Installation et mise en œuvre du module Eclair

Creole propose un système de conteneurs permettant d'isoler certains services du reste du système.

C'est dans le dictionnaire que les conteneurs sont définis et associés à des services.

Si le conteneur n'est pas spécifié, les services seront installés sur le serveur hôte, le maître.

Pour distinguer les fichiers templates, les paquets et les services de l'hôte de ceux mis dans le conteneur, il faut utiliser deux balises différentes.

Sur le serveur hôte, les fichiers templates, les paquets et les services sont dans une balise <files>.

Dans le cas des conteneurs, il faut spécifier un ensemble de balises <container> à l'intérieur d'une balise <containers>. L'utilisation de la balise <all> permet d'appliquer des balises à tous les <container>. En mode non conteneur cette balise s'applique sur le maître. Pour inhiber ce comportement il faut rajouter l'attribut instance_mode='when_container'.

La balise <container> doit obligatoirement contenir l'attribut name pour renseigner le nom du conteneur.

Lors de la première déclaration d'un conteneur l'attribution d'un identifiant unique (attribut id) est obligatoire.

La valeur de cet identifiant permettra de calculer l'adresse IP du conteneur.

Les groupes de conteneurs permettent de réunir des services afin de limiter le nombre de conteneurs.

Ils se déclarent de la même manière que les autres conteneurs. L'affectation d'un conteneur existant à un groupe de conteneurs s'effectue en utilisant l'attribut group.

Les ID de groupes de conteneurs de 50 à 99 sont réservés pour les groupes de conteneurs EOLE.

Les identifiants de conteneur supérieurs à 100 sont utilisables par les contributeurs.

Creole permet de spécifier les paquets à installer pour profiter d'un nouveau service.

A l'instanciation de la machine, les paquets spécifiés seront installés.

Pour cela, il faut utiliser la balise <package> avec comme contenu le nom du paquet.

• l'attribut instance_mode permet de définir un comportement en fonction de la présence du mode conteneur ou non : when_container, when_no_container, always (par défaut).

Les fichiers templates sont définis dans la balise <file>.

• l'attribut name (obligatoire) indique l'emplacement où sera copié le fichier ;
• l'attribut source permet d'indiquer un nom de fichier source différent de celui de destination ;
• l'attribut mode permet de spécifier des droits à appliquer au fichier de destination ;
• l'attribut owner permet de forcer le propriétaire du fichier ;
• l'attribut group permet de forcer le groupe propriétaire du fichier ;
• l'attribut filelist permet de conditionner la génération du fichier suivant des contraintes ;
• si l'attribut rm vaut True, le fichier de destination sera supprimé si il est désactivé via une filelist ;
• si l'attribut mkdir vaut True, le répertoire destination sera créé si il n'existe pas ;
• l'attribut instance_mode permet de définir un comportement en fonction de la présence du mode conteneur ou non : when_container, when_no_container, always (par défaut) ;
• l'attribut del_comment engendre la suppression des lignes vides et des commentaires dans le fichier cible afin d'optimiser sa templatisation (exemple : del_comment='#').

Les dictionnaires Creole intègrent un système de gestion de services GNU/Linux (scripts d'init) qu'il est possible d'utiliser pour activer/désactiver des services non gérés par le module EOLE installé.

Services non gérés : services non référencés dans le système de gestion des services de Creole. Ils ne sont jamais modifiés. Ils restent dans l'état dans lequel Ubuntu les a installés ou dans celui que leur a donné l'utilisateur. Les services non gérés sont généralement les services de base Ubuntu (rc.local, gpm, ...) et tous ceux pour lesquels le module ne fournit pas de configuration spécifique (mdadm, ...).

Services désactivés : services systématiquement arrêtés et désactivés lors des phases d'instance et de reconfigure. Les services concernés sont généralement liés à une réponse à "non" dans l'interface de configuration du module.

Services activés : services systématiquement activés et (re)démarrés lors des phases d'instance et de reconfigure. Les services concernés sont ceux nécessaires au fonctionnement du module.

Les services à activer/désactiver se définissent dans le dictionnaire grâce à la balise <service>.

• l'attribut servicelist (chaîne de caractères alphanumériques) permet de conditionner le démarrage ou l'arrêt d'un service suivant des contraintes ;
• l'attribut method permet de définir la façon de gérer les services : systemd (par défaut), apache et network ;
• l'attribut hidden (booléen) indique si le service doit être activé ou non, cet attribut est particulièrement utile lors de la redéfinition d'un service, en particulier pour forcer sa désactivation ;
• si l'attribut redefine vaut True, cela permet de redéfinir un service déjà défini dans un autre dictionnaire ;
• l'attribut instance_mode permet de définir un comportement en fonction de la présence ou non du mode conteneur : when_container, when_no_container, always (par défaut).

La balise service peut également être utilisée pour activer/désactiver des configurations de site web apache2 (commandes : a2ensite/a2dissite).

Comme pour les services système, l'activation d'un site peut être conditionnée par une servicelist.

On peut ainsi gérer le lien symbolique suivant : /etc/apache2/sites-enabled/monsite avec :

<service method='apache' servicelist='siteperso'>monsite</service>

Le fichier de configuration monsite étant stocké dans /etc/apache2/sites-available/.

La balise <host> permet de déclarer des hôtes à ajouter dans le fichier /etc/hosts du maître et/ou des conteneurs.

• l'attribut name contient le nom d'une variable contenant des noms d'hôtes (FQDN), simple ou multi, obligatoire ;

• l'attribut ip contient le nom d'une variable contenant les adresses IPs associées aux noms, obligatoire ;
• l'attribut hostlist permet d'exclure cette entrée suivant des contraintes, optionnel ;
• l'attribut crossed combine toutes les adresses avec tous les noms d'hôtes. L'utilisation de False génère une association 1 nom d'hôte/1 adresse IP. Doit être False dans le cas d'utilisation de variables ayant une relation maître/esclave, False, True (par défaut) ;
• l'attribut instance_mode permet de définir un comportement en fonction de la présence du mode conteneur ou non : when_container, when_no_container, always (par défaut) ;
• l'attribut comment permet l'ajout d'une ligne de commentaire avant la(les) entrée(s), optionnel.

La balise <disknod> permet de le montage d'une partition du maître à l'intérieur d'un conteneur.

Par exemple, le montage de la partition /home dans le conteneur fichier.

La balise <disknod> ne possède pas d'attribut spécifique.

La balise <fstab> sert à déclarer le montage d'un répertoire (qui n'est pas une partition) à l'intérieur d'un conteneur.

Par exemple, le montage du répertoire /home/mail/ du maître dans le conteneur mail.

• l'attribut name contient le chemin du répertoire à monter ou le nom d'une variable fournissant cette information ;
• si l'attribut name_type vaut SymLinkOption cela indique que le chemin sera défini dans la variable indiquée dans l'attribut name ;
• l’attribut optionnel mount_point permet de définir le point de montage à l’intérieur du conteneur, par défaut c’est la valeur de l’attribut name ;
• si l’attribut mount_point_type vaut SymLinkOption cela indique que le chemin sera défini dans la variable indiquée dans l'attribut mount_point ;
• l’attribut optionnel options permet de définir les options de montage ;
• l'attribut fstablist (chaîne de caractères alphanumériques) permet de conditionner le montage du répertoire suivant des contraintes.

eole-firewall est conçu pour gérer les flux réseau d'un module EOLE.

Il permet d'autoriser des connexions :

• de l'extérieur vers le maître ;
• de l'extérieur vers un conteneur.

Techniquement, ces autorisations se traduisent par des règles iptables et, si nécessaire, des connexions TCP Wrapper^[1] et l'activation de modules noyau.

S'il y a plusieurs règles sur une interface/port, c'est la dernière règle qui est appliquée .

Par exemple, dans le dictionnaire 20_apache.xml, on redirige le port 80 dans le conteneur mais dans 25_nginx.xml, on ouvre le port 80. Si ces deux dictionnaires sont installés simultanément, c'est l'ouverture du port qui est appliquée.

Si le nom du service correspond a un service déclaré dans le conteneur et que celui-ci est désactivé, alors les accès/restrictions ne s'appliquent pas.

Si ip est une variable et que cette variable n'existe pas ou qu'elle est désactivée, la règle ne s'applique pas.

De la même façon pour un port/tcpwrapper avec une variable qui n'existe pas, aucune règle ne s'applique.

Autoriser un port (XXX) pour un service donné (YYY) :

<service_access service='YYY'>

  <port>XXX</port>

</service_access>

Dans la balise port il est également possible de spécifier le protocole (par défaut c'est TCP).

Par exemple :

<service_access service='ntp'>

  <port protocol='udp'>123</port>

</service_access>

Avec tcpwrapper :

<tcpwrapper>YYY</tcpwrapper>

Port avec variable (ZZZ) :

<port port_type="SymLinkOption">ZZZ</port>

List (WWW) pour port/tcpwrapper :

<port service_accesslist="WWW">XXX</port>

<tcpwrapper service_accesslist="WWW">YYY</tcpwrapper>

Si on ne définit que les service_access, le port est ouvert pour tout le monde sur toutes les interfaces.

Pour ajouter des restrictions il faut mettre :

<service_restriction service='YYY'>

  <ip interface='eth0'>1.1.1.1</ip>

<service_restriction>

Dans ce cas, seule l'adresse IP 1.1.1.1 peut accéder à ce service.

Il est possible d'utiliser des variables :

<ip interface='auto' ip_type='SymLinkOption'>variable</ip>

Il est possible d'utiliser un netmask :

<ip interface='eth0' netmask="255.255.255.0" ip_type='SymLinkOption'>variable</ip>

<ip interface='eth1' netmask="variable_netmask" netmask_type='SymlinkOption' ip_type='SymLinkOption'>variable</ip>

Le paramètre interface peut être :

• ethX (pour une interface donnée) ;

• all (pour toutes les interfaces) ;

• auto (calcule de l'interface via la route) ;

• une variable (avec l'ajout de interface_type="SymlinkOption").

Il est aussi possible d'ajouter une service_restrictionlist aux balises ip.