Installation et mise en œuvre du module Scribe en mode AD

Deux informations sont importantes pour l'établissement :

• l'Identifiant de l'établissement, qui doit être unique ;
• le Nom de l'établissement.

Ces informations sont notamment utiles pour Zéphir, les applications web locales, ....

Sur les modules fournissant un annuaire LDAP^[1] local, ces variables sont utilisées pour créer l'arborescence.

En premier lieu, il convient de configurer le nom DNS du serveur.

Cette information est découpée en 2 champs :

• le nom de la machine dans l'établissement ;
• Nom DNS du réseau local et du Realm^[2].

Le Nom de la machine est laissé à l'appréciation de l'administrateur.

Le Nom DNS du réseau local et du Realm utilise fréquemment des domaines de premier niveau du type .lan.

C'est ce nom qui configurera le serveur DNS (sur un module Amon par exemple) comme zone de résolution par défaut. Il sera utilisé par les machines pour résoudre l'ensemble des adresses locales.

Notez que Scribe est obligatoirement autorité sur la zone DNS du Realm. Vous ne pouvez pas avoir le même Nom DNS du réseau local à la fois sur un Amon et un Scribe.

Rappel : les outils mDNS (Avahi, Bonjour, ... ) utilise la racine '.local'. Pour éviter les problèmes de DNS, nous vous déconseillons d'utiliser cette racine.

En deuxième lieu, il convient de configurer les noms de domaine de la machine.

Cette information est découpée en plusieurs champs :

• le nom du domaine privé utilisé à l'intérieur de l'établissement ;
• le nom de domaine académique et son suffixe.

Si le module doit utiliser un proxy pour accéder à Internet, il faut activer cette fonctionnalité en passant la variable Utiliser un serveur mandataire (proxy) pour accéder à Internet à oui.

Il devient alors possible de saisir la configuration du serveur proxy :

• nom de domaine ou adresse IP du serveur proxy ;
• le port du proxy.

Par rapport au protocole HTTP^[3], le protocole HTTPS permet de chiffrer la communication entre le navigateur du poste client et le serveur du site distant.

Dans ce cas, le serveur proxy ne journalise qu'une seule connexion vers le site distant (exemple : https://pcll.ac-dijon.fr) mais pas les différentes requêtes d'accès aux pages ou aux fichiers se trouvant sur ce serveur (exemple : https://pcll.ac-dijon.fr/eole/).

En HTTPS, le serveur Proxy ne peut pas filtrer le contenu des pages consultées ni scanner les fichiers téléchargés avec un antivirus.

Le déchiffrement HTTPS sur le serveur Proxy permet d'intercepter l'ensemble des requêtes et de les journaliser, de filtrer le contenu des pages visitées et de scanner les fichiers téléchargés.

Un certificat HTTPS est émis par une autorité de certification^[4].

Let's Encrypt^[5], par exemple, est une autorité de certification publique et connue des navigateurs ; son certificat racine est pré-installé dans les navigateurs et les systèmes d'exploitation.

À partir de la version 2.8.1, le module Amon est équipé d'une fonctionnalité d'interception du trafic HTTPS. Il est possible de déclarer son certificat racine servant à sur-signer les ressources servies par le protocole HTTPS et transitant par le proxy filtrant. Cette déclaration permet d'en automatiser l'intégration dans le magasin de certificats local.

Si la variable Utiliser un serveur mandataire (proxy) pour accéder à Internet est passée à oui, la variable Le serveur mandataire intercepte les communications HTTPS est proposée et permet elle-même de faire apparaître deux variables permettant d’identifier le certificat racine employé par le proxy filtrant.

En passant la variable Le serveur mandataire intercepte les communications HTTPS à oui, il est possible de renseigner les variables suivantes en utilisant les données affichées par la commande diagnose sur le module Amon :

• Type d’empreinte du certificat racine du proxy : SHA256 (par défaut sur Amon 2.8.1)
• Empreinte du certificat racine du proxy : information donnée par le diagnose du serveur Amon dans le cas où celui-ci fait office de proxy filtrant

Cette configuration est nécessaire uniquement lorsque le module Amon est configuré pour l’interception des communications HTTPS.

La variable Adresse IP du serveur DNS donne la possibilité de saisir une ou plusieurs adresses IP du ou des serveur(s) de noms DNS^[6].

La variable Fuseau horaire du serveur vous permet de choisir votre fuseau horaire dans une liste conséquente de propositions.

Trois types de certificats peuvent être utilisés pour sécuriser les connexions avec TLS^[7] :

• autosigné : le certificat est généré localement et signé par une CA^[4] locale ;

• letsencrypt : le certificat est généré et signé par l'autorité Let's Encrypt^[5] ;

• manuel : le certificat est mis en place manuellement par l'administrateur. Pour ce faire, il faut disposer au préalable des certificats fournis par l'autorité de certification, si ce n'est pas encore le cas, le choix autosigné permet d'utiliser le serveur de façon non optimale. Le répertoire /etc/ssl/certs/ est recommandé pour placer les certificats.