Sur la machine srv-lin-01. Lire le ticket, agir dans le terminal, puis vérifier.
Ticket 3667, ouvert par Thomas Legrand : la revue des tâches planifiées de srv-lin-01 a trouvé la ligne de l'import nocturne de la radio-relève dans la table cron de Samir Ouali. Samir l'y a posée un soir où l'import ne tournait plus : depuis, l'import a tous les droits de Samir, ceux de l'équipe informatique compris, il s'arrêtera le jour où son compte sera fermé, et rien dans les journaux ne le distingue de Samir lui-même. Chaque nuit à 1 h 45, le script /opt/scripts/import-releve.sh prend les fichiers d'index que le concentrateur de la radio-relève dépose dans /srv/releve/arrivee, les range dans /srv/releve/facturation, où le service Facturation les reprend pour le logiciel des abonnés, note chacun dans /srv/releve/journal/import.log, puis le retire de l'arrivée.
Faire tourner l'import sous un compte de service à lui, svc-releve, dont le commentaire nomme le propriétaire, Thomas Legrand. Aucune session ne doit pouvoir s'ouvrir sous ce compte, aucun mot de passe ne doit l'ouvrir, et il ne doit avoir aucun droit d'administration : seulement ce qu'il faut sur les trois dossiers de la relève. L'import doit toujours partir chaque nuit à 1 h 45, et de ce seul compte : plus rien de l'import ne doit dépendre du compte de Samir, ni sa table cron, ni ses droits sur les dossiers de la relève. Élodie Marchal et le service Facturation doivent toujours lire les index rangés pour eux, et les autres agents ne doivent toujours pas pouvoir déposer ni modifier un fichier dans ces dossiers.
Rappel
Le chapitre confie le logiciel des abonnés à un compte de service géré de l'annuaire, dont personne ne connaît le mot de passe. Les comptes de srv-lin-01 sont locaux à la machine : l'équivalent est un compte système sans mot de passe, que seul le système, par cron, fait agir.
useradd -rcrée un compte système (numéro inférieur à 1000, sans dossier personnel) ;-s /sbin/nologinlui donne un programme de connexion qui referme toute session ;-c "texte"remplit son commentaire, qui ne peut pas contenir de deux-points, le séparateur des champs de/etc/passwd. Sans-s,useradddonne un shell ordinaire.- Sans
passwdni-p, le mot de passe reste verrouillé :sudo passwd -S compteafficheL, et/etc/shadowporte un!à la place de l'empreinte. Personne ne peut s'authentifier sous ce nom, et cron n'en a pas besoin. chown compte cheminchange le propriétaire,chown -Rle fait aussi pour tout ce que contient un dossier ;chown compte:groupechange en plus le groupe.ls -letls -ldmontrent l'un et l'autre.sudo crontab -u compte -laffiche la table d'un compte ;printf '...\n' | sudo crontab -u compte -la remplace entière, commesudo crontab -u compte fichier;sudo crontab -u compte -el'ouvre dans nano.id compteliste ses groupes,sudo -l -U comptece que sudo lui accorde.
Boîte à outils
Un clic écrit la commande au curseur, sans la lancer.
Indications
Le ticket se prépare dès que la machine est prête.
Ce terminal ouvre une vraie machine Linux, srv-lin-01, qui tourne dans la page.
Environ 14 Mo à télécharger la première fois, et 300 Mo de mémoire. Sur un téléphone, le travail se fait à l'étroit : un ordinateur avec un clavier convient mieux.