SME 7.5 - Partager fichiers + Interdir accès HTML même i-bay

[HP77]

Bonjour,

Je suis confronté à un au problème qui est le suivant :

- J'aimerais permettre à plusieurs utilisateurs de partager des fichiers entre eux dans le dossier files d'une i-bay.
- J'aimerais interdire l'accès en lecture à ces mêmes utiliisateurs (sauf les "webmasters") dans les dossiers html et cgi de cette même i-bay.

Ma question est donc : "Comment faire ?"

Plus précisément, si je ne fais pas fausse route, dois-je absolument modifier (je n'aime pas ça) la configuration de Samba ou bien y aurait-il une autre possibilité qui ne soit pas du genre "volatile" après un lancement de "moulinette" pour les templates ?


J'aimerais surtout savoir s'il y a une solution simple ne demandant pas une trop lourde intervention sur la configuration par défaut de SME.

Je doute qu'une contribution existe car, elle aurait probablement été mise à la place de l'actuel panneau de configuration des i-bays.

Bien merci à qui pourra m'aider à ne pas trop massacrer mon système SME.

Cordialement,
HP

[jibe]

Salut,

Désolé de répondre peut-être à côté, mais je ne comprends pas ce besoin... Pourquoi ne pas créer deux ibays distinctes ?

Autrement dit : as-tu besoin du beurre, ou de l'argent du beurre ?

[HP77]

Bonjour,

Désolé de répondre peut-être à côté, mais je ne comprends pas ce besoin... Pourquoi ne pas créer deux ibays distinctes ?

Autrement dit : as-tu besoin du beurre, ou de l'argent du beurre ?

Eh bien, "les deux mon capitaine !" (euh ! je veux dire, " Mon Amiral ! " )

Plus sérieusement, mon problème est le suivant :

Contexte :

- Nous avons des élèves devant travailler sur un ou plusieurs petits projets durant plusieurs mois.
- Chaque projet nécessite un groupe d'élève pouvant varier d'une "poignée d'individus" à une classe toute entière.
- L'idée étant qu'ils aient un mini site web dédié pour présenter le fruit de leur travail (matériel et/ou logiciel).

Les besoins, pour chaque groupe projet :
- Un espace commun de stockage de fichiers avec quotas par utilisateurs / groupe (c'est bon, SME sait faire )
- Un espace Web dédié accessible par un ou plusieurs "WebMasters" mais pas le reste de l'équipe (là, c'est l'admin SME... )

Le problème est donc :
- Autoriser l'accès à tous les membres du groupe au dossier "files" de l'i-bay
- Autoriser l'accès à certains membres seulement ET "l'enseignant/superviseur/modérateur" au dossier "html" de l'i-bay

Est-ce plus facile à comprendre maintenant ?

Bien sûr, deux i-bays avec, éventuellement, une manipulation sur les propriétés "PhpBaseDirs" pourrait peut-être apporté une réponse à cette question mais je doute que ce soit la réponse "ultime" que je recherche, en voulant conserver les atouts de SME.

En fait, s'il était possible de remplacer "admin" pour lecture/écriture ou écriture seule sans risquer quoi que ce soit, ce serait génial !
(il faudrait que j'en sâche davantage sur les différentes moulinettes SME/i-bays... Pas encore plongé mon nez si profondément, je suis encore en mode "prospection" )


Bon, je vais tenter de "potasser" un peu plus la documentation SME de mon côté, voire de fouiller dans l'arborescence du système de fichier pour tenter un peu plus de "Reverse Enginering" et tenter ainsi d'en savoir plus.

A++

Cordialement,
HP

[jpmgir]

salut

- J'aimerais permettre à plusieurs utilisateurs de partager des fichiers entre eux dans le dossier files d'une i-bay.
- J'aimerais interdire l'accès en lecture à ces mêmes utiliisateurs (sauf les "webmasters") dans les dossiers html et cgi de cette même i-bay.

c'est contradictoire

Code: Tout sélectionner

un emplacement pour partagé les jouer. mais pas la permission di allé! cela est du sadisme! c'est pas le bute de sme Sadi.

[HP77]

[Hors Sujet]

salut

- J'aimerais permettre à plusieurs utilisateurs de partager des fichiers entre eux dans le dossier files d'une i-bay.
- J'aimerais interdire l'accès en lecture à ces mêmes utiliisateurs (sauf les "webmasters") dans les dossiers html et cgi de cette même i-bay.

c'est contradictoire

Code: Tout sélectionner

un emplacement pour partagé les jouer. mais pas la permission di allé! cela est du sadisme! c'est pas le bute de sme Sadi.

@ [i]jpmgir : Bien merci pour ce partage d'idées.

Personnellement, Je ne vois pas de contradiction et je ne crois pas non plus être un "sadique" de vouloir attribuer des droits d'accès différents à des sous-dossiers distincts situés dans un dossier les contenant, même si ce dossier s'appelle une "baie d'information" ou "i-bay" pour faire court.

L'un (.../ibays/projet-abc/files/ ) étant un partage de fichiers en libre accès pour tout le groupe (avant que chaque utilisateur fasse "joujou" avec les permissions sur leurs propres dossiers).
Les autres sous-dossiers (.../ibays/projet-abc/html/ et .../ibays/projet-abc/cgi-bin/ ) en accès "RW" seulement pour les utilisateurs devant superviser la partie "Web".

Si je suis un "sadique" comme tu le dis, alors que sont les utilisateurs admin et root (root is like the "god") de SME ?

Maintenant, on peut en discuter en privé car je ne pense pas que cela passionne tout le monde.
(Si je me trompe, j'invite les autres membres à m'en faire part ici-même...)
[/Hors Sujet][/i]

A++
HP

[jpmgir]

salut
dessolé je devais être mal attentif je n'avais pas noté la présence de cette précision

les dossiers html et cgi

du coup je viens de vérifier sur une ibay de test en sftp tu peu changé les permission de ces dossier en 700 ou drwx------ et a moins être root tu ni a plus axé

[jibe]

Salut,

Est-ce la fatigue ou autre ? Je ne comprends toujours pas ton besoin de tout mettre dans une ibay ?

Les besoins, pour chaque groupe projet :
- Un espace commun de stockage de fichiers avec quotas par utilisateurs / groupe (c'est bon, SME sait faire )
- Un espace Web dédié accessible par un ou plusieurs "WebMasters" mais pas le reste de l'équipe (là, c'est l'admin SME... )

Donc, tu as besoin d'une ibay pour le groupe projet afin qu'il stocke ses fichiers, et d'une autre pour le groupe webmasters du projet afin qu'il y mette le site correspondant.

Le problème est donc :
- Autoriser l'accès à tous les membres du groupe au dossier "files" de l'i-bay
- Autoriser l'accès à certains membres seulement ET "l'enseignant/superviseur/modérateur" au dossier "html" de l'i-bay

Donc, tu as besoin d'une ibay dont tu autoriseras l'accès au dossier "files" à tous les membres du groupe, et d'une autre ibay dont tu autoriseras l'accès au groupe webmasters du projet.

D'une part, en fonction de la "philosophie" de SME, il est bien évident que, pour deux groupes distincts ayant des droits différents, tu es obligé d'avoir deux ibays différentes, et d'autre part je ne vois vraiment pas où, dans la description de ton besoin, il est stipulé ou implicitement signalé la nécessité de mettre deux fonctions différentes, assumées par deux groupes différents, dans une même ibay.

=> Soit je ne sais pas lire, soit je suis fatigué et obstiné, soit ton besoin est mal décrit. Ou alors, c'est moi qui ai raison

Cela dit, effectivement, tu peux bricoler ta SME pour en obtenir ce que tu veux. Aucune idée si c'est simple ou non : je ne me pose même pas la question, c'est le genre de bidouille que je ne ferai jamais sur une SME. Si c'est indispensable comme fonctionnement, il vaut alors mieux monter un serveur LAMP sur une Debian ou une CentOS. Achèterais-tu un PC multimédia pour faire un firewall avec DMZ et load balancing entre deux connexions ADSL ? Tu peux. Suffit de virer Windows, d'ajouter des cartes réseau, de virer la carte tuner etc. etc. Moi, pour faire ça, j'assemble un PC, c'est bien plus simple et bien plus sûr

[HP77]

Bonjour,

Est-ce la fatigue ou autre ? Je ne comprends toujours pas ton besoin de tout mettre dans une ibay ?

Ce doit être la fatigue mais, de mon côté car j'ai encore choppé la crêve avec maux de tête à cause de la clim' (...) et je suis "naze" depuis plus d'une semaine (...)

J'ai effectivement homis d'expliquer ce qui me paraissait être une évidence : un nom de projet = une seule "i-bay" correspondant à ce nom.

Les besoins, pour chaque groupe projet :
- Un espace commun de stockage de fichiers avec quotas par utilisateurs / groupe (c'est bon, SME sait faire )
- Un espace Web dédié accessible par un ou plusieurs "WebMasters" mais pas le reste de l'équipe (là, c'est l'admin SME... )

Donc, tu as besoin d'une ibay pour le groupe projet afin qu'il stocke ses fichiers, et d'une autre pour le groupe webmasters du projet afin qu'il y mette le site correspondant.

On peut voir cela de cette manière ou bien, avoir deux serveurs, l'un pour la partie HTML et l'autre pour la partie FILES mais, pour moi, cela revient à faire deux fois la moulinette SME pour la création d'un site Web projet et de son espace fichiers partagés.

Ce que je cherche à faire c'est une création de site + zone de partage en une seule fois.
Déjà, quand je vais parler d'i-bay au futur administrateur de ce serveur (un(e) fonctionnaire gratte-papier "bigleux" habitué à "M$-clic-o-drôme_Ex-cell") ça risque d'être difficile à faire "avaler"...

Bon, pour faire bref, qu'est-ce que je risque, réellement, de rencontrer comme problème(s) si j'envisage de faire les choses ainsi :

- créer une i-bay "projet_00001"
- lui coller le groupe "ws.grp.projet_00001" pour tous les utilisateurs
- créer dans la foulée un groupe "ws.grp.projet_00001_webmasters" dans lequel je colle d'office : admin et les comptes automatiquement générés suivants : "projet_00001_webmaster" et "projet_00001_supervisor"
- puis, la chose "horrible" : changer les permissions (toujours en automatique car basé sur le nom de l'ibay) de la sorte :

Code: Tout sélectionner

# chgrp ws.grp.projet_00001_webmasters /home/e-smith/files/ibays/projet_00001/html/
# chmod 0770 /home/e-smith/files/ibays/projet_00001/html/


Maintenant, tout comme toi, je n'aime pas trop bricoler un système comme SME qui est conçu pour fonctionner d'une certaine manière, différente de ce que j'ai besoin de faire.

Si je savais assembler le logiciel pour me créer un serveur LAMP de toute pièce, aussi robuste que SME sur le plan sécurité, je l'aurais probablement déjà envisagé durant ma phase "étude / réflexion". Autrement, je n'essairais pas de "faire voler un fourgon blindé avec une "hélice en papier et un élastique"... (Mc Gyver a laissé des traces... )


J'espère n'avoir rien oublié dans ma réponse et que tu ne m'en voudras pas de ne pas reprendre à ton précédent message, point par point, pour ces deux raisons :
- vraiment pas en forme pour me concentrer (migraine ou assimilé)
- ça m'évitera de "tartiner" et compliquer la lecture / discussion.


Sur ce, A++
Cordialement,
HP



[edit]2010-09-20 @ 20h45 SGT
P.S.
Au sujet des risques auxquels je m'expose à changer les droits d'accès directement sur le dossier /html/ d'une i-bay, il risque forcément d'y avoir un problème avec l'accès FTP (si jamais on me le réclame comme une nécessité vitale) et, tout aussi probablement, avec l'utilisateur www.

A ce sujet, y a-t-il d'autres utilisateurs "système" à l'instar de www à qui ma "cuisine improvisée" risque de déplaire (il me semble que oui mais pas évident ce soir de m'en souvenir) ?

Bon, je vais tâcher de tester ça sur une machine virtuelle mais ce qui serait bien, c'est que je sois en mesure d'aller chercher les bons fichiers logs pour vérifier ce que pourront cacher les apparences au point de vue de l'utilisateur "lambda" du groupe pour cette i-bay modifiée.

!sur ce, bonne soirée !
[/edit]

[Muzo]

http://wiki.contribs.org/FTP_Access_to_Ibays
Si ca correspond à ta demande.

/Muzo

[HP77]

Oups !

dessolé je devais être mal attentif je n'avais pas noté la présence de cette précision

les dossiers html et cgi

du coup je viens de vérifier sur une ibay de test en sftp tu peu changé les permission de ces dossier en 700 ou drwx------ et a moins être root tu ni a plus axé

J'ai aussi besoin de lunettes, ça devient sérieux car je découvre seulement ton message.

Seulement en 0700 ?
Bon, je tente un truc rapide sur une i-bay "jetable"...

Et, effectivement, un simple changement de groupe (je ne touche donc pas aux status "RWXS" ) via PuTTY ne semble pas perturber quoi que ce soit au niveau des fonctionalités habituelles... MAIS, comme je le craignais, le moindre changement de configuration de l'i-bay réinitialise toutes les permissions mises en place entre temps.

Bon, ça veut dire qu'il y a encore pas mal de boulot pour automatiser tout ça et donc fiabiliser les opérations en en confiant le moins possible à un opérateur humain (= relativement faible fiabilité aux interruptions de tâche en cours (fatigue, émotions, surcharge ou imbrication de tâches / interruptions), etc...).

Mais cela me permettra d'enfouir un peu plus l'existence de SME aux "touchatouts" de service. (et je sais de quoi je parle, en étant un moi-même )

Par curiosité, j'ai quand même bien envie de pousser les tests un peu plus loin mais ça attendra demain, si j'ai un créneau de "tête libre / reposée".


Bonne soirée,
HP

[HP77]

Bonsoir Muzo,

http://wiki.contribs.org/FTP_Access_to_Ibays
Si ca correspond à ta demande.

Je viens de parcourir un peu la chose, pas très claire en version anglaise et, le forum en français pointé depuis Contribs.org me demande un trop d'effort pour ce soir (mal au neurones + crise aiguë d'ignorance en IPtable et autre "FTPd.conf", etc...)

Je te remercie pour le lien, je tâcherais aussi de creuser cela si je ne suis pas trop "focus" sur autre chose de purement administratif, cette fois .

Bonne soirée et merci encore.
HP


P.S.
Quand je vais essayer la chose, je vais tâcher de compiler mes essais et la doc actuelle en quelque chose de plus simple/clair mais, pour sûr, ce qui existe déjà est à conserver comme documents de référence si n"cessaire pour d'autres explorations.

[jibe]

Salut,

J'ai effectivement homis d'expliquer ce qui me paraissait être une évidence : un nom de projet = une seule "i-bay" correspondant à ce nom.

Je répète que ce qui est une évidence, c'est : un groupe, une fonction = une ibay. Tu peux bien sûr changer cela, mais comme tu es en train de le constater, ce n'est ni simple ni sans conséquences sur la sécurité. Alors que créer deux ibays "projetf" pour les fichiers et "projetw" pour le site n'est un problème que pour ton obstination (ne le prends pas mal : c'est une constatation, pas un jugement !) à vouloir un fonctionnement qui suit ta logique qui n'est pas celle de SME, ni forcément celle de tout le monde. En effet, tel que tu présentes les choses, ce n'est pas un besoin, ce n'est qu'une organisation que tu aimerais avoir.

C'est un peu comme si tu disais : "il me parait évident que un âge = une classe" et que tu veuilles mettre tous les élèves du même âge dans la même salle de classe, en leur donnant à chacun les cours adaptés à leur niveau sans que les uns entendent les cours des autres

Un projet comporte deux volets : un site et un espace de stockage. Je ne vois pas pourquoi ces deux volets devraient absolument cohabiter et encore moins en quoi c'est évident...

[HP77]

Salut Jibe,

...
Je répète que ce qui est une évidence, c'est : un groupe, une fonction = une ibay. Tu peux bien sûr changer cela, mais comme tu es en train de le constater, ce n'est ni simple ni sans conséquences sur la sécurité. Alors que créer deux ibays "projetf" pour les fichiers et "projetw" pour le site n'est un problème que pour ton obstination (ne le prends pas mal : c'est une constatation, pas un jugement !) à vouloir un fonctionnement qui suit ta logique qui n'est pas celle de SME, ni forcément celle de tout le monde. En effet, tel que tu présentes les choses, ce n'est pas un besoin, ce n'est qu'une organisation que tu aimerais avoir.
...
Un projet comporte deux volets : un site et un espace de stockage. Je ne vois pas pourquoi ces deux volets devraient absolument cohabiter et encore moins en quoi c'est évident...

Pas de souci, je ne le prends pas mal.
"ma" logique est en fait celle que l'on m'a un peu imposée...

En fait, lorsque j'ai présenté la chose (= SME) à mon interlocuteur, il m'a demandé s'il était possible de stocker des fichiers projet dans le dossier 'files' qui, d'habitude est soit le dossier réservé à l'accès FTP pour les utilisateurs du site ou bien, en mode "No Access" pour l'extérieur, devient un unique dossier de partage sur le LAN...

Et, oui, je suis d'accord que de séparer ce que l'on offre au publique (=dossier html) devrait être séparé de ce qui est confidentiel (=dossier files).

Cela dit, je ne suis pas le seul à vouloir faire danser SME sur un autre "tempo", si l'on regarde de plus près la contribution citée par Muzo, elle vient elle aussi modifier la façon d'accéder aux dossiers des i-bays de SME...

Bon, je vais tâcher de reprendre mes tests demain car aujourd'hui, que de l'administratif et, ce n'est pas fini...
Mais, si je peux négocier un second serveur pour ce projet (soit physique soit virtuel sous VMware), ce sera plus propre à tous points de vue, je suis bien d'accord.

Merci d'avoir assuré le "garde-fou" pour les "fous" de mon espèce.

Cordialement,
HP

[jibe]

Salut,

Cela dit, je ne suis pas le seul à vouloir faire danser SME sur un autre "tempo", si l'on regarde de plus près la contribution citée par Muzo, elle vient elle aussi modifier la façon d'accéder aux dossiers des i-bays de SME...

Pour ça comme pour beaucoup d'autres choses, tu n'es effectivement pas le seul. Et c'est tout à fait possible. Comme d'utiliser un char Dassault (ou est-ce Leclerc ?) pour transporter l'approvisionnement en gauloises de la caserne ou de transformer des pots de yaourt en téléphone de campagne. C'est juste qu'il y a des moyens plus adaptés, donc plus simples à mettre en oeuvre, plus sûrs et plus fiables.

Mais, si je peux négocier un second serveur pour ce projet (soit physique soit virtuel sous VMware), ce sera plus propre à tous points de vue, je suis bien d'accord.

Je n'ai pas dit qu'il fallait un second serveur, simplement qu'il fallait séparer le site et le partage de fichiers en deux ibays différentes. Elles n'ont pas nécessairement besoin d'être sur deux serveurs différents !

[HP77]

Bonjour,

...

Mais, si je peux négocier un second serveur pour ce projet (soit physique soit virtuel sous VMware), ce sera plus propre à tous points de vue, je suis bien d'accord.

Je n'ai pas dit qu'il fallait un second serveur, simplement qu'il fallait séparer le site et le partage de fichiers en deux ibays différentes. Elles n'ont pas nécessairement besoin d'être sur deux serveurs différents !

Non, c'est moi qui l'ait dit.

En fait, c'est le seul argument auquel je devais penser (inconsciemment, bien sûr) hier, en fin de journée, pour expliquer le besoin de créer deux i-bays mais, cela n'est pas bon non plus car je laisse planer un doute, même très léger avec SME sans aucune modification, sur un éventuel risque potentiel de sécurité des données projet.

Bon, je vais réfléchir un peu plus ce weekend avant de me lancer dans d'autres "bêtises" (...)

Merci d'avoir participé.

Bonne journée à tous !
HP_