Version imprimable
Bonjour,
pour un tout nouveau projet il faut créer à partir de zéro un espèce de webmin en PHP.
il faut donc pouvoir configurer le réseau, écrire des fichiers de configuration etc.
Mais mon plus gros problème est le suivant: pour effectuer un changement de configuration il faut être en root.
du coup la question est: comment peut-on de manière assez sécuriser passer en root à partir d'un script php pour changer la configuration d'un serveur tournant sous linux (debian)?
C'est une opération très délicate car si elle est mal faite ou mal contrôlée, c'est porte ouverte à tout sur le serveur. Dans tous les cas, il faut restreindre au maximum ce que peut faire l'utilisateur PHP. Je n'ai pas du tout la solution idéale mais j'ai 2 idées :
- Utiliser sudo pour lister explicitement les commandes ou scripts exécutables depuis PHP en tant que root. Par exemple, tu veux créer un nouveau point de montage. Tu écris un script create_mount_point.sh exécutable par root qui prend les paramètres qui vont bien et qui fait le boulot. Avec sudo, tu dis que l'utilisateur PHP peut exécuter ce script (et seulement ce script) en tant que root. Dans PHP, tu appelles alors sudo create_mount_point.sh param1 param2.
- Mettre en place un mécanisme de "job list" : PHP n'a que le droit d'enregistrer qq part une liste d'actions à faire en tant que root. Ensuite, c'est un script (lancé toutes les minutes par cron par exemple) qui examine la liste d'actions et qui les effectue. L'intérêt mais aussi l'inconvénient c'est que l'exécution est asynchrone : quand tu cliques sur le bouton "créer le point de montage", le point de montage ne sera effectivement créé qu'une minute plus tard au maximum.
merci pour ta réponse !
je vais essayer avec la commande sudo, ça me semble le mieux car pour les paramètres réseaux il vaut mieux que ce soit instantané comme changement. J'imagine bien les futurs utilisateurs se prendre la tête car les réglages ne se mettent pas à jour assez vite à leurs gouts.
sinon j'avais mis l'utilisateur apache dans le groupe "root" mais c'est un peu trop barbare!
pour utiliser sudo via apache sans devoir introduire le mot de passe user ou root (ce qui pose problème) il faut modifier le fichier /etc/sudoers (à ne faire qu'en root)
pour y ajouter:
www-data ALL = NOPASSWD: ALL
vous avez compris, www-data est l'utilisateur apache sur mon serveur, ça peut varier bien entendu...
j'espère que ça va aider qq'un d'autre :)
bonne journée
Méfie-toi avec ta config : ça fait un moment que je n'ai pas joué avec sudo mais elle me semble beaucoup trop large : à la lire, j'ai l'impression que www-data peut exécuter toutes les commandes root sans avoir à s'authentifier. C'est relativement dangereux, en fait.
Petite question au passage : c'est juste un projet d'étude ou c'est prévu d'en faire un vrai produit ditribué ? Si c'est pour distribué, il faudra bien indiqué dans la doc d'install que sudo est un prérequis et qu'il faut le configurer de telle ou telle façon. Dans tous les cas, regarde comment fonctionne les webmins existants et comment ils s'installent.
Pour l'instant c'est un projet dans le cadre d'un stage, mais qui sera distribué plus tard.
Pour le sudo, je sais que ma configuration laisse à désirer en terme de sécurité. Pour bien faire il faudrait spécifier toutes les commandes qu'il faut pour le "webmin" afin de restreindre au maximum.
Mais comme pour l'instant ça reste en local pour des tests et la mise en place, l'aspect sécurité est un peu bâclé.
Quand tous les traîtement de chaînes seront mis en place pour les différentes configuration et que ça marchera, il faudra sécuriser sudo, mettre en https etc...
Sinon pour les curieux sudoers: http://www.sudo.ws/sudo/man/sudoers.html
EDIT: j'avais oublié de répondre: pour webmin j'ai déjà regardé mais c'est énorme comme projet avec plein de fichiers cgi et de fichiers python dans tous les coins. Je ne m'y suis tellement pas retrouvé dedans que j'ai pris l'initiative de reprendre tout à neuf.