fournit-il essentiellement un service de filtrage de paquets. Compte tenu du caractère clef du pare-feu, qui défend le réseau local contre les intrusions, il a été décidé de le spécialiser dans ce rôle, et de n y faire tourner qu une interface d administration et un serveur mandataire/cache, un rôle lui aussi lié à la sécurité. L objectif est de fournir des fonctionnalités aux établissements Chaque établissement pourra activer des services prédéfinis Le principe de construction d EOLE est de ne fournir que les services avalisés au niveau national. Chaque établissement disposera d une certaine autonomie de configuration, tout en restant encadré par les préconisations de l académie de Dijon dans les choix possibles. La cohérence sera ainsi assurée facilement, tout en laissant à chacun une certaine latitude, dans la gestion des sauvegardes, la gestion des règles de sécurité... en fonction des services installés. L équipe d EOLE, basée au rectorat de Dijon, se charge de fournir un outil de configuration qui impose le respect de ces règles. Ainsi, dans le pare-feu Amon, il reste impossible de diminuer la sécurité en dessous d un plancher défini au niveau national. Il ne doit pas être possible de diminuer la fiabilité du système Même en activant l ensemble des services, le correspondant technique dans l établissement ne pourra compromettre la fiabilité du système. Cela aura le double avantage de lui permettre d expérimenter certaines fonctionnalités sans craindre de ne causer des problèmes, et d éviter à l équipe rectorale, plus au fait du fonctionnement du système, de devoir valider les configurations mises en place. Les différents états de configuration d un système EOLE ne peuvent que faire partie d un ensemble prédéfini par l académie de Dijon. Les équipes des autres CRIA peuvent modifier le dictionnaire (regroupant l ensemble des choix de configuration possible) pour créer de nouvelles configurations possibles afin de répondre aux besoins spécifiques. L équipe de Dijon mettra à disposition des CRIA un portail central leur permettant de collaborer efficacement et facilement au projet, et d éventuellement intégrer leurs modifications à la distribution officielle. L administration du parc doit être la plus simple possible Les correspondants techniques ne peuvent adopter EOLE que si le système ne leur prend qu un temps limité de surveillance et de maintenance. La simplicité d administration est une préoccupation prise en compte dans le développement. L administration se décompose en deux niveaux : les tâches courantes (surveillance, mise à jour, diagnostic initial de problèmes) sont effectuées au niveau de l établissement, en suivant une procédure simple ; les tâches avancées sont effectuées à distance, par des personnels expérimentés, en cas de besoin. Note Les dysfonctionnement graves rencontrés sur le système EOLE seront généralement résolus par la mise à jour du système. Si un problème difficile à résoudre est rencontré par une des équipes du rectorat, il vaut mieux signaler le problème à l équipe de développement, afin qu un correctif soit inclus dans les versions ultérieures, plutôt que d agir localement, et de ne pas en faire profiter les autres sites. Présentation du projet Le projet EOLE : Ensemble Ouvert Libre et Évolutif 10

11 Une interface graphique prend en charge les besoins courants Toutes les opérations que le correspondant technique de l établissement sera amené à effectuer le seront au moyen d une interface graphique, consultable par un navigateur Web. Ces opérations ne nécessiteront pas de connaissance spécifique aux produits EOLE, bien qu il puisse être nécessaire de disposer de connaissances sur le service que l on souhaite activer. Ainsi, dans le cadre du pare-feu Amon, quelques notions de réseau seront préférables pour tirer parti de l interface. L administration sera centralisée sur un poste L administration ne sera pas contraignante : toutes les opérations pourront être faites grâce à un navigateur, en se connectant au serveur Horus. Quels que soient les modules EOLE installés, Horus centralisera la configuration de l ensemble des services. Pour le moment, chaque service dispose de son interface propre, similaire toutefois dans son apparence et ses mécanismes. L unification des EAD, au moyen du produit Zéphir quand il sera déployée, fait partie des objectifs. Il n y aura alors plus qu une machine à téléadministrer : elle se chargera de remonter toutes les alertes liées aux éléments EOLE sur le réseau. Cette administration devra se faire au travers du VPN, car il n est pas possible à l heure actuelle de remonter dans les établissements au travers du pare-feu Amon. L installation des CRIA sur le réseau AGRIATES devrait permettre un accès plus simple pour la télémaintenance par le VPN. L équipe technique du rectorat peut intervenir à distance Il est possible de prendre la main sur le serveur directement, en se connectant par le protocole chiffré SSH sur le serveur. Aucune information de connexion ne sera exploitable sur Internet car les logins et les mots de passe sont chiffrés. Cette porte d entrée ne constitue donc pas une faille de sécurité, surtout si l on maintient à jour le serveur SSH et que l on corrige les bogues éventuels dès la publication d un correctif. Il sera ainsi possible à l équipe centrale de venir réaliser un diagnostic plus avancé en cas de problème sur un des systèmes EOLE, sans avoir à se déplacer, sauf en cas de panne de la connexion Internet. Cette méthode est plus pratique, car elle n impose pas de se déplacer dans les établissements. Un outil installable pour Windows permet, grâce à une interface graphique, d administrer la partie annuaire LDAP du serveur Horus, notamment de modifier les utilisateurs, les groupes et les partages. Ce client continuera à exister, mais la plupart des fonctionnalités qu il contient vont être reportées sur l interface EAD. Présentation du projet Le projet EOLE : Ensemble Ouvert Libre et Évolutif 11

12 1.2 : L état du développement d EOLE L indispensable base de travail : le pare-feu Amon Le concentrateur VPN Sphynx : compagnon de l Amon Le serveur de fichier Scribe Le serveur d application administratives Horus L indispensable base de travail : le pare-feu Amon Le premier service à fournir est un service de sécurité. Cela peut sembler paradoxal, car souvent l on pense qu un établissement n est pas susceptible d intéresser un pirate. Rien n est plus faux, malheureusement : non seulement les établissements mal protégés constituent des points de rebond facile pour les pirates déterminés, mais ils hébergent souvent des données confidentielles que la loi impose de protéger dans les règles de l art. La généralisation de l accès Internet fait de plus naître un certain nombre de risques juridiques nouveaux pour les chefs d établissements, responsables des élèves durant leurs heures de présence, aux enseignants, et à toute personne chargée d assurer la maintenance du système informatique. Avant d envisager de fournir des services de publication sur Internet, et d ajouter encore des problèmes à traiter, il semblait logique de se consacrer sur la fourniture d un accès sans risque, tant informatique que légal. C est pourquoi l équipe EOLE s est attachée à fournir comme premier module le serveur Amon, qui filtre les flux et bloque l accès aux sites interdits. Le serveur Amon est aussi capable de monter des tunnels VPN à destination du rectorat, pour permettre de sécuriser tous les flux sensibles comme les données telech. Dans l optique du projet AGRIATES d interconnexion de l ensemble des établissements scolaires, l Amon est la seule solution validée à ce jour. Cela en fait une brique essentielle du projet Eole. Le concentrateur VPN Sphynx : compagnon de l Amon Dans le cadre du projet AGRIATES, il a été décidé d installer un concentrateur VPN dans chaque rectorat, consacré aux communications avec les établissements. Le serveur Sphynx de la solution EOLE permet de concentrer les connexions venues des Amon, et de générer, suivant le même principe, la configuration du VPN sur les Amon. Le module Sphynx est de diffusion plus limitée : il n y en a normalement qu un seul par académie. Il suit toutes les normes des autres produits EOLE, notamment pour l installation et la configuration. Il contient un générateur de fichier de configuration ipsec, qu il suffit de reporter au moyen d une disquette sur les Amon installés dans les établissements. Présentation du projet L état du développement d EOLE 12

13 Le serveur de fichier Scribe Le serveur Scribe se charge de la gestion des utilisateurs, en convertissant la base GEP en fichier LDAP, et en fournissant ce service d annuaire à l ensemble des ressources informatiques. Il peut notamment être utilisé pour l authentification des utilisateurs sur le module Amon. Parallèlement à cela, comme il centralise les comptes utilisateurs, le serveur Scribe héberge aussi les profils des utilisateurs et leurs fichiers personnels. Suite à des contraintes de développement ayant mis l accent sur d autres modules, son développement s est ralenti ces derniers temps, dans l attente d un rapprochement avec les solutions développées pour la partie pédagogique de l établissement. Toutefois, depuis la sortie de la version stable, et compte tenu des nombreuses similarités entre les serveurs Horus et Scribe, le développement est reparti : la première version beta est prévue pour le courant du moins d octobre. Le serveur d application administratives Horus Le serveur Horus est actuellement en phase de validation et de prédéploiement. Il a pour objectif de se substituer aux serveurs Novell présents dans les établissements, pour l interaction avec les applications nationales. Il peut se substituer à un contrôleur de domaine NT, pour l authentification des utilisateurs, l exécution des scripts de connexion, la gestion des droits sur les partages. Il n est donc pas nécessaire de disposer d un serveur 2000 ou NT : le serveur Horus peut prendre sa place. Les applications nationales GEP, GFC et GFC Windows, Star ont été testée avec succès, ainsi que toutes les fonctionnalités de partage de fichier et de gestion des utilisateurs à destination des clients sous Windows. Les autres applications devraient fonctionner : le serveur Horus se comporte exactement comme un serveur Novell, doté d une base de données Interbase. Le serveur Horus est aussi chargé de la gestion des impressions, et, éventuellement, d un service d attribution d adresse IP (DHCP). Présentation du projet L état du développement d EOLE 13

14 1.3 : Le cœur d EOLE : l intégration des services Tous les services sont prévus pour coopérer Les serveurs EOLE seront communiquants Les serveurs s intègreront à la gestion académique Tous les services sont prévus pour coopérer L objectif d EOLE est de proposer un ensemble structurant. Les différents modules s épaulent mutuellement. Ainsi, en présence d un serveur LDAP, fourni par Horus, le serveur Amon est capable d authentifier les utilisateurs, en liaison directe avec la base GEP. Les modules d EOLE ne sont pas tous entièrement aboutis, mais font partie d un ensemble conçu globalement. Le prochain élément centralisateur sera le module Zéphyr : l interface de supervision et de mise à jour du parc de serveurs EOLE. Les serveurs EOLE seront communiquants En utilisant la technologie XMLRPC, les différents serveurs enverront le résultats de traitements de leur journaux d activité et de l état du système vers un (ou plusieurs) serveur de maintenance Zéphyr, qui fourniront aux équipes de maintenance un moyen simple et central de détecter les pannes. Une solution de télémaintenance sera intégrée pour répondre en toute sécurité aux problèmes constatés. Les serveurs s intègreront à la gestion académique La partie administrative d un établissement étant étroitement liée par ses applications et sa structure réseau aux services du rectorat, il semble logique de faire interagir les applications entre elles. La solution VPN intégrée au couple Amon Sphynx permet la communication par un infrastructure sécurisée : la prochaine étape consiste à utiliser le canal mis en place, notamment pour relier les annuaires académiques et d établissement. Présentation du projet Le cœur d EOLE : l intégration des services 14

15 1.4 : Le système EOLE utilise du logiciel libre EOLE : Ensemble ouvert libre et évolutif Définition du logiciel libre Gratuité et logiciels libres, un faux débat Le logiciel est libre si l on peut en modifier les sources La licence GPL est une licence libre contagieuse EOLE : Ensemble ouvert libre et évolutif Dans l acronyme EOLE, le caractère libre est un point essentiel. Toute la solution est construite à base de logiciels libres. Définition du logiciel libre Un logiciel libre est un logiciel dont il est possible de modifier les sources à volonté, et de redistribuer les modifications sans contrainte. EOLE utilise exclusivement des logiciels libres. Gratuité et logiciels libres, un faux débat On confond souvent «logiciel libre» et «logiciel gratuit». Il est vrai qu un logiciel libre est redistribuable sans contrainte : il peut donc être déposé sur un serveur FTP pour le rendre accessible à tous. Les deux notions ne sont toutefois pas équivalentes, car rien n interdit de vendre un logiciel libre. De plus, tous les logiciels gratuits ne sont pas des logiciels libres : les gratuiciels sont dits propriétaires, car on ne dispose pas de leur code source et qu on ne peut pas les modifier. Le logiciel est libre si l on peut en modifier les sources Le vrai critère est la disponibilité des source, et la liberté de les modifier. On peut donc adapter complètement le logiciel à ses besoins. Si cela ne concerne pas l essentiel des utilisateurs de ces produits, cela confère une grande souplesse aux développeurs. La construction du pare-feu Amon n a été possible que parce qu il ne contenait que des logiciels libres : il a été possible de les adapter pour les faire se fondre dans l ensemble. La licence GPL est une licence libre contagieuse Les développements spécifiques liés à EOLE, ainsi qu un grand nombre de logiciels inclus, sont distribués sous licence General Public License (GPL) qui, pour schématiser, impose une contrainte supplémentaire : il est nécessaire de redistribuer les modifications faites sous licence GPL. Cette licence est donc contagieuse : si l on améliore un produit GPL, l ensemble résultant est un produit GPL. Cette licence évite donc la récupération du code dans un produit propriétaire, ce que permettent d autres licences plus libres. Présentation du projet Le système EOLE utilise du logiciel libre 15

16 1.5 : Intérêt du logiciel libre dans l Éducation Nationale La question des coûts est à prendre en compte Le logiciel libre peut fédérer les développeurs individuels Les solutions libres sont durables Un soutien politique dans les administrations La question des coûts est à prendre en compte Grâce aux logiciels libres, il a été possible de construire des solutions comme le pare-feu Amon à un coût de développement réduit : la plupart des briques nécessaires pour sa construction étaient déjà disponibles. De plus, le caractère libre de l ensemble permet sa diffusion rapide : les établissements qui souhaitent s équiper de solutions EOLE n auront pas à s acquitter de frais de licences pour se les procurer. Le logiciel libre peut fédérer les développeurs individuels Dans l Éducation Nationale, un grand nombre d enseignants ont déjà développé des outils à usage pédagogique. Pour l instant, ces produits restent cantonnés au lycée où ils ont été développés, et risquent de tomber dans l oubli si leurs auteurs n ont plus le temps de les faire évoluer. Les licences libres, qui permettent de diffuser le code, sont une bonne base pour rassembler les différents développeurs dans un projet de travail collaboratif. Si l un d entre eux souhaite abandonner un projet, ce dernier peut être repris par un autre. Les solutions libres sont durables Il en va de même à l extérieur de l Éducation Nationale. La mise à jour des différentes briques constitutives d EOLE repose sur une collectivité d auteurs, qui développent ces logiciels sans contrainte. Il est fort peu probable que l une de ces briques tombe en désuétude, car elles sont maintenant largement utilisées dans le monde professionnel. Si les développeurs principaux devaient abandonner le projet, toute personne intéressée pourrait financer un nouveau développement sur cette base. Il n y aurait pas besoin de repartir de zéro au risque de réinventer la roue. Un soutien politique dans les administrations À titre accessoire, le logiciel libre obtient un écho favorable dans les administrations, avec notamment la publication de plusieurs directives en faveur des logiciels libres et des formats ouverts de documents. Présentation du projet Intérêt du logiciel libre dans l Éducation Nationale 16

17 2. Le rôle dévolu au serveur Horus

18 2.1 : Le serveur Horus, pourquoi faire? Le serveur Horus remplace un serveur Novell Il sert de support aux applications DOS et réseau Il pourra héberger les applications Web Horus, sur quel matériel? Horus, quand? Le serveur Horus remplace un serveur Novell Les serveurs Novell sont utilisés dans la branche administrative pour faire tourner des applications nationales. Ces dernières sont développées avec la base de donnée Interbase, qui n est plus compatible avec les dernières versions de Novell, ce qui pose un problème de mise à jour en cas de problème constaté sur les serveurs. Il sert de support aux applications DOS et réseau Plutôt que de s enferrer avec une version obsolète de Netware, et plutôt que de redévelopper l ensemble des applications utilisant Interbase, il a été décidé de déployer des serveurs Linux utilisant la dernière version d Interbase, qui est supportée sur cette architecture, et l émulateur Netware de Linux. On obtient ainsi une solution qui ne nécessite que très peu de modification de l existant : le développement des applications nationales n est pas affecté, et les postes clients administratifs n ont quasiment pas besoin d être reconfigurés. Il pourra héberger les applications Web Le serveur Horus fait actuellement partie des priorité de l équipe Eole, et le déploiement est prévu très rapidement durant les premiers mois de l année scolaire L empressement est justifié par l arrêt du développement des applications DOS et Windows, au profit d applications Web, qui pourront être hébergées sur l Apache des serveurs Horus. Le développement de ces applications étant encore à ses balbutiements, et il n est donc pas difficile d utiliser Horus comme serveur de validation lorsqu elles seront aux stades des tests. Horus, sur quel matériel? La plupart des académies ont choisi de profiter de la sortie du serveur Horus pour s équipe de nouvelles machines serveur. Toutefois, ce n est pas du tout obligatoire : le serveur Horus va remplacer le serveur Novell existant, et s installer sur le même matériel. En terme de ressources, les deux systèmes sont équivalents, et l installation d Horus ne devrait pas avoir d impact sur les performances. Le choix de remplacer le matériel anticipe le déploiement des nouvelles versions des applications nationales, fonctionnant sur un serveur Web, qui pourront exiger plus de ressources. Si certaines académies décidaient de réaliser les installations sur du nouveaux serveurs, l équipe Le rôle dévolu au serveur Horus Le serveur Horus, pourquoi faire? 18

19 Eole ne fournit pas de liste de matériel certifié. En revanche, le serveur Horus utilise comme base, pour l instant, la distribution Linux-Mandrake, dans sa version 9.1. Le matériel supporté officiellement par le noyau correspondant fonctionnera sous Horus. On pourra trouver la liste du matériel sur le site suivant : Note Les produits Eole évoluent, et peuvent notamment mettre à jour le noyau Linux utilisé comme base. Ce dernier, s il supporte généralement de plus en plus de périphériques, peut voir surgir des incompatibilité nouvelles, généralement temporaires. Il faut toutefois être prudent lors des mises à jour majeures, et s assurer à nouveau que le matériel concerné sera supporté. Il est recommandé, d une manière générale, de disposer au moins d un ordinateur doté d un processeur cadencé à 1 Ghz et de 512 Mo de RAM. Pour conserver les fichiers, un minimum de 10 Go de disque dur, IDE ou SCSI, est recommandé. Il va de soit qu une carte réseau s impose. Il est possible d utiliser des contrôleurs RAID, sous réserve d avoir validé leur bonne prise en compte par le noyau Linux. En règle générale, chaque CRIA devra valider le matériel avant de s équiper. L équipe EOLE n a pas vocation à certifier différents matériels. Caveat emptor! Horus, quand? Le serveur Horus pourra être déployé dès la rentrée scolaire Les applications nationales continuant à être développées avec Interbase, il peut arriver que les plate-formes Novell ne puissent faire tourner les dernières versions, impliquant une mise à jour rapide. Autant dans ce cas anticiper le problème et déployer préventivement les serveurs Horus hors des contraintes de temps. Le rôle dévolu au serveur Horus Le serveur Horus, pourquoi faire? 19

20 2.2 : Les fonctionnalités d Horus Le partage de fichiers Pour les clients Netware Pour les clients Microsoft La gestion des comptes Une gestion différentes des permissions d accès aux fichiers Le partage de fichiers Pour les clients Netware Le serveur Horus intègre le logiciel Mars-nwe, un émulateur du partage des volumes Netware. Toutes les applications de sauvegarde ou de distribution centralisée d un antivirus, par exemple, pourront continuer à fonctionner de manière transparente. Pour les clients Microsoft Le serveur Horus intègre de plus le logiciel Samba, qui émule le partage des fichiers dans le voisinage réseau. Il est capable de plus de se comporter comme un serveur NT complet, et notamment de gérer un domaine, l authentification, et les profils des utilisateurs. Il gère aussi par ce biais le parc d imprimantes. Il peut en effet, à l image d un serveur NT, proposer un partage d impression et le téléchargement automatique des pilotes pour les clients Windows. La gestion des comptes Le serveur Horus va héberger la base des utilisateurs administratifs. Il n impose pas de mode de travail particulier : le système intègre la gestion des ACL Windows et Novell sur les utilisateurs et leurs groupes, et offre la même souplesse que les systèmes précédents... et les mêmes responsabilité. Aucun compte n est créé par défaut, ce qui laisse chaque académie libre de sa politique. Le serveur Horus utilise LDAP pour conserver les informations sur les utilisateurs. Note Il n y a pas de schéma officiel pour la gestion de l annuaire LDAP. Toutefois, ces comptes n ont qu un rôle réduit, et une réorganisation de la base LDAP ne posera pas de problèmes : la restructuration fait partie des possibilités de LDAP. Une gestion différentes des permissions d accès aux fichiers Entre les systèmes de droits de Netware, de Windows et d Unix, plusieurs approches concurrentes ont été développées. L erreur la plus classique consiste à tenter de calquer sur un nouveau système une architecture connue. Le rôle dévolu au serveur Horus Les fonctionnalités d Horus 20

21 Lors de la conception d un système de gestion des droits sur une arborescence, il vaut mieux se préoccuper des fonctionnalités recherchées plutôt que de copier un système existant. Dans le cas du serveur Horus, la question peut se poser. La plupart des équipes d assistance aux établissements ont l habitude d un mode de fonctionnement utilisant les ACL de Microsoft Windows. Les ACL définies par la norme POSIX, plus influencées par le monde Unix, ont un comportement légèrement différent. Ainsi, on y considère généralement qu effacer un fichier n est pas une opération d écriture sur le fichier lui-même, mais sur le répertoire qui le contient. Ces différences impliquent de repenser légèrement les fonctionnalités, même si l on utilise les outils Windows pour gérer les droits. L objectif d Horus est de fournir des fonctionnalités similaires à celles de Netware, manipulables avec l outil de gestion des droits intégré dans XP, et non pas des fonctionnalités identiques. Si les applications nationales utilisent certaines fonctionnalités du système de fichier pour conserver des informations on pourra notamment penser à la gestion des droits de GEP qui fait appel aux ACL positionnées sur différents fichiers plutôt que de se doter d une base d utilisateurs intégrée un fonctionnement essentiellement similaire est suffisant. Il n est pas nécessaire d optimiser le fonctionnement d Horus pour supporter des applications qui deviendront caduques dès la sortie de leurs équivalents Web. Le rôle dévolu au serveur Horus Les fonctionnalités d Horus 21

22 2.3 : Les fonctionnalités secondaires Une base LDAP Un service DHCP Un serveur Interbase Une base LDAP L annuaire LDAP n est utilisé par Horus que comme accessoire, pour servir de base d authentification et de gestion des utilisateurs. A l avenir, notamment dans le cadre d une interconnexion avec la base des personnels gérée au niveau académique, ses fonctionnalités pourront être étendues et servir par exemple d annuaire interne. On pourra aussi envisager un rapprochement avec les services utilisés par les solutions utilisées en pédagogie. Le serveur Samba-Edu, notamment, utilise LDAP pour la gestion de ses utilisateurs. Il n est pas impossible que dans le cadre d une convergence des projets informatiques, un schéma commun soit mis en place pour conserver toutes les données utilisateurs (personnels et élèves) dans une base unique, ce qui facilitera la gestion et la maintenance du système. Les différents projets d authentification unifiée dans les administrations trouveront certainement un terreau favorable avec la présence d arborescences LDAP compatibles et conservant chacune les informations sur le personnel et les élèves d un établissement. Un service DHCP Le serveur Horus est capable de fournir des adresses IP aux postes clients sur le réseau administratif. Pour le moment, il ne s agit que de faciliter la connexion de nouvelles machines. Aucune des options de sécurité liées à un DHCP, qui nécessitent un repérage manuel préalable des machines autorisées, ou des options d interaction avec un serveur DNS, n ont été activées. Un serveur Interbase Le serveur Interbase en version Linux est utilisé par les applications nationales. Son utilisation ne diffère pas suivant la plate-forme utilisée, et l on retrouvera toutes les fonctionnalités habituelles. La principale interaction avec ce serveur consiste généralement à ajouter les licences, car il ne s agit pas, d un logiciel libre contrairement aux solutions évoquées plus haut. Le rôle dévolu au serveur Horus Les fonctionnalités secondaires 22

23 3. Utilisation de l outil d administration EAD

24 3.1 : Aperçu général de l outil L accès se fait par le Web La transaction est sécurisée La connexion se fait sur le port 8501 Il faut accepter le certificat proposé par le serveur L accès à EAD est authentifié Le profil administrateur Le profil horus Il est nécessaire de changer le mot de passe rapidement La page d accueil permet de savoir si tout fonctionne Les rapports de sauvegarde et de mise à jour L accès se fait par le Web L interface EAD permet l administration du système au moyen d un navigateur. La plupart des tâches courantes peuvent être effectuées au moyen de formulaires et de boutons. La transaction est sécurisée Afin d éviter l interception des données ou des paramètres d authentification, l ensemble des transactions est chiffré, en utilisant le protocole SSL. Il est donc nécessaire d indiquer au navigateur de se connecter en HTTPS. La connexion se fait sur le port 8501 Les numéros de port des applications sont standardisés. Le port 80 est dévolu aux serveurs HTTP, et l on pourrait trouver logique d y trouver le serveur abritant les pages EAD. Toutefois, pour des raisons de cohérence avec les choix antérieurs faits sur le serveur Horus, et pour prévoir le cas où un établissement souhaiterait utiliser le port 80 pour héberger un service Web interne, il a été décidé de laisser ce port libre. On n oubliera pas que le serveur Horus doit aussi héberger, à terme, un serveur d applications Web : il occupera probablement le port standard. Aussi, le site de configuration est placé sur le port L URL d accès complète est donc : Note Il est aussi possible d utiliser le nom du serveur. Toutefois, en cas de problème sur le serveur DNS, ce nom ne sera pas accessible, puisque c est le serveur DNS qui fait l équivalence entre noms et adresses IP. Il est donc préférable d utiliser l adresse IP directement, même si c est légèrement plus contraignant. Cette recommandation est valable en règle générale : l utilisation des noms nécessite un DNS fonctionnel, et l on peut aisément diagnostiquer les problèmes DNS en tentant une connexion sur un serveur dont on connaît l adresse IP. On peut aussi tenter de se connecter en HTTP sur le port Le serveur Horus dispose d un redirecteur qui démarrera la connexion HTTPS. Utilisation de l outil d administration EAD Aperçu général de l outil 24

25 Il faut accepter le certificat proposé par le serveur Lors de la première connexion depuis la station d administration, Horus va proposer un certificat SSL. Par défaut, les navigateurs n acceptent de faire confiance qu à quelques émetteurs, et le projet EOLE n en fait pas partie. Les navigateurs vont alors proposer de valider le certificat manuellement après un message d avertissement. Cette étape est normale, et doit être effectuée sans crainte. Le serveur Horus se trouve sur le réseau administratif : les clients qui s y trouvent ont certes besoin de protection pour leurs communication, mais les risques d interception y sont moins sensibles qu ailleurs. Par conséquent, on peut se permettre, exceptionnellement, de ne pas vérifier la validité du certificat auprès de l équipe EOLE. Les risques de fraudes sont extrêmement faibles. L accès à EAD est authentifié La connexion peut alors se poursuivre. Le serveur va vérifier que la connexion est bien faite par un administrateur légitime, en demandant l identifiant et le mot de passe correspondant. Le profil administrateur Lors de la première connexion, l identifiant est administrateur, de même que le mot de passe. On accède alors à la page d accueil, avec toutes les fonctionnalités activées. Le profil horus Un second utilisateur de l EAD existe c est une nouveauté par rapport à Amon l utilisateur horus. Il dispose d une interface Web similaire à celle de l administrateur, sans pouvoir modifier l annuaire et les droits des utilisateurs. Ce compte permet de donner les mêmes droits que l interface textuelle de l utilisateur horus, sans nécessiter de se connecter. Elle permet aussi de se familiariser avec l interface en attendant que le correspondant technique de l établissement soit suffisamment habitué à la gestion des droits pour prendre en charge la gestion des utilisateurs et leur inscription dans les différents groupes. Il est nécessaire de changer le mot de passe rapidement La première opération d administration consiste à changer ce mot de passe par défaut. En effet, ce choix, en plus d être relativement simple à deviner, n est absolument pas secret : n importe qui peut connaître les paramètres initiaux de la configuration des produits EOLE. Il est donc impératif de modifier ce mot de passe dès la première connexion, et recommandé de le changer par la suite régulièrement. Cette opération se fait en suivant le lien login depuis la page d accueil d EAD. Le mot de passe de ce compte administrateur ne doit pas forcément être communiqué aux établissements. Chaque académie décidera de sa politique. Pour toutes les opérations courantes permettant de redémarrer certains programmes, voire le serveur, en cas de plantage, le compte horus est suffisant. Il s agit d un compte donnant accès à une interface très simple permettant de déclencher des mises à jour, des sauvegardes, et le redémarrage des services. La page d accueil permet de savoir si tout fonctionne La barre de gauche de la page d accueil contient une série d indicateurs colorés indiquant le bon fonctionnement des services fournis par le serveur Horus. L indicateur Réseau indique si les interfaces sont opérationnelles du point de vue du serveur. Il ne vérifie pas l état de la connexion à Internet, simplement que les cartes ont bien été reconnues. Utilisation de l outil d administration EAD Aperçu général de l outil 25

26 Si les interfaces réseaux ne sont pas fonctionnelles, cet indicateur sera rouge. L indicateur Partage fichiers indique si le service Samba est actif. En cas de problème de connexion au domaine NT, on peut relancer le service correspondant en cliquant sur le lien correspondant, dans la colonne centrale. L indicateur Annuaire permet de savoir si le service LDAP est fonctionnel, et sa contrepartie permet de le relancer. On pourra subodorer un problème de LDAP quand les utilisateurs n arrivent plus à se connecter au domaine NT, mais que les utilisateurs déjà connectés peuvent continuer à travailler. L indicateur Imprimantes permet de savoir si le serveur CUPS qui gère le traitement des quotas d impression et le traitement des files d attente est actif. Attention, un problème d imprimante sur le réseau peut aussi provenir de Samba, qui partagerait mal les imprimantes. Dans le doute, il n est pas inutile de relancer les deux services, sachant que les deux gèrent de manière transparente une interruption de courte durée : les impressions en cours seront conservées dans des files d attente de fichiers, et les clients Windows tenteront automatiquement de se reconnecter. Les rapports de sauvegarde et de mise à jour La page d accueil permet d obtenir des renseignements sur les dates de réalisation des sauvegardes et des mises à jour. Elle permet par des liens d accéder au rapport généré par les scripts correspondants. La page peut aussi vous informer de la publication de nouvelles mises à jour. Il est très important de les appliquer. L équipe EOLE suit en effet les alertes de sécurité publiées par les auteurs des logiciels inclus dans le serveur Horus. La plupart des mises à jour, une fois la version stable sortie, n apportent pas de nouvelles fonctionnalités, mais concernent la sécurité. Le serveur Horus n est certes pas aussi menacé que le pare-feu Amon, qui est directement exposé à Internet, mais il serait faux de croire que cela suffit à le protéger. Compte tenu des informations sensibles qui y sont conservées, il est nécessaire de bien le protéger. Et l application des mises à jour régulière permet de se protéger des failles exploitables dans les logiciels. Les mises à jours ne sont pas incrémentales. La procédure automatisée suit le schéma suivant : Récupération de l ensemble des nouveaux paquets RPM ; Récupération de la mise à jour des configurations ; Installation de tous les RPM ; Application des patches. Les RPM récupérés ne dépendent pas de la version actuelle des programmes installés sur le système : il s agit toujours de la version la plus récente qui est téléchargée. En conséquence, il n est pas nécessaire de passer d une version intermédiaire à l autre pour atteindre la dernière version. Passer d une version Horus 1.0a à 1.0h ne nécessite pas de passer par toutes les versions intermédiaires. Quel que soit l état de départ, ce sont les RPM de l état le plus récent qui sont utilisés. Cette méthode de mise à jour est plus périlleuse, en règle générale, car elle ne peut pas garantir le bon fonctionnement de l application durant la mise à jour. En revanche, puisque l état du système à l arrivée est identique à celui des serveurs Horus de référence mis en place à l académie de Dijon, on sait que le système fonctionnera correctement à l arrivée, même si certains programmes doivent être redémarrés durant la phase de mise à jour. L équipe EOLE s engage à assurer le bon fonctionnement du système de mise à jour : les correctifs sont testés avant d être mis en ligne, et dans la plupart des cas, en cas d erreur, une nouvelle mise à jour suffit à corriger le problème. Seules les erreurs dans le dispositif de mis à jour risquent de nécessiter une mise à jour depuis le CD-ROM. Ces erreurs ne devraient pas normalement Utilisation de l outil d administration EAD Aperçu général de l outil 26