Rousse Guillaume

La partie précédente a montré l'utilisation de Kerberos au sein de différentes applications, à partir de cas d'école. Néanmoins, les cas réels sont généralement plus complexes et certains détails viennent parfois compliquer la donne. Cette partie présente donc certains problèmes de mise en œuvre de Kerberos et la façon d'y remédier.

Kerberos est un protocole d'authentification réseau, qui présente la particularité d'allier à la fois sécurité et confort d'utilisation, puisqu'il s'agit d'un système d'authentification unique (SSO, Single Sign On). À l'heure où fleurissent les articles vantant les mérites des systèmes de type CAS, assurant un service similaire, mais limité aux seules applications web, il paraît intéressant de présenter cette technologie quelque peu méconnue.

Jusqu'ici, les exemples présentés concernaient l'accès à des ressources appartenant au même royaume Kerberos que l'utilisateur. Or, ceci n'est pas toujours le cas dans la réalité, lorsqu'il existe plusieurs royaumes Kerberos différents au sein d'une même entité. Cette situation peut être volontaire, les différents royaumes jouant une fonction de cloisonnement, ou non, typiquement lorsqu'un domaine Active Directory est mis en place pour gérer un parc de machines Windows et qu'il vient avec son propre royaume Kerberos.

L'intégration des applications à une infrastructure Kerberos, ou kerberisation, peut se faire de deux manières différentes. La première, l'authentification Kerberos à proprement parler, consiste à utiliser le mécanisme décrit précédemment, à base de tickets, entre le client et le serveur (figure 1). Il faut bien évidemment un support explicite pour ce mécanisme au niveau du client et du serveur, mais également dans le protocole utilisé.

Nagios est un logiciel de supervision, c'est-à-dire un logiciel de surveillance du fonctionnement d'un ensemble de ressources informatique. Cette surveillance s'effectue par le biais de programmes externes, appelés greffons (plugins) dans la nomenclature consacrée.

Depuis le numéro 59, les Mongueurs de Perl vous proposent tous les mois de découvrir les scripts jetables qu’ils ont pu coder ou découvrir dans leur utilisation quotidienne de Perl. Bref, des choses trop courtes pour en faire un article, mais suffisamment intéressantes pour mériter d’être publiées. Ce sont les perles de Mongueurs.

L'installation d'une distribution Linux sur une machine peut s'effectuer selon de nombreuses façons. L'installation réseau, en particulier, évite de devoir au préalable graver un ou plusieurs CD/DVD, ce qui est toujours un gain de temps appréciable. Mais, cela reste une procédure interactive, nécessitant d'être physiquement présent, ce qui est assez peu pratique dans une salle machine bruyante et fastidieux, notamment s'il y a plusieurs machines à installer. La mise en place d'une solution d'installation automatique s'impose rapidement dès que l'on dispose d'un parc de machines d'une certaine taille. Cet article présente une telle solution, appliquée au cas d'une distribution Mandriva.

Le mois dernier, nous avons fait le tour d'un certain nombre d'opérations, de manipulations et de pratiques avec OpenLDAP. Comme précisé en fin d'article, LDAP est un vaste domaine et un livre de recettes concernant le sujet pourrait grossir sans fin jusqu'à dépasser la taille de plusieurs magazines. La preuve, il reste encore des choses à dire ce mois-ci pour compléter ce qui a déjà été détaillé.

OpenLDAP est l'implémentation d'annuaires LDAP la plus utilisée dans le monde du libre à l'heure actuelle. Malheureusement, la documentation disponible n'est pas vraiment à la hauteur. En particulier, les fonctionnalités offertes par les différents modules, qu'il s'agisse de greffons (overlays) ou de modules de stockage (backend), se réduisent le plus souvent à une page de manuel compréhensible par les seuls initiés, qui sont de plus les seuls à en connaître l'existence. Il s'ensuit un gouffre relativement important entre les bonnes pratiques qui se transmettent de bouche à oreille sur la liste de diffusion des utilisateurs, et l'utilisation classique que l'on voit partout ailleurs. Plusieurs années de pratique m'ont ainsi permis d'accumuler une certaine expérience sur ce logiciel, pour répondre à des problèmes variés liés à la gestion d'une base d´utilisateur dans un annuaire LDAP. Ces problèmes étant susceptibles de se poser pour tout administrateur système se trouvant dans le même cas. J'ai donc choisi de partager cette expérience sous la forme d'une liste de recettes thématiques.