Dans cette première partie on va voir comment sécuriser Postgresql juste après son installation.
1) Vous venez donc d'installer Posgresql 9.x et voulez vous connectez en tapant psql.
> psql
psql: FATAL: role "bidule" does not exist
En fait, en absence d'information, psql utilise le nom de l'utilisateur coté Unix et essaye de s'en servir pour se connecter à la base de données du même nom.
En fait, pour l'utilisateur 'bidule'
> psql
est équivalant de
> psql bidule bidule
Le premier 'bidule' est le nom de la base de données et le second le nom de l'utilisateur coté postgresql.
2) Dans toute installation par défaut de Postgresql il y a une base de données nommée postgres et un utilisateur nommé postgres. Donc ceci doit marcher :
> psql postgres postgres
psql (9.2.7)
Type "help" for help.
postgres=# _
Effectivement, on a bien le prompt du serveur Posgresql.
3) QUOI ?! Pas besoin de mot de passe !!!
Incroyable : Sur la machine où s’exécute le serveur Postgresql aucun utilisateur local n'a besoin de mot de passe pour y accéder. Ceci est dû à cette ligne dans le fichier pg_hba.conf
local all all trust
Elle signifie qu'en 'local', toutes les bases de données (premier 'all') sont accessibles par tous les utilisateurs (deuxième 'all') à qui l'OS a déjà fait confiance ('trust') en acceptant qu'ils se connectent sur la machine.
Bien sur ceci est un véritable problème sur une machine multi-utilisateurs.
Notez que cette méthode très libérale pose exactement les mêmes problèmes que le mot de passe par défaut connu de tout le monde ou que l'utilisateur par défaut sans mot de passe.
4) Les trois premières choses à faire sont, dans cet ordre :
- attribuer un password au user 'postgres' (coté Postgresql, pas coté Unix)
- changer la ligne de pg_hba en: "local all all md5"
- mettre en commentaire toute les autres lignes utilisant la méthode 'trust'
En remplaçant la méthode 'trust' par la méthode 'md5' on force tout utilisateur local à donner le mot de passe de l'utilisateur coté base de données. Encore faut-il qu'il en ait un...
4.1) Donc on se connecte à Posgresql avec:
> psql postgres postgres
puis on tape ces deux commandes pour attribuer un mot de passe à l'utilisateur postgres :
ALTER USER postgres WITH PASSWORD 'Secr3tPassW0rd';
\q
4.2) Dans le fichier pg_hba on remplace sur la ligne local la methode 'trust' par 'md5'
et on met en commentaire les deux lignes host utilisant aussi trust
# host all all 127.0.0.1/32 trust
# host all all ::1/128 trust
On sauve, puis on redémarre le serveur Postgresql :
systemctl restart postgresql
4.3) Maintenant si on utilise la commande psql on doit taper le mot de passe
> psql postgres postgres
Password for user postgres: xxxxxxxxxxxx
psql (9.2.7)
Type "help" for help.
postgres=# _
Ouf !
Notez qu'en remettant la méthode d'authentification pour 'local' à 'trust' pour pourrez vous connecter à nouveau (en local) sans mot de passe, ce qui est bien pratique si vous l'avez oublié.
Ce qui signifie que le 'root' Unix a tous pouvoirs sur le serveur Postgresql puisque il peut outre passer l’authentification en modifiant le fichier pg_hba.conf
Passons à l’accès via le réseaux ...
17 septembre 2014
15 septembre 2014
Postgresql 9 + Centos 7
1: Installer postgresql
yum install
postgresql postgresql-server
2: Créer le home directory de postgresql
mkdir /home/postgres
chown postgres:postgres /home/postgres
chown postgres:postgres /home/postgres
3: Initialiser le repertoire où postgresql va stocker ses bases de données et autres meta-data
su postgres
cd
initdb /home/postgres/data
exit
cd
initdb /home/postgres/data
exit
4: Configuration systemd
Ce qui suit a pour but de ne pas modifier la version d'origine de /usr/lib/systemd/system/postgresql.service
La solution proposé par postgresql est d'utiliser .include mais il faut savoir que cette méthode est obsolète (https://lists.fedoraproject.org/pipermail/devel/2014-July/200804.html)
Créer le fichier /etc/systemd/system/postgresql.service
avec ces 3 lignes (respectez la case)
.include
/usr/lib/systemd/system/postgresql.service
[Service]
Environment=PGDATA=/home/postgres/data
[Service]
Environment=PGDATA=/home/postgres/data
Si nécessaire ajouter la ligne suivante pour aussi changer
le port
Environment=PGPORT=2345
5: Démarrer le serveur postgresql à la main
systemctl daemon-reload (important)
systemctl start postgresql
verifier les log
systemctl status postgresql
6: Si tout va bien activer le démarrage automatique
systemctl enable postgresql
Reste à configurer /home/postgres/pg_hba.conf
Voir ces 3 posts:
- pg_hba (part1) accès local avec/sans mot de passe
- pg_hba (part2) accès via le réseau
- pg_hba + SSL cryptage
7: Installer les extensions
yum install postgresql-contrib
Toutes les extensions vont dans /usr/share/pgsql/extension
Pour installer une extension (par exemple adminpack) dans une base il faut se se connecter à cette base avec le user postgres et taper
CREATE EXTENSION adminpack;8: Installer les .h
Necessaire si on veut compiler un driver pour perl php ruby etc...
Par exemple quand un programme d’installation a besoin de libpq-fe.h
12 septembre 2014
APACHE 2.2 et Centos 7
Il y a de nombreuses raisons pour vouloir encore utiliser Apache 2.2 et de ne pas migrer vers Apache 2.4. L'une d'entre elles est l'utilisation de mod_perl2 qui ne fonctionne toujours pas correctement avec Apache 2.4.
Malheureusement l’installation d’Apache 2.2 sur centos 7 ne peut pas se faire avec yum car seule la version 2.4 est disponible. Voici comment procéder pour compiler Apache 2.2 et mod_perl2 sur centos 7 et mettre en place les fichiers nécessaires au démarrage de httpd 2.2 avec systemctl (aka systemd).
1) Il faut avoir les outils de développements
yum group install "Development Tools"
2) Puis on va sur http://www.us.apache.org/dist/httpd/ et on repère la version la plus récente de httpd-2.2
puis on la télécharge et on la décompresse :
wget http://www.us.apache.org/dist/httpd/httpd-2.2.29.tar.gz
tar xvf httpd-2.2.29.tar.gz
On compile et installe apache 2.2.x
On utilise --prefix pour ne pas installer apache par dessus l’éventuelle version 'officielle'.
cd httpd-2.2.29
./configure --prefix=/path/to/apache22
make
make install
On démarre apache (risque de conflit si une autre version utilise le port 80)
/path/to/apache22/bin/apachectl -k start
Et avec le browser ont doit avoir le classique « It works »
3) Pour compiler mod_perl et tester il y a plus de préparatifs ET une correction de bug:
(peut être certains des packages ci-dessous sont déjà sur votre machine)
yum install perl-ExtUtils-Embed
yum install perl-libwww-perl
yum install perl-CGI
yum install perl-Test-Simple
yum install perl-Linux-Pid
yum install expat
cd /usr/lib64
ln -s libexpat.so.1.x.0 libexpat.so.0
(Adaptez le version de libexpat à votre cas. Pour moi c'est 1.6.0)
4) On va sur http://apache.org/dist/perl/ repérer la dernière version de mod_perl2
puis on la télécharge et on la décompresse :
wget http://apache.org/dist/perl/mod_perl-2.0.8.tar.gz
tar xvf mod_perl-2.0.8.tar.gz
cd mod_perl-2.0.8
ATTENTION #1: Dans le fichier t/api/err_headers_out.t il faut remplacer à deux endroits:
if defined HTTP::Headers->VERSION and HTTP::Headers->VERSION==6.00;
par
if defined HTTP::Headers->VERSION and HTTP::Headers->VERSION>=6.00;
Enfin on peut exécuter la séquence standard :
perl Makefile.PL MP_APXS=/path/to/apache22/bin/apxs
make
make test
make install
NB: Le fait d'avoir installé apache 2.2.x dans un répertoire spécifique n'implique pas que toute la partie mod_perl aille aussi dans ce répertoire. Une partie ira dans apache/include et apache/module mais les modules perl iront dans /usr/local/lib64/perl5
5) Quand on compile soit même Apache on ne bénéficie pas des petits plus apportés par un package comme par exemple la mise en place du script de démarrage. Voici donc comment installer cela avec un Linux, comme centos os 7, qui utilise systemd (sytemctrl) à la place les scripts init.d. On va créer deux fichiers :
a) Le premier est /etc/sysconfig/httpd22
Il sert à configurer l’environnement et les paramètres à passer au daemon httpd.
OPTIONS="-f /path/to/conf/httpd22.conf"
LANG=C
b) Le second /etc/systemd/system/httpd22.service
Il est utilisé par systemd pour exécuter les commandes start/reload/stop et il fait référence au fichier créé ci-dessus.
[Unit]
Description=The Apache HTTP Server 2.2.x
After=network.target remote-fs.target nss-lookup.target
[Service]
Type=simple
KillMode=none
PIDFile=/path/to/apache22/logs/httpd.pid
EnvironmentFile=/etc/sysconfig/httpd22
ExecStart=/path/to/apache22/bin/httpd -DFOREGROUND $OPTIONS
ExecStop=/path/to/apache22/bin/httpd -k stop $OPTIONS
ExecReload=/path/to/apache22/bin/httpd -k restart $OPTIONS
[Install]
WantedBy=multi-user.target
NB: C'est apache qui gère le fichier .pid. Par défaut il est avec les logs de apache, mais on peut changer sa position avec la directive PidFile. Dans ce cas il faut adapter le PIDFile=... dans notre fichier httpd22.service
Après avoir créé ces deux fichiers (et avoir un fichier httpd.conf correct) faire
systemctl daemon-reload
systemctl start httpd22
systemctl status httpd22
Si tout est ok rendre le démarrage automatique
systemctl enable httpd22
Ces 2 fichiers cohabitent très bien avec ceux de httpd 2.4. Si les eux doivent s’exécuter en même temps il faut faire en sorte qu'ils n'utilisent pas le même port en changeant le paramètre "listen 80" dans la config de l'un ou de l'autre.
/path/to/apache22/lib
Après quoi on exécute ldconfig pour que ce nouveau chemin soit pris en compte.
Enjoy 2.2 ;-)
Malheureusement l’installation d’Apache 2.2 sur centos 7 ne peut pas se faire avec yum car seule la version 2.4 est disponible. Voici comment procéder pour compiler Apache 2.2 et mod_perl2 sur centos 7 et mettre en place les fichiers nécessaires au démarrage de httpd 2.2 avec systemctl (aka systemd).
1) Il faut avoir les outils de développements
yum group install "Development Tools"
2) Puis on va sur http://www.us.apache.org/dist/httpd/ et on repère la version la plus récente de httpd-2.2
puis on la télécharge et on la décompresse :
wget http://www.us.apache.org/dist/httpd/httpd-2.2.29.tar.gz
tar xvf httpd-2.2.29.tar.gz
On compile et installe apache 2.2.x
On utilise --prefix pour ne pas installer apache par dessus l’éventuelle version 'officielle'.
cd httpd-2.2.29
./configure --prefix=/path/to/apache22
make
make install
On démarre apache (risque de conflit si une autre version utilise le port 80)
/path/to/apache22/bin/apachectl -k start
Et avec le browser ont doit avoir le classique « It works »
3) Pour compiler mod_perl et tester il y a plus de préparatifs ET une correction de bug:
(peut être certains des packages ci-dessous sont déjà sur votre machine)
yum install perl-ExtUtils-Embed
yum install perl-libwww-perl
yum install perl-CGI
yum install perl-Test-Simple
yum install perl-Linux-Pid
yum install expat
cd /usr/lib64
ln -s libexpat.so.1.x.0 libexpat.so.0
(Adaptez le version de libexpat à votre cas. Pour moi c'est 1.6.0)
4) On va sur http://apache.org/dist/perl/ repérer la dernière version de mod_perl2
puis on la télécharge et on la décompresse :
wget http://apache.org/dist/perl/mod_perl-2.0.8.tar.gz
tar xvf mod_perl-2.0.8.tar.gz
cd mod_perl-2.0.8
ATTENTION #1: Dans le fichier t/api/err_headers_out.t il faut remplacer à deux endroits:
if defined HTTP::Headers->VERSION and HTTP::Headers->VERSION==6.00;
par
if defined HTTP::Headers->VERSION and HTTP::Headers->VERSION>=6.00;
Enfin on peut exécuter la séquence standard :
perl Makefile.PL MP_APXS=/path/to/apache22/bin/apxs
make
make test
make install
NB: Le fait d'avoir installé apache 2.2.x dans un répertoire spécifique n'implique pas que toute la partie mod_perl aille aussi dans ce répertoire. Une partie ira dans apache/include et apache/module mais les modules perl iront dans /usr/local/lib64/perl5
5) Quand on compile soit même Apache on ne bénéficie pas des petits plus apportés par un package comme par exemple la mise en place du script de démarrage. Voici donc comment installer cela avec un Linux, comme centos os 7, qui utilise systemd (sytemctrl) à la place les scripts init.d. On va créer deux fichiers :
a) Le premier est /etc/sysconfig/httpd22
Il sert à configurer l’environnement et les paramètres à passer au daemon httpd.
OPTIONS="-f /path/to/conf/httpd22.conf"
LANG=C
b) Le second /etc/systemd/system/httpd22.service
Il est utilisé par systemd pour exécuter les commandes start/reload/stop et il fait référence au fichier créé ci-dessus.
[Unit]
Description=The Apache HTTP Server 2.2.x
After=network.target remote-fs.target nss-lookup.target
[Service]
Type=simple
KillMode=none
PIDFile=/path/to/apache22/logs/httpd.pid
EnvironmentFile=/etc/sysconfig/httpd22
ExecStart=/path/to/apache22/bin/httpd -DFOREGROUND $OPTIONS
ExecStop=/path/to/apache22/bin/httpd -k stop $OPTIONS
ExecReload=/path/to/apache22/bin/httpd -k restart $OPTIONS
[Install]
WantedBy=multi-user.target
NB: C'est apache qui gère le fichier .pid. Par défaut il est avec les logs de apache, mais on peut changer sa position avec la directive PidFile. Dans ce cas il faut adapter le PIDFile=... dans notre fichier httpd22.service
Après avoir créé ces deux fichiers (et avoir un fichier httpd.conf correct) faire
systemctl daemon-reload
systemctl start httpd22
systemctl status httpd22
Si tout est ok rendre le démarrage automatique
systemctl enable httpd22
Ces 2 fichiers cohabitent très bien avec ceux de httpd 2.4. Si les eux doivent s’exécuter en même temps il faut faire en sorte qu'ils n'utilisent pas le même port en changeant le paramètre "listen 80" dans la config de l'un ou de l'autre.
ATTENTION #2: Quand on se compile un programme (comme ici Apache 2.2) avec ses propres répertoires d'installation on se retrouve avec des fichiers .h ou des librairies à des endroits non standards. Ceci peut poser problèmes par la suite.
Par exemple, si pour utiliser mod_perl on veut installer la librairies Apache2::Request, qui utilise APR::Request, qui est une interface avec la librairie C libapreq2.so, il faudra que le programme d'installation de APR::Request trouve libapreq2.so dans le répertoire ou on a installé notre version d'Apache.
La solution la plus élégante est d'ajouter un fichier apache22.conf dans le répertoire /etc/ld.so.conf.d/ . Ce fichier contiendra juste une ligne du type:
/path/to/apache22/lib
Après quoi on exécute ldconfig pour que ce nouveau chemin soit pris en compte.
Enjoy 2.2 ;-)
08 août 2014
Controle du daemon Apache 2
Les packages précompilés pour Windows tels que WAMP ou XAMPP sont livrés avec une petite interface graphique pour gérer les divers services (daemon). Quand on se compile tout soit même on n’a pas cet outil. Que cela ne tienne !
Voici un batch pour gérer les arrêts/démarrages du daemon httpd d’Apache 2. Il est très pratique quand on met au point une configuration et qu’il faut souvent la recharger.
Il faut obligatoirement exécuter ce batch en faisant un clic bouton droit dessus et en choisissant « exécuter en tant qu’administrateur ». Il y a dans le script une tentative d’utiliser « runas » pour le lancer en admin directement en tapant son nom sur la ligne de commande mais il semble que les droits obtenus avec cette méthode ne soient pas suffisants pour installer le service.
Il faut adapter deux variables au début du fichier:
- le path complet de httpd.exe
- le nom de votre compte ayant les droits d’administrateur,
Il est facile d'étendre ce batch en fonction des besoins. On peut ajouter l’ouverture des fichiers de conf dans un éditeur comme notepad++ et l’affichage des logs (facile à faire si on installe la commande tail de gnuwin32)
@echo off
set HTTPD=C:\Path\to\Apache2\bin\httpd.exe
set ADMUSR=admin
if [%USERNAME%] == [%ADMUSR%] goto :init
@echo.
@echo Droits administrateur requis
runas /profile /user:%ADMUSR% %~dpnx0
if ERRORLEVEL 1 pause
goto :eof
:init
rem Fixe la taille visible de la fenêtre
mode con:cols=80 lines=40
rem Fixe la taille du buffer
powershell -command "&{$H=get-host;$W=$H.ui.rawui;$B=$W.buffersize;$B.width=80;$B.height=300;$W.buffersize=$B;}"
call :do_help
:loop
@echo.
set /P OP="Operation (help): "
2>nul call :do_%OP%
if ERRORLEVEL 1 call :erreur
goto :loop
:do_h
:do_help
@echo.
@echo == Operations :
@echo h = help
@echo i = info
@echo install, uninstall
@echo start, r = restart, stop
@echo on=(install + start) off=(stop + uninstall) info
@echo q = quit
@goto :done
:do_on
@echo on
%HTTPD% -k install
%HTTPD% -k start
@goto :done
:do_off
@echo on
%HTTPD% -k stop
%HTTPD% -k uninstall
@goto :done
:do_i
:do_info
%HTTPD% -v -V
%HTTPD% -l
%HTTPD% -M
@goto :done
:do_r
set OP=restart
:do_install
:do_start
:do_restart
:do_stop
:do_uninstall
@echo on
%HTTPD% -k %OP%
:done
@echo off
rem force le errorlevel à zéro
ver > nul
goto :eof
:erreur
@echo.
@echo ERREUR: "%OP%" n'est une opération valide.
goto :eof
:do_q
:do_quit
:do_exit
exit
Bon, effectivement, il existe le très spartiate Apache Service Monitor mais qui n’est pas extensible comme notre batch. Son avantage est de pouvoir gérer des serveurs Apache s’exécutant sur des machines Windows distantes.
Voici un batch pour gérer les arrêts/démarrages du daemon httpd d’Apache 2. Il est très pratique quand on met au point une configuration et qu’il faut souvent la recharger.
Il faut obligatoirement exécuter ce batch en faisant un clic bouton droit dessus et en choisissant « exécuter en tant qu’administrateur ». Il y a dans le script une tentative d’utiliser « runas » pour le lancer en admin directement en tapant son nom sur la ligne de commande mais il semble que les droits obtenus avec cette méthode ne soient pas suffisants pour installer le service.
Il faut adapter deux variables au début du fichier:
- le path complet de httpd.exe
- le nom de votre compte ayant les droits d’administrateur,
Il est facile d'étendre ce batch en fonction des besoins. On peut ajouter l’ouverture des fichiers de conf dans un éditeur comme notepad++ et l’affichage des logs (facile à faire si on installe la commande tail de gnuwin32)
@echo off
set HTTPD=C:\Path\to\Apache2\bin\httpd.exe
set ADMUSR=admin
if [%USERNAME%] == [%ADMUSR%] goto :init
@echo.
@echo Droits administrateur requis
runas /profile /user:%ADMUSR% %~dpnx0
if ERRORLEVEL 1 pause
goto :eof
:init
rem Fixe la taille visible de la fenêtre
mode con:cols=80 lines=40
rem Fixe la taille du buffer
powershell -command "&{$H=get-host;$W=$H.ui.rawui;$B=$W.buffersize;$B.width=80;$B.height=300;$W.buffersize=$B;}"
call :do_help
:loop
@echo.
set /P OP="Operation (help): "
2>nul call :do_%OP%
if ERRORLEVEL 1 call :erreur
goto :loop
:do_h
:do_help
@echo.
@echo == Operations :
@echo h = help
@echo i = info
@echo install, uninstall
@echo start, r = restart, stop
@echo on=(install + start) off=(stop + uninstall) info
@echo q = quit
@goto :done
:do_on
@echo on
%HTTPD% -k install
%HTTPD% -k start
@goto :done
:do_off
@echo on
%HTTPD% -k stop
%HTTPD% -k uninstall
@goto :done
:do_i
:do_info
%HTTPD% -v -V
%HTTPD% -l
%HTTPD% -M
@goto :done
:do_r
set OP=restart
:do_install
:do_start
:do_restart
:do_stop
:do_uninstall
@echo on
%HTTPD% -k %OP%
:done
@echo off
rem force le errorlevel à zéro
ver > nul
goto :eof
:erreur
@echo.
@echo ERREUR: "%OP%" n'est une opération valide.
goto :eof
:do_q
:do_quit
:do_exit
exit
Bon, effectivement, il existe le très spartiate Apache Service Monitor mais qui n’est pas extensible comme notre batch. Son avantage est de pouvoir gérer des serveurs Apache s’exécutant sur des machines Windows distantes.