Koji/SigulInstall - Historique des versions

Didier : /* Interfacer Sigul et koji */

2015-04-22T07:41:28Z

Interfacer Sigul et koji

← Version précédente		Version du 22 avril 2015 à 07:41
Ligne 243 :		Ligne 243 :

	On peut maintenant utiliser pleinement <class>Sigul</class>.		On peut maintenant utiliser pleinement <class>Sigul</class>.

	~~== Interfacer Sigul et koji ==~~

	~~=== configuration ===~~

	<class>Sigul</class> peut être utiliser pour signer un ou de multiples RPMs dans une instance <class>Koji</class>. Une fois le client Sigul correctement configuré, il suffit juste de configurer l'utilisateur Proxy pour Koji. Quand un client <class>Sigul</class> émet une requête de signature pour <class>Koji</class>, le pont <class>Sigul</class> se connecte à <class>Koji</class> en tant qu'utilisateur '''kojiweb'''. Il faut juste s'assurer que l'utilisateur demandeur a les droits administrateur sur le <class>Koji</class> et <class>Sigul</class> s'occupe du reste.

	La configuration pour <class>Koji</class> peut être situer n'importe où, du moment que l'utilisateur sigul a droit de lecture. Les certificats pour '''kojiweb''' doivent être copiés dans le même chemin que la configuration <class>Koji</class>

	* Comme toutes '''les commandes de cette partie doivent être lancées par l'utilisateur sigul''', on va donc devenir cet utilisateur<syntaxhighlight lang="bash">su - sigul</syntaxhighlight>
	* Création du répertoire de configuration de <class>Koji</class><syntaxhighlight lang="bash">mkdir -p ~/.koji</syntaxhighlight>
	* Copie de la configuration par défaut du client <class>Koji</class><syntaxhighlight lang="bash">cp /etc/koji.conf ~/.koji/config</syntaxhighlight>
	* Copie des certificats {{class\|Kojiweb}} dans celui-ci<syntaxhighlight lang="bash">cp /etc/pki/koji/pem/kojiweb.pem .koji/client.pem</syntaxhighlight><syntaxhighlight lang="bash">cp /etc/pki/koji/kojica.crt .koji/clientca.crt</syntaxhighlight><syntaxhighlight lang="bash">cp /etc/pki/koji/kojica.crt .koji/serverca.crt</syntaxhighlight>

	~~Après avoir redémarrer le pont <class>Sigul</class>, le client doit être capable d'obtenir un RPM depuis Koji et de le signer.~~

	~~=== Test ===~~

	Pour tester l'interfaçage, on va obtenir un RPM depuis <class>Koji</class>, le signer et le sauvegarder dans le répertoire de travail actuel. c'est juste pour tester la connxion et l'authentification sur <class>Koji</class> et <class>Sigul</class>.
	~~<syntaxhighlight lang="bash">sigul sign-rpm -o signed.rpm key_name unsigned.rpm</syntaxhighlight>~~

	~~Si la commande précédente fonctionne, un RPM signé est présent dans le répertoire de travail actuel.~~

	~~On vérifie sa signature~~
	~~<syntaxhighlight lang="bash">rpm --checksig signed.rpm</syntaxhighlight>~~

	==Sigul Client Config Script==		==Sigul Client Config Script==

Didier : /* Opérations sur le client avec l'utilisateur qui utilisera Sigul */

2015-04-22T07:39:39Z

Opérations sur le client avec l'utilisateur qui utilisera Sigul

← Version précédente		Version du 22 avril 2015 à 07:39
Ligne 233 :		Ligne 233 :
	* Création de la base de données NSS, pour garder les informations des certificats, dans le répertoire de destination définit par la variable ''$client_dir''<syntaxhighlight lang="bash">certutil -d $client_dir -N</syntaxhighlight>		* Création de la base de données NSS, pour garder les informations des certificats, dans le répertoire de destination définit par la variable ''$client_dir''<syntaxhighlight lang="bash">certutil -d $client_dir -N</syntaxhighlight>
	* Import de l'autorité de certification (CA: Certificate Authority)<syntaxhighlight lang="bash">pk12util -d $client_dir -i sigulca.p12</syntaxhighlight><syntaxhighlight lang="bash">certutil -d $client_dir -M -n sigul-ca -t CT,,</syntaxhighlight>		* Import de l'autorité de certification (CA: Certificate Authority)<syntaxhighlight lang="bash">pk12util -d $client_dir -i sigulca.p12</syntaxhighlight><syntaxhighlight lang="bash">certutil -d $client_dir -M -n sigul-ca -t CT,,</syntaxhighlight>
	* Génération d'un certificat pour le serveur<br>Le champs CN doit être le login de l'utilisateur pour le système <class>Sigul</class><syntaxhighlight lang="bash">certutil -d $client_dir -S -n sigul-client-cert -s 'CN=~~didier~~' -c sigul-ca -t u,, -v 120</syntaxhighlight>		* Génération d'un certificat pour le serveur<br>Le champs CN doit être le login de l'utilisateur pour le système <class>Sigul</class><syntaxhighlight lang="bash">certutil -d $client_dir -S -n sigul-client-cert -s 'CN=root' -c sigul-ca -t u,, -v 120</syntaxhighlight>
	* Suppression de l'export de l'autorité de certification<syntaxhighlight lang="bash">rm -f sigulca.p12</syntaxhighlight>		* Suppression de l'export de l'autorité de certification<syntaxhighlight lang="bash">rm -f sigulca.p12</syntaxhighlight>
	* Copie du fichier de configuration générale des clients <path>/etc/sigul/client.conf</path> dans son répertoire personnel <path>~/.sigul/client.conf</path><syntaxhighlight lang="bash">cp /etc/sigul/client.conf ~/.sigul/client.conf</syntaxhighlight>		* Copie du fichier de configuration générale des clients <path>/etc/sigul/client.conf</path> dans son répertoire personnel <path>~/.sigul/client.conf</path><syntaxhighlight lang="bash">cp /etc/sigul/client.conf ~/.sigul/client.conf</syntaxhighlight>

Didier : /* Opérations sur le client avec l'utilisateur root */

2015-04-22T07:37:50Z

Opérations sur le client avec l'utilisateur root

← Version précédente		Version du 22 avril 2015 à 07:37
Ligne 215 :		Ligne 215 :
	<pre>		<pre>
	[client]		[client]
	bridge-hostname: koji.~~b2pweb~~.~~com~~		bridge-hostname: koji.didier-linux.eu
	bridge-port: 44334		bridge-port: 44334
	client-cert-nickname: sigul-client-cert		client-cert-nickname: sigul-client-cert
	server-hostname: koji.~~b2pweb~~.~~com~~		server-hostname: koji.didier-linux.eu

	[koji]		[koji]

Didier : /* Opérations avec l'utilisateur root */

2015-04-22T07:37:11Z

Opérations avec l'utilisateur root

← Version précédente		Version du 22 avril 2015 à 07:37
Ligne 139 :		Ligne 139 :
	<pre>		<pre>
	[server]		[server]
	bridge-hostname: koji.~~b2pweb~~.~~com~~		bridge-hostname: koji.didier-linux.eu
	bridge-port: 44333		bridge-port: 44333
	max-file-payload-size: 1073741824		max-file-payload-size: 1073741824
Ligne 165 :		Ligne 165 :
	[nss]		[nss]
	nss-dir: /var/lib/sigul/server		nss-dir: /var/lib/sigul/server
	nss-password: ~~servernsspasswd~~		nss-password: **********
	</pre>		</pre>

Ligne 171 :		Ligne 171 :
	<syntaxhighlight lang="bash">sigul_server_create_db</syntaxhighlight>		<syntaxhighlight lang="bash">sigul_server_create_db</syntaxhighlight>

	On va ajouter l'administrateur initial		On va ajouter l'administrateur initial. Celui-ci doit déjà exister localement sur le système.
	<syntaxhighlight lang="bash">sigul_server_add_admin</syntaxhighlight>		<syntaxhighlight lang="bash">sigul_server_add_admin</syntaxhighlight>

Didier : /* Opérations avec l'utilisateur sigul */

2015-04-22T07:22:04Z

Opérations avec l'utilisateur sigul

← Version précédente		Version du 22 avril 2015 à 07:22
Ligne 124 :		Ligne 124 :
	* Génération d'un certificat pour le serveur<br>Le champs CN doit être le nom complet de l'hôte (fqdn) sur lequel le serveur est hebergé<syntaxhighlight lang="bash">certutil -d $server_dir -S -n sigul-server-cert -s 'CN=koji.b2pweb.com' -c sigul-ca -t u,, -v 120</syntaxhighlight>		* Génération d'un certificat pour le serveur<br>Le champs CN doit être le nom complet de l'hôte (fqdn) sur lequel le serveur est hebergé<syntaxhighlight lang="bash">certutil -d $server_dir -S -n sigul-server-cert -s 'CN=koji.b2pweb.com' -c sigul-ca -t u,, -v 120</syntaxhighlight>
	* Suppression de l'export de l'autorité de certification<syntaxhighlight lang="bash">rm -f sigulca.p12</syntaxhighlight>		* Suppression de l'export de l'autorité de certification<syntaxhighlight lang="bash">rm -f sigulca.p12</syntaxhighlight>
			{{Admon/bug\|Répertoire racine de gnupg\|Bien que la configuration de sigul puisse être éditée,
			<pre>_default_storage_path = '/var/lib/sigul/server'
			default_gnupg_home = os.path.join(_default_storage_path, 'gnupg')
			</pre>
			il faut quand même rajouter un lien symbolique à la racine du répertoire personnel de sigul.
			<pre>
			cd /var/lib/sigul
			ln -s /var/lib/sigul/server/gnupg gnupg
			</pre>}}

	=== Opérations avec l'utilisateur root ===		=== Opérations avec l'utilisateur root ===

Didier : /* Installation */

2015-04-22T07:20:37Z

Installation

@@ Ligne 12 : / Ligne 12 : @@
 == Installation ==
-Rien de plus simple, on installe via [[RPM/UsingYum]], puis on créé l'arborescence nécessaire aux composants de <class>Sigul</class>  {{Admon/smiley|:)}}
+Rien de plus simple, on installe via [[RPM/UsingYum|yum]], puis on créé l'arborescence nécessaire aux composants de <class>Sigul</class>  {{Admon/smiley|:)}}
 La création de l'arborescence est rendue nécessaire par le fait d'installer le pont et le serveur sur le même système (chose qui n'est pas recommandée pour des raisons de sécurité)
@@ Ligne 29 : / Ligne 29 : @@
 gpgagent=$(ps aux | grep gpg | grep sigul | grep -v grep | wc -l)
-[ ${gpgagent} -eq 0 ] && gpg-agent --daemon --use-standard-socket 1>/dev/null 2>&1
+[ ${gpgagent} -eq 0 ] && gpg-agent --homedir=/var/lib/sigul/server --daemon --use-standard-socket 1>/dev/null 2>&1
 </pre>
 }}
 {{Admon/note|FAS|FAS est le système de compte de Fedora, nous n'avons pas besoin de FAS pour un système <class>Sigul</class> personnel.}}
 {{Admon/warning|Mot de passe NSS| Il faut impérativement se rappeler tous les mots de passes utilisés ici.}}
 == Firewall ==

Didier : /* Vue d'ensemble */

2013-08-21T12:47:42Z

Vue d'ensemble

← Version précédente		Version du 21 août 2013 à 12:47
Ligne 2 :		Ligne 2 :

	<class>Sigul</class> est une suite logicielle pour un serveur de signature, qui peut signer les RPMs ou de simple ou multiples fichiers. Toutes les clés [[Security/OpenGPG\|GPG]] sont stockés uniquement sur le serveur <class>Sigul</class> (Sigul server), et donc aucun utilisateur n'a accès à aucune clé publique ou privée. Toutes les communications avec le serveur passent par le pont <class>Sigul</class> (Sigul bridge) qui agit comme une passerelle entre le client et le serveur. Cela isole le serveur et interdit tout accès extérieur autre que depuis le pont. Le client <class>Sigul</class>, une fois configuré, autorise les utilisateurs à signer les RPMs avec les clés créées (ou importées) sur le serveur <class>Sigul</class>, en envoyant des commandes au pont, qui lui se chargera de transmettre au serveur.		<class>Sigul</class> est une suite logicielle pour un serveur de signature, qui peut signer les RPMs ou de simple ou multiples fichiers. Toutes les clés [[Security/OpenGPG\|GPG]] sont stockés uniquement sur le serveur <class>Sigul</class> (Sigul server), et donc aucun utilisateur n'a accès à aucune clé publique ou privée. Toutes les communications avec le serveur passent par le pont <class>Sigul</class> (Sigul bridge) qui agit comme une passerelle entre le client et le serveur. Cela isole le serveur et interdit tout accès extérieur autre que depuis le pont. Le client <class>Sigul</class>, une fois configuré, autorise les utilisateurs à signer les RPMs avec les clés créées (ou importées) sur le serveur <class>Sigul</class>, en envoyant des commandes au pont, qui lui se chargera de transmettre au serveur.
	[[Fichier:SigulArch.svg\|centré\|Architecture de Sigul]]		[[Fichier:SigulArch.svg\|441px\|centré\|vignette\|Architecture de Sigul]]
	{{Admon/bug\|<class>Sigul</class> sur les systèmes el6\|<class>Sigul</class> a un bug récurrent<ref>https://bugzilla.redhat.com/show_bug.cgi?format=multiple&id=894019</ref> sur les systèmes el6 et a besoin de travailler avec le paquet <package>gnupg1</package> au lieu du paquet par défaut <package>gnupg2</package>.		{{Admon/bug\|<class>Sigul</class> sur les systèmes el6\|<class>Sigul</class> a un bug récurrent<ref>https://bugzilla.redhat.com/show_bug.cgi?format=multiple&id=894019</ref> sur les systèmes el6 et a besoin de travailler avec le paquet <package>gnupg1</package> au lieu du paquet par défaut <package>gnupg2</package>.

Didier : /* Installation */

2013-08-21T12:42:27Z

Installation

@@ Ligne 19 : / Ligne 19 : @@
 su - sigul -s /bin/bash -c 'mkdir /var/lib/sigul/{bridge,server}'
 </syntaxhighlight>
-{{Admon/tip|Shell permanent pour l'utilisateur sigul|Il peut être pratique de fixer le shell pour l'utilisateur sigul afin de simplifier les commandes d'administrations|<syntaxhighlight lang="bash"># usermod -s /bin/bash sigul</syntaxhighlight>}}
+{{Admon/tip|Modification permanente pour l'utilisateur sigul|Il peut être pratique de fixer le shell pour l'utilisateur sigul afin de simplifier les commandes d'administrations
 {{Admon/note|FAS|FAS est le système de compte de Fedora, nous n'avons pas besoin de FAS pour un système <class>Sigul</class> personnel.}}
 {{Admon/warning|Mot de passe NSS| Il faut impérativement se rappeler tous les mots de passes utilisés ici.}}

Didier le 21 août 2013 à 12:37

2013-08-21T12:37:40Z

Voir les modifications

Didier : /* create a new key */

2013-08-20T08:16:49Z

create a new key

← Version précédente		Version du 20 août 2013 à 08:16
Ligne 254 :		Ligne 254 :
	Create an initial key once you are able to issue commands to sigul, issue the following:		Create an initial key once you are able to issue commands to sigul, issue the following:
	$ sigul new-key -h		$ sigul new-key -h
	This will output the options that can be used with the key creation, use the ones you want, and generate the key named centos5.		This will output the options that can be used with the key creation, use the ones you want, and generate the key named '''centos5'''.

	$ sigul new-key --name-real='CentOS-5-B2PWeb' --name-comment='CentOS 5 B2PWeb Signing Key' --name-email='srs@b2pweb.com' --key-admin root centos5		$ sigul new-key --name-real='CentOS-5-B2PWeb' --name-comment='CentOS 5 B2PWeb Signing Key' --name-email='srs@b2pweb.com' --key-admin root centos5

← Version précédente		Version du 21 août 2013 à 12:47
Ligne 2 :		Ligne 2 :

	<class>Sigul</class> est une suite logicielle pour un serveur de signature, qui peut signer les RPMs ou de simple ou multiples fichiers. Toutes les clés [[Security/OpenGPG\|GPG]] sont stockés uniquement sur le serveur <class>Sigul</class> (Sigul server), et donc aucun utilisateur n'a accès à aucune clé publique ou privée. Toutes les communications avec le serveur passent par le pont <class>Sigul</class> (Sigul bridge) qui agit comme une passerelle entre le client et le serveur. Cela isole le serveur et interdit tout accès extérieur autre que depuis le pont. Le client <class>Sigul</class>, une fois configuré, autorise les utilisateurs à signer les RPMs avec les clés créées (ou importées) sur le serveur <class>Sigul</class>, en envoyant des commandes au pont, qui lui se chargera de transmettre au serveur.		<class>Sigul</class> est une suite logicielle pour un serveur de signature, qui peut signer les RPMs ou de simple ou multiples fichiers. Toutes les clés [[Security/OpenGPG\|GPG]] sont stockés uniquement sur le serveur <class>Sigul</class> (Sigul server), et donc aucun utilisateur n'a accès à aucune clé publique ou privée. Toutes les communications avec le serveur passent par le pont <class>Sigul</class> (Sigul bridge) qui agit comme une passerelle entre le client et le serveur. Cela isole le serveur et interdit tout accès extérieur autre que depuis le pont. Le client <class>Sigul</class>, une fois configuré, autorise les utilisateurs à signer les RPMs avec les clés créées (ou importées) sur le serveur <class>Sigul</class>, en envoyant des commandes au pont, qui lui se chargera de transmettre au serveur.
	[[Fichier:SigulArch.svg\|centré\|Architecture de Sigul]]		[[Fichier:SigulArch.svg\|441px\|centré\|vignette\|Architecture de Sigul]]
	{{Admon/bug\|<class>Sigul</class> sur les systèmes el6\|<class>Sigul</class> a un bug récurrent<ref>https://bugzilla.redhat.com/show_bug.cgi?format=multiple&id=894019</ref> sur les systèmes el6 et a besoin de travailler avec le paquet <package>gnupg1</package> au lieu du paquet par défaut <package>gnupg2</package>.		{{Admon/bug\|<class>Sigul</class> sur les systèmes el6\|<class>Sigul</class> a un bug récurrent<ref>https://bugzilla.redhat.com/show_bug.cgi?format=multiple&id=894019</ref> sur les systèmes el6 et a besoin de travailler avec le paquet <package>gnupg1</package> au lieu du paquet par défaut <package>gnupg2</package>.

Koji/SigulInstall - Historique des versions

Didier : /* Interfacer Sigul et koji */

Didier : /* Opérations sur le client avec l'utilisateur qui utilisera Sigul */

Didier : /* Opérations sur le client avec l'utilisateur root */

Didier : /* Opérations avec l'utilisateur root */

Didier : /* Opérations avec l'utilisateur sigul */

Didier : /* Installation */

Didier : /* Vue d'ensemble */

Didier : /* Installation */

Didier le 21 août 2013 à 12:37

Didier : /* create a new key */

Didier : /* Interfacer Sigul et koji */

Didier : /* Opérations sur le client avec l'utilisateur qui utilisera Sigul */

Didier : /* Opérations sur le client avec l'utilisateur root */

Didier : /* Opérations avec l'utilisateur root */

Didier : /* Opérations avec l'utilisateur sigul */

Didier : /* Installation */

Didier : /* Vue d'ensemble */

Didier : /* Installation */

Didier : /* create a new key */