Vincent Mazenod, aka mazenovi, aka voisin de gennetines » unix

capifony sous windows pour déploiement automatisé sous ispcp

mazenovi — Wed, 13 Apr 2011 11:35:57 +0000

En premier lieu il vous faudra disposer d’un cygwin (éventuellement portable ) sur votre machine, avec le package ruby (1.8) installé.

installer rubyGem est assez simple

télécharger le tarball RubyGems à partir Ruby Forge

wget <a href="http://rubyforge.org/projects/rubygems/">http://rubyforge.org/frs/download.php/74445/rubygems-1.6.2.tgz a>

à remplacer par le numéro de la version courant bien entendu
décompresser le tarball
tar -xvf rubygems-1.6.2.tgz
naviguer jusqu’à l’archive décompressée
cd rubygems-*
exécuter cette commande pour installer RubyGem
ruby setup.rb install
Et celle ci pour mettre à jour
gem update --system

Capifony s’installe donc maintenant simplement via la commande gem qui va gérer les dépendances et donc installer automatiquement Capistrano. Il suffit d’exécuter la commande

sudo gem install capifony

il est tant de configurer la capifonycation de notre projet, donc après avoir navigué jusqu’à la racine du projet exécuter la commande:

capifony .

qui crée un fichier Capfile à la racine du projet et un fichier deploy.rb dans le répertoire config du projet. voici le mien agrémenté de quelques commentaires

set :application, "myapp.org"
set :domain, "mygit.org"
set :deploy_to, "/var/www/virtual/myapp.org"

set :shared_children, %w(log htdocs/uploads) #par défaut ispcp alias le répertoire htdocs (et non web)
set :use_sudo, true #obligatoire pour l'hébergement ispcp car le user de déploiement n'a pas à priori les droits d'écriture sur le répertoire associé au domaine ou sous domaine
set :group_writable, false

set :git_enable_submodules, 1

set :repository, "git://git.cerdi.org/registration/health_registration.git"
set :scm, :git

role :web, domain # Your HTTP server, Apache/etc
role :app, domain # This may be the same as your `Web` server
role :db, domain, :primary => true # This is where Rails migrations will run

set :keep_releases, 3

ssh_options[:forward_agent] = true

Je précise également que l’utilisateur est authentifié par clé RSA. Ce qui m’évite de saisir

Attendu que l’utilisateur utilisé (authentifié par clé RSA) pour le déploiement n’est pas l’utilisateur qui possède les répertoires, j’ai opté pour un utilisateur sudoer, seulement l’option use_sudo n’a pas suffit et j’ai du reprendre les commandes suivantes, à la suite de deploy.rb, en partant du code trouver /usr/lib/ruby/gems/1.8/gems/capifony-0.4.3/lib/capifony.rb (première fois que je voyais du ruby -_-’).

namespace :deploy do

task :setup, :except => { :no_release => true } do
dirs = [deploy_to, releases_path, shared_path]
dirs += shared_children.map { |d| File.join(shared_path, d) }
run "#{try_sudo} mkdir -p #{dirs.join(' ')} && #{try_sudo} chmod g+w #{dirs.join(' ')}"
#add for case where deploy user is not owner
dirs = [releases_path, shared_path]
run "#{try_sudo} chown -R #{user_deploy}:#{group_deploy} #{dirs.join(' ')}"
end

task :symlink, :except => { :no_release => true } do
on_rollback do
if previous_release
run "#{try_sudo} rm -f #{current_path}; #{try_sudo} ln -s #{previous_release} #{current_path}; true"
else
logger.important "no previous release to rollback to, rollback of symlink skipped"
end
end
run "#{try_sudo} rm -f #{current_path} && #{try_sudo} ln -s #{latest_release} #{current_path}"
end

task :start do
run "[ -d #{deploy_to}/htdocs ] && #{try_sudo} rm -rf #{deploy_to}/htdocs || true"
run "[ ! -f #{deploy_to}/htdocs ] && #{try_sudo} ln -s #{current_path}/htdocs #{deploy_to}/htdocs || true"
run "[ ! -f #{deploy_to}/symfony ] && #{try_sudo} ln -s #{current_path}/symfony #{deploy_to}/symfony || true"
dirs = [releases_path, shared_path]
run "#{try_sudo} chown -R #{user_deploy}:#{group_deploy} #{dirs.join(' ')}"
run "#{try_sudo} chmod -R g+w #{dirs.join(' ')}"
run "#{try_sudo} chown -h #{user_deploy}:#{group_deploy} #{current_path} #{deploy_to}/htdocs"
end

task :share_childs do
if shared_children
shared_children.each do |link|
run "mkdir -p #{shared_path}/#{link}"
run "#{try_sudo} chmod -R g+w #{shared_path}/#{link}"
run "if [ -d #{release_path}/#{link} ] ; then rm -rf #{release_path}/#{link}; fi"
run "ln -nfs #{shared_path}/#{link} #{release_path}/#{link}"
end
end

if shared_files
shared_files.each do |link|
link_dir = File.dirname("#{shared_path}/#{link}")
run "mkdir -p #{link_dir}"
run "#{try_sudo} chmod -R g+w #{link_dir}"
run "touch #{shared_path}/#{link}"
run "ln -nfs #{shared_path}/#{link} #{release_path}/#{link}"
end
end
end
end

Si ce n’est pas déjà fait, faites gérer votre projet par git

git init

pour ne faire gérer que le nécessaire par git éditer .gitignore

web/sf*
web/uploads/*
cache/*
plugins/.*
log/*
config/databases.yml
mkmf.log
.rsync*
backups/*

pour intégrer symfony en tant que librairie externe il vous faudra supprimer le répertoire lib/vendor/symfony s’il existe ou crééer lib/vendor s’il n’existe pas

mkdir -p lib/vendor

ensuite il suffit de déclarer la librairie symfony comme un sous modules au niveau de git, et faire de même pour tous les plugins qui sont verisonnés avec git

git submodule add http://github.com/vjousse/symfony-1.4.git lib/vendor/symfony
git submodule add https://github.com/rande/swFunctionalTestGenerationPlugin.git plugins/swFunctionalTestGenerationPlugin

ce qui a pour conséquence de créer un fichier .gitmodules contenant

[submodule "lib/vendor/symfony"]
path = lib/vendor/symfony
url = http://github.com/vjousse/symfony-1.4.git
[submodule "plugins/swFunctionalTestGenerationPlugin"]
path = plugins/swFunctionalTestGenerationPlugin
url = https://github.com/rande/swFunctionalTestGenerationPlugin.git

il s’agit ensuite de committer le projet , sur un serveur distant

git add .
git commit -a -m 'commit entire project' #commit en local
git remote add origin git@git.cerdi.org:registration/health_registration.git #défini un serveur git distant
git push origin master #répercutre le modifs sur le serveur git distant

maintenant que notre projet est gité avec ces sous modules, il ne reste qu’à

lancer la commande suivante pour finir de configurer le déploiement

cap deploy:setup

lancer la commande suivante pour le premier déploiement

cap deploy:cold

lancer la commande suivante pour les suivants

cap deploy:start

la crypto facile avec TrueCrypt

mazenovi — Mon, 21 Mar 2011 10:58:34 +0000

Pourquoi crypter?

C’est sûr on ne balade pas tous des dossiers classés secrets défense dans nos ordinateurs portables. Mais si on prend deux secondes pour y réfléchir, perdre ou se faire voler une machine peut vite se révéler fort ennuyeux.

Les mots de passe sauvegardés pour la Messagerie, pour les instant messengers (MSN, Gtalk), dans la saisie semi automatique du navigateurs (facebook, twitter, webmail etc ..), sont autant de petits gains de temps apparemment anodins qui deviendront tout à coup de véritables vulnérabilités pouvant mettre en péril l’intégrité de votre identité numérique. Quiconque trouve ou vole votre machine, peut (à minima) se faire passer pour vous tant que vous n’avez pas changé les mots de passe de tous les sevrices que vous utilisez … si tant est que vous puissiez le faire avant le voleur …

Le b-a-ba est alors de protéger sa session par mot de passe … ce qui est bien mais pas top, dans la mesure ou un système quel qu’il soit, dès qu’on peut y accéder physiquement – ce que l’heureux trouveur et /ou le vilain voleur sont a priori en mesure de faire – est tout à fait vulnérable. C’est à dire que toutes les données sur le disque de votre ordinateur sont accessibles simplement même si la session est protégée par mot de passe: il suffit d’accéder à ce disque à partir d’un autre système en le branchant directement à la carte mère ou via une coque USB. Ce qui est donc à la portée de n’importe qui!!

C’est là que le cryptage fait sens. En effet ce dernier permettra de rendre toutes vos données inaccessibles tant que le mot de passe qui permet de voir les données en claire n’a pas été saisi, et ce qu’on accède au disque d’une autre machine ou non.

Crypter quoi?

Je viens d’évoquer le cas de l’ordinateur portable qui est le cas typique d’utilisation nomade, mais les mêmes considérations s’appliquent aux suite d’applications portables (FramaKey, liberKey, portableapps) qui peuvent être utilisée sur clé ou disque dur USB.

Il faut donc considérer le cryptage des disques systèmes, aussi bien que le cryptage des disques ou parties de disques des périphériques de stockage externes.

Ca tombe bien TrueCrypt gère tout ces cas de figure

Comment crypter?

Sous windows il y a des solutions natives comme bitlocker, mais elles n’ont pas eu que des bons échos. Selon les constructeurs il y a aussi des possibilités plus « hard », des disques durs auto chiffrant par exemple (à noter qu’il existe la même chose pour les clés USB). Et puis sous linux il existe LVM (un autre tuto ici). Je n’ai pas vraiment creusé pour trouver quelque chose sous MAC, si vous avez des suggestions les commentaires sont ouverts …

La solution que propose TrueCrypt existe sur ces 3 OS. Outre le fait que vous pourrez suivre la même procédure pour chacune de vos machines quelque soit son OS, vous allez aussi pouvoir crypter vos disques durs portables et autres clés USB et les utiliser sur n’importe quel OS.

Crypter son disque système Windows est une opération relativement simple. Officiellement True Crypt ne permet pas de réaliser cette opération sous linux. Plus chagrinant le dual boot windows / linux sur un même disque n’est pas supporté et empêche du coup de crypter la partition windows.

J’utilise surtout TrueCrypt pour ma suite d’application portable LiberKey qui est pour moi de plus en plus cruciale. Voulant profiter au maximum du caractère portable de TrueCrypt j’ai choisi d’opter pour le fichier crypté plutôt que pour la partition cryptée, et je pense que cette option est la plus ergonomique pour les médias portables. En effet Si TrueCrypt est à installer au niveau de l’OS sous linux ou sous mac os, il existe une version portable pour windows! Il est donc possible de se déplacer avec TrueCrypt sur le disque contenant le fichier crypté et d’y accéder même sur une machine où TrueCrypt n’est pas installé … et où éventuellement on ne dispose pas des permissions suffisantes pour réaliser cette opération

L’idée est donc de créer un fichier crypté qui tient presque toute la place sur le disque (ici DataMaze)

et d’entreposer le nécessaire portable de TrueCrypt dans un répertoire à côté

Il ne reste ensuite plus qu’à batcher le montage (sur le lecteur Z dans notre cas) de la clé mount.bat

@echo off
TrueCrypt\TrueCrypt /v DataMaze /l Z /m rm /auto /q

et le démontage unmount.bat

TrueCrypt\TrueCrypt /d Z /q

L’un des inconvénients majeur de cette méthode est qu’il est possible d’effacer le fichier crypté sans avoir d’autorisation spéciale :’(

Les perfs

Le cryptage est long quoiqu’il arrive: compter 100Go à l’heure.

En revanche les performances système ne sont quasi pas altérées au niveau de l’utilisation des disques ou fichiers crypter. J’ai fait un petit test sur un disque de 500Go avec CrystalDiskMark

Avant

-----------------------------------------------------------------------
CrystalDiskMark 3.0.1 (C) 2007-2010 hiyohiyo
Crystal Dew World : http://crystalmark.info/
-----------------------------------------------------------------------
* MB/s = 1,000,000 byte/s [SATA/300 = 300,000,000 byte/s]

Sequential Read : 31.724 MB/s
Sequential Write : 26.235 MB/s
Random Read 512KB : 19.922 MB/s
Random Write 512KB : 25.046 MB/s
Random Read 4KB (QD=1) : 0.436 MB/s [ 106.5 IOPS]
Random Write 4KB (QD=1) : 0.602 MB/s [ 147.1 IOPS]
Random Read 4KB (QD=32) : 0.460 MB/s [ 112.4 IOPS]
Random Write 4KB (QD=32) : 0.620 MB/s [ 151.4 IOPS]

Test : 1000 MB [D: 0.1% (0.7/465.8 GB)] (x5)
Date : 2011/02/22 14:52:21
OS : Windows 7 [6.1 Build 7600] (x86)

Après

-----------------------------------------------------------------------
CrystalDiskMark 3.0.1 (C) 2007-2010 hiyohiyo
Crystal Dew World : http://crystalmark.info/
-----------------------------------------------------------------------
* MB/s = 1,000,000 byte/s [SATA/300 = 300,000,000 byte/s]

Sequential Read : 35.005 MB/s
Sequential Write : 26.591 MB/s
Random Read 512KB : 14.992 MB/s
Random Write 512KB : 21.508 MB/s
Random Read 4KB (QD=1) : 0.374 MB/s [ 91.3 IOPS]
Random Write 4KB (QD=1) : 0.626 MB/s [ 152.9 IOPS]
Random Read 4KB (QD=32) : 0.423 MB/s [ 103.4 IOPS]
Random Write 4KB (QD=32) : 0.662 MB/s [ 161.7 IOPS]

Test : 1000 MB [Z: 0.5% (2.4/463.9 GB)] (x5)
Date : 2011/02/23 15:40:31
OS : Windows 7 [6.1 Build 7600] (x86)

Mot de passe vs Keyfile

Il y a deux systèmes d’authentification: Le système par mot de passe classique et le système d’authentification par fichier. Le second implique que vous ayez toujours le fichier d’authentification sous la main (et tant qu’à faire pas sur le disque qui contient le conteneur crypté )). Les deux systèmes sont combinables.

Notez qu’il n’y a pas de système de récupération de mot de passe, ni de re-génération de fichier d’authentification …

Mot de passe oublié = données perdues. Ce qui est finalement assez rassurant, si on y réfléchit bien!

Le mode parano?

Il est possible de mettre en place un conteneur caché, pour prévenir le cas où on est forcé (ambiance couteau sous la gorge) de donner son mot de passe. Le principe est assez simple, on appelle ça le déni plausible: au lieu de créer une partition cryptée TrueCrypt en créera deux, l’une dans l’autre. L’une qui fera office de leurre, alors que l’autre contiendra effectivement les données confidentielles. L’idée est que même si le mot de passe de la partition leurre est révélé il ne permet d’accéder qu’à cette partition, et il est alors impossible de prouver qu’il existe une deuxième partition cryptée (celle qui contient les données confidentielles) dans la première.

le déni plausible peut être mis en oeuvre, pour un fichier crypté, une partition et même un système tout entier.

plusieurs réflexions tout de même :

vous perdez un peu de place
ca fait un deuxième mot de passe à retenir (et à bien mémoriser parce qu’il faudra le sortir naturellement au moment où on vous braque un kalashnikov sur la tempe)
si vous avez mis le déni plausible en place il y a un certain temps et que vous n’avez pas touché à la partition « fake » depuis, votre agresseur, s’il sait ce qu’il cherche et s’il sait regarder la date de dernière modification d’un fichier, aura vite fait de s’apercevoir que vous le prenez pour un lapin de 6 semaines …

Tout récemment Korben relayait le moyen de cacher un conteneur truecrypt dans des fichiers vidéo, ce qui me paraît beaucoup moins pratique à utiliser, mais beaucoup plus crédible en terme de camouflage

Conclusion

Si vous lisez ces lignes et que vous vous dites que vous n’avez rien à cacher et que chiffrer son disque ce n’est bon que pour Julian Assange, c’est que j’ai doublement perdu mon temps:

1 – il n’y a pas que les données confidentielles qui nécessitent un cryptage, mais tout flux de données vous concernant peut potentiellement être utilisé contre vous et / ou à votre insu. Ce qui implique que le cryptage de données devrait être une pratique tout à fait commune dans une société du tout numérique … il n’y a qu’à lire les mésaventures du dragueur trahi par sa clef USB pour s’en persuader

2 – C’est que vous pensez que crypter un système d’exploitation ou un périphérique externe de stockage est compliqué, ce qui est tout à fait faux, dans la mesure où TrueCrypt s’occupe de tout et qu’il existe de nombreuses ressources pour toute sorte de cas pratiques

Liens complémentaires

activer la couleur pour la commande symfony dans un bash cygwin portable

mazenovi — Fri, 18 Mar 2011 10:24:47 +0000

symfony en couleur

Les utilisateurs windows ont longtemps été privés des couleurs qu’affichent la sortie de la commande symfony. Mais depuis symfony 1.3/1.4 les choses se sont beaucoup améliorées.

C’est le jour où j’ai voulu tester les tests, que le besoin de couleur c’est vraiment fait ressentir: j’ai d’abord perdu pas mal de temps à essayer d’activer ansi.sys sur mon windows 7 …

sans succés!

La solution je l’ai trouvé chez Jonathan Nieto : Colorize your Windows console life with symfony (et aussi grâce à @couac) et elle s’appelle ANSICON il suffit donc de

télécharger le zip
dézipper
copier / coller les fichiers ansi.dll et ansicon.exe dans c:\windows \system32
taper ansicon -i dans un prompt de commande

N.B. vous devez rouvrir une autre fenêtre MS-DOS pour que la couleur soit

N.B2. si comme moi vous disposez d’un environnement de développement portable xampp ou UwAmp, cette manipulation est à faire sur chacun des postes que vous utilisez.

Ca marche aussi bien dans une bête commande MS-DOS que dans un cygwin, sans avoir à utiliser l’option –force de la commande symfony, du coup j’ai tenté

cygwin portable

J’avais déjà joué un peu à modifier le path au lancement de la console, lors de l’installation portable de Git afin de changer éventuellement d’intrerpréteur en ligne de commande PHP lors d’une même session par exemple. Mais ayant un bout de commande cwrsync par là, un bout d’install git par ailleurs, je me suis itéressé à cygwin et à son potentiel portable, afin de tout unifier.

J’ai en fait installé cygwin sur mon disque dur usb (dans z:\MyApps\cygwin), mais la démarche est la même en partant d’un cygwin portable (pas super à jour :/) comme l’explique ce post
J’ai ensuite créé un home dir dans z:\MyApps\cygwin\home\mazenovi qui me permet de rendre mes préférences (.ssh, .bashrc) portables elles aussi.
Enfin j’ai simplement modifié le batch de lancement Cygwin.bat en CygwinPortable.bat comme suit

@echo off

chdir \MyApps\Cygwin\bin
set path=%WD%\cygwin\bin;%WD%\cygwin\usr\X11R6\bin;\MyApps\xampp\php;\MyApps\xampp\mysql\bin;%path%
set SHELL=/bin/bash
set HOME=/home/mazenovi
set DISPLAY=:0
bash --login -i

L’idée est simplement d’enlever les lettres de lecteur pour avoir des path partant de la racine de la clé, et de rajouter quelques variables d’environnement (ici le path vers le php et le mysql de mon installation xampp portable). Une fois fait il suffit d’installer les commandes dont vous avez besoin (git et rsync dans mon cas) via cygwin en relançant le setup.exe (si vous êtes partis de la version portable de cycgwin n’oubliez pas de remplacer cygwinsetup.exe par un setup.exe à jour).

Pour finir j’ai ensuite créé un onglet dans console2 une petite console libre, permettant entre autre d’utiliser la font consolas et de gérer la transparence de votre ligne de commande

de quoi réconcilier les windoziens avec la ligne de commande :p

Sale Geek kro$oft!

Vous me traiterez sans doute de sale bricolo car j’utilise des installations Apache MySQL PHP windows (xampp ou UwAmp) à l’intèrieur d’un Cygwin qui est un pseudo Unix. Ce à quoi je répondrai, « c’est vrai! c’est un mélange des genres! », mais grâce à UwAmp par exemple, je peux utiliser des versions de PHP différentes simplement en ouvrant un nouvel onglet dans ma console …

Et puis j’ai déjà vu des système Unix like (à base de BSD par exemple) largement aussi fermé qu’un windows

Git portable & Console2 sous windows

mazenovi — Thu, 10 Feb 2011 18:18:43 +0000

Git est un système de gestion de versions qui s’est répandu dans le monde du développement comme une traînée de poudre il y a quelques temps; surtout depuis que plusieurs projets majeurs, dont Symfony 2 sont passés de svn à git.

Le propos de cet article est d’installer git de manière portable et intégrée à Console 2 qui est mon prompt de commande préféré, et de voir les quelques commandes de bases

Installation

msysgit propose une version portable de git. Une fois décompressée dans votre suite d’applications portables préférées, vous pouvez avoir accès à Git en ligne de commande en lançant git-cmd.bat ou mieux git-bash.cmd, qui vous donne accès à un bash UNIX minimal (c’est à dire limité à quelques commandes) dans votre windows

Il n’y a absolument rien de sorcier là dedans, mais notez tout de même que pour changer de répertoire vous ne devez utiliser que des / et non pas des \, et faire référence à la lettre du lecteur de disque comme suit

$ cd /c/Users/mazenovi/Desktop

C’est un peu comme du cygwin, mais visiblement ça n’en est pas!

Console2

Ce qui est sympa c’est d’intégrer l’environnement ligne de commande Git en tant qu’onglet de Console2.

Console2 est un prompt de commande souple, personnalisable (police, couleur, transparence, etc …) et complètement portable.

Vous pouvez ajouter des onglets prédéfinis dans « Edit » -> « Settings »

Vous devez spécifier le chemin vers le batch permettant d’accéder à git en ligne de comande (git-bash.bat).

Vous pouvez également spécifier un répertoire par défaut dans lequel sera positionné votre prompt.

Il suffit ensuite de bien penser à mettre des paths relatifs ou absolus, mais dans ce dernier cas sans spécifier la lettre du lecteur pour que la configuration reste elle aussi portable.

Ensuite le git-bash peut se lancer dans Console2 en ouvrant un nouvel onglet

Notez bien que nous n’avons pas touché aux variables d’environnement du système, et que pour autant la commande git est accessible de partout … le path système est en fait modifié directement par le script git-bash.bat

Test sur github

github est un site d’hébergement et de gestion de développement de logiciels utilisant git et choisi par beaucoup de projets open source.

Avec git-bash

générer et configurer une clé RSA

Dans un onglet git bash (que vous venez de créer) tapez

$ ssh-keygen -t rsa

Laissez tous les choix par défaut (appuyez deux fois sur entrée)

Vous obtenez deux fichiers (mazenovi est bien sûr à remplacer par votre nom d’utilisateur) :

/c/Users/mazenovi/.ssh/id_rsa

est votre clé privée, et elle est au bon endroit et

/c/Users/mazenovi/.ssh/id_rsa.pub

est votre clé publique que vous devez saisir dans la section Account settings -> SSH Public Keys.

Vous pouvez ensuite configurer votre nom & mail (à remplacer par les votre)

git config --global user.name "mazenovi"

git config --global user.email vmazenod@mail.com

de manière générale la conf de git est stockée dans

/c/Users/mazenovi/.gitconfig

Tout est alors prêt pour créer votre …

Premier repository

il vous faudra tout d’abord créer un nouveau dépôt (« ckMedia » dans mon cas) sur github

créer le dépôt sur votre machine local, qui n’est rien de plus qu’un répertoire géré par git, en tapant toujours dans l’onglet onglet git bash

mkdir ckMedia

cd ckMedia

le faire gérer par git

git init

le modifier (créer un simple fichier vide README par exemple)

touch README

ne plus faire gérer un fichier par git (les modifications apportées au fichier ne sont plus prises en compte par git)

git rm README

annuler les modifications (revenir à la denière verison)

git checkout

ajouter la modification au prochain commit (prochaine mise à jour du repostory sur github)

git add README

supprimer le fichier du prochain commit

git reset README

faire un commit (valider les changements sur le repository local)

git commit -m 'first commit'

N.B. le commentaire est obligatoire, si vous oubliez l’option -m l’éditeur de texte par défaut est lancé

Pour faire un commit sur tous les fichiers modifiés et gérés par git vous pouvez utiliser l’option -a. Les fichiers supprimés dans le projet seront supprimés (git rm) du dépôt

git commit -a -m 'update all my changes'

Pour faire afficher ce qui est à « commiter », c’est à dire ce qui a déjà fait l’objet d’un add, et ce qui a été simplement modifié, c’est à dire qui est géré mais n’a pas fait l’objet d’un add:

git status

on appelle cet état transitoire entre le moment où le fichier est modifié et le commit le stage

Les schéma suivant résume les commandes que nous venons de voir

ajouter un raccourcis vers l’URL du dépot github. On le nomme ici origin

git remote add origin git@github.com:mazenovi/ckMedia.git

répercuter les changements sur le dépot cible

git push origin master

pour lister tous les commit

git log

Pour la petite histoire

Le magazine PC World nous apprend que « quand on lui a demandé pourquoi il avait appelé son logiciel « git », qui est à peu près l’équivalent de « connard » en argot anglais, Linus Torvalds a répondu « je ne suis qu’un égocentrique, donc j’appelle tous mes projets d’après ma propre personne. D’abord Linux, puis Git. »

source : http://fr.wikipedia.org/wiki/Git

compélément

pour plus de détails http://gitref.org/
pour me trouver sur git http://github.com/mazenovi
Git staging area http://www.gitready.com/beginner/2009/01/18/the-staging-area.html
un petit guide en français: http://www.unixgarden.com/index.php/administration-systeme/git-it
une documentation un peu plus exhaustive en français : http://www.alexgirard.com/git-book/
un tuto en anglais: http://gitimmersion.com

Linux Live USB (portable) virtualisé sans limitation de persistance avec partition casper

mazenovi — Thu, 28 Oct 2010 16:24:08 +0000

Petit rappel

Un Ubuntu portable c’est forcément un dérivé d’un Ubuntu live. Et un Ubuntu live c’est un système d’exploitation (de type GNU/Linux, distributionUbuntu) assez générique pour fonctionner sans soucis sur la plupart des machines, sans avoir à l’installer. En gros on boote sur le CD ROM et un Ubuntu se lance, prêt à l’utilisation (avec quelques restrictions majeures mais nous verrons cela plus tard), et surtout prêt à l’installation de GNU/Linux sur la machine hôte. Le support royal était historiquement le CD ROM, on parlait alors de live CD et maintenant que les clés USB font des tailles raisonnables et que la plupart des cartes mères sont capables de booter à partir d’un périphérique USB, on peut avantageusement remplacer le support optique par le périphérique de stockage USB … J’ai l’impression de parler comme une notification système des fois o_0′.

L’Ubuntu live c’est l’ultime fantasme du barbu libriste … Dans ses rêves les plus fous il réparerait le PC de sa voisine (blonde, à forte poitrine, en nuisette rose) infesté de virus, gavé d’erreur de base de registre, qui met 3 plombes à démarrer et crachote message d’erreur sur message d’erreur. Là le barbu arriverait, le sourire en coin, vêtu de son T-Shirt noir « scan my network and die » acheté sur http://thinkgeek.com et d’un geste assuré il rebooterait la machine malade, que sa propriétaire croit morte, avec une clé USB minuscule. Ubuntu se lancerait, le bureau s’afficherait et en quelques secondes la néophyte se repèrerait instantanément: « oh c’est comme dans windows! Y a firefox aussi. Et je peux relever mes mails? Je peux faire du MSN? je peux skyper? Je peux regarder des films? Ecouter deezer? Et Word? Et PowerPoint? … ». Et là le barbu la larme à l’oeil lui répondrait que oui elle pourra le faire. Finalement le barbu cliquerait sur l’icône installer unbuntu 10.10, un PC de plus de serait libéré, il irait se coucher le coeur léger avec le sentiment d’avoir participer à l’avènement du libre, cette longue mission d’évangélisation qui lui tient tant à coeur

casper le gentil fantôme

Bref Sans rentrer dans les détails (que j’ignore d’ailleurs), un Ubuntu live sur clé USB se confectionne uniquement sur une partition formater en FAT32. Un Ubuntu Live présente également un inconvénient majeur, en cela qu’il n’a pas de mémoire: tout ce que vous ferez comme personnalisations, installations de programmes ou mises à jour seront perdues à chaque redémarrage.

Comme le barbu est joueur il s’est dit que tant qu’à être sur un support supportant la ré-écriture (la clé USB si vous suivez) ça pourrait être sympa d’avoir un live « personnalisable », comme ça on pourrait faire un peu de facebook d’identica avec Gwibber ou relever ces mails avec thunderbird, sans avoir à tout renconfigurer à chaque fois …

Alors il a rajouté un petit fichier nommé casper-rw à côté des fichiers d’Ubuntu et a dit à l’Ubuntu live d’écrire tout ce qui était de l’ordre de la personnalisation ou de la vie du système (les mises à jour etc …) dans casper-rw. Ca commence à devenir vraiment intéressant car on peut songer à une nouvelle vie, portable, libre, sous GNU/Linux … hélas il reste encore un inconvénient majeur : le système de fichier Fat32 ne sait gérer que des fichiers dont la taille est inférieure à 4Gb. On ne pourra donc pas avoir plus de 4Gb de données de personnalisation /-) Autrement dit un petit « aptitude safe-upgrade » et vous avez rempli casper!

Et bien j’ai découvert une colossale ruse qui permet de contourner cette limitation sur pendrive

En fait il s’agit simplement de créer une partition ayant pour file system ext2 ou ext3 et pour label casper-rw. Et là vous lui donnez la taille que vous voulez, vous pourrez ainsi installer toutes les applications dont vous avez besoins!

Deux limitations au moins toutefois

Pas de mise à jour du Kernel Linux
Pas de gestion des utilisateurs (même pas possible de mettre un mot de passe à l’utilisateur live)

Pour ma part j’ai opté pour une partition de 30 Go sur un DD USB de 500Go. Il me reste plus de 450Go pour une suite d’appli portable du genre de la LiberKey ou FramaKey et mes données perso, je vous livre ma méthode à partir de windows 7 pour que vous puissiez le faire tout seul et que vous aussi vous finissiez enfin par choper votre voisine. En gros, pour ne pas avoir à graver un CD Live pour faire l’opération (comme c’est suggéré dans le tuto pendrive)

This text will be replaced

créer un partition de 6Go FAT 32 avec diskmgmt.msc sous windows
télécharger LiliUSB creator
télécharger la dernière version d’Ubuntu
installer et lancer LiliUSB creator
LiliUSB creator Etape1 : Sélectionner la partition que vous venez de créer
LiliUSB creator Etape2 : Sélectionner l’image iso d’Ubuntu que vous venez de télécharger
LiliUSB creator Etape3 : régler la persistance à fond
LiliUSB creator Etape4 :
- décochez « Cacher les fichiers sur la clé »
- cochez « Formater la clé en FAT32″
- cochez « Permettre de lancer LinuxLive directement sous windows (nécessite Internet) » pour avoir VirtualBox
lancez VirtualBox.exe dans le dossier VirtualBox qui se trouve sur la partition où l’Ubuntu live a été installé
augmentez un peu la RAM
lancez la machine virtuelle
une fois sous Ubuntu
- lancez Gparted
- créez un partition ext2 ou ext3 de la taille que vous souhaitez en lui donnant pour nom casper-rw
- appliquez les modifications
éteignez la machine virtuelle
renommez le fichier casper-rw sur la partition où l’ubuntu Live a été installé en casper-rw.old par exemple

relancer la machine virtuelle avec Virtualize_This_Key.exe dans le dossier Virtual Box
optionnel (mais bien pratique): installez les guest additions

This text will be replaced

Les screencasts ont été réalisés avec des logiciels libres et le montage avec virutalDub (libre lui aussi). Ils sont hébergés sur mon serveur donc soyez patients ou téléchargez directement les flv 1 et 2 pour les regarder offline.

Vous connaissiez dejà?

Ah ouai? depuis quand? je viens de découvrir ça dans la FAQ de Lili USB … alors soit c’est récent, soit j’étais passé à côté … Mais dans tous les cas c’est un outil supplémentair pour faire essayer Ubuntu au plus grand nombre sans toucher à leur machine dans un premier temps. Une fois convaincu y a plus qu’à cliquer pour libérer leur PC!!! #VLOM

Utiliser FireFox et Thunderbird portables comme programme par défaut sous Vista

mazenovi — Mon, 19 Oct 2009 08:30:43 +0000

Si comme moi vous avez opté pour la Framakey Unbuntu Remix, vous devez vous être confronté à ce problème … en effet quand vous cliquez sur un lien dans le corps d’un mail à partir de ThunderBird, c’est le navigateur « système » par défaut qui est invoqué (éventuellement FireFox mais pas la version portable). Voici la marche suivre pour utiliser la version portable de FireFox en navigateur par défaut:

Dans la suite je considère que vous disposez d’une clé USB avec la Framakey Unbuntu Remix installée, et que vous voyez cette clé dans votre poste de travail sur le lecteur z:\

source: Register Firefox Portable with Default Programs in Windows Vista

télécharger registerfp.zip
extraire l’archive dans z:\Apps\registerfp
double cliquez sur z:\Apps\registerfp\RegisterFirefoxPortable.exe (vous pouvez également le rendre accessible via le FramaLauncher)
cliquer sur le bouton sélectionner le bouton de parcours de votre ordianteur « .. » et sélectionnez la version portable de FireFox à utiliser comme navigateur par défaut

cliquez sur « Register »
Il reste à enregistrer FireFox portable dans les programmes par défaut de Vista
allez dans le « Panneau de confiuration » et cliquez sur « Programmes par défaut »
cliquez ensuite sur « choisissez vos programmes par défaut »
puis sélectionnez « ozilla Firefox, Portable Edition » et cliquer sur « définir ce programme comme programme par défaut »

Même problème pour votre client mail, quand vous cliquez sur un lien courriel à partir de votre navigateur. Voici la solution

source : Make Portable Thunderbird You Default Mail Client | ArdorPES | Rhys Evans Blog

Il suffit de

télécharger ce fichier
l’éditer avec un éditeur de texte (le bloc note fera l’affaire)
adapter le chemin, de thunderbird
double cliquer dessus pour que les clés de registre soient mis à jour

N.B. si la lettre du lecteur associée à votre clé USB change, vous devrez exécuter à nouveau ces procédures

Maintenant une dernière petite considération … le FireFox livré avec la framakey va se (re)lancer à chaque clic sur un lien à partir de Thunderbird ce qui va engendrer le message suivant

Pour palier à cela vous pouvez avantageusement remplacer la version portable de FireFox livrée avec la Framakey Ubuntu Remix par celle proposée par portableapps

Entre ce petit tips, CAFE, et la customisation de l’entrée « envoyer vers » du clic droit (C:\Users\mazenovi\AppData\Roaming\Microsoft\Windows\SendTo) il y a de quoi se retouver comme à la maison sur n’importe quel PC windows …

Framakey Ubuntu Remix: 100% portable 100% libre et multiplateforme aussi un peu

mazenovi — Sun, 11 Oct 2009 17:17:49 +0000

Les applications portables ont pas mal d’avantages

Il n’y a pas à les installer: elles sont sur votre clé USB et fonctionnent à partir de cet emplacement
Les données sensibles sont stockées plutôt sur la clé qui les contient, que sur le disque dur de la machine qui les exécute
Il est possible de garder ses préférences d’un PC à l’autre

Ajoutez à cela un launcher d’application (programme qui remplit la même tâche que « démarrer » -> « tous les programmes » sous windows, mais pour les programmes portables de votre clé USB) et vous avez un moyen simple et convivial de balader toutes vos applis préférées avec vous …

Jusque là la suite d’application PortableApps me rendait ce service à merveille.

Seulement voilà, j’ai découvert (un peu tard je le concède, mais on a pas idée de sortir des projets intéressants le 17 juillet) la Framakey ubuntu remix, qui en plus d’un launcher (le FramaLauncher) et d’une suite d’applications portables, intègre également de quoi gérer les associations de fichiers avec les applis portables (avec CAFE), un ubuntu portable, virtualisable et persistent (on peut installer des applis et elles restent! Pas comme dans un live CD), des applis portables pour MAC OS X, et des profils partagés entres les 3 plateformes pour FireFox et thunderbird!

site officiel : http://framakey.org/Pack/Framakey-Ubuntu

Tous les logiciels cités par la suite – y compris le projet FramaKey – sont libres.

pré-requis

Une clé USB 4Go minimum (on dira que vous la voyez sous la lettre z: tout au long de ce post) , rapide si possible, un éditeur de texte et 1/2 heure devant vous

installation

si vous commencez déjà à retrousser vos manches et que vous êtes du genre pressé, vous devriez commencer par lire ceci
votre clé doit être formatée avec le système de fichier FAT
- clic droit sur le lecteur correspondant à votre clé dans le « poste de travail » ou « ordinateur » pour vista / seven
- puis sélectionner FAT32 dans système de fichiers
il faut commencer par télécharger l’archive (onglet téléchargement) soit via torrent, soit avec votre navigateur préféré
dézipper l’archive
copier le contenu du répertoire obtenu sur le périphérique amovible (ça peut prendre un peu de temps).
N.B. j’ai été obligé de désactiver Mc Afee (mon antivirus) pendant cette opération

Maintenant vous devez avoir, entre autre, à la racinde de votre clé, une icône de cyber-crapaud mauve (cf image ci dessus) avec pour nom z:\start.exe.

première utilisation

Ce cyber crapaud s’appelle en fait framanouille et c’est sur lui qu’il faut cliquer pour lancer la framakey sous windows.

En réalité trois applications vont être lancées

le framakiosk

je le boycotte, je ne vois pas l’intérêt! le FramaLauncher me suffit!

j’ai donc modifié z:\start.ini comme suit

[SplashScreen]
DisableSplashScreen=false
SplashScreenDir=Framakey\splash.jpg

[ConfigurationFile]
path=L:\Start.ini

[Starter]
ExecuteProg1=FramaLauncher.exe
LaunchIt1=true
WorkDir1=Framakey\FramaLauncher
Parameter1=
AskForIt1=false
MessageToShow1=

ExecuteProg2=cafe.exe
LaunchIt2=true
;ExecuteProgToStop2=cafe.exe
WorkDir2=Apps\PortableFramakeyApps
Parameter2=
AskForIt2=false
MessageToShow2=

CAFE

est assez intéressant car il permet de gérer de manière dynamique les associations de fichiers. Autrement dit avec CAFE il est possible d’associer simplement (via un raccourci clavier win + clic) une extension à un programme de sa FramaKey, ou à un programme du système hôte.

Si c’est pas du bonheur ça!

FramaLauncher

C’est ce qui m’intéresse le plus dans la framaKey. Hélas il y a quelques petit bugs dans le path de quelques applications.
je vous conseille de commencer par effectuer un rechercher /remplacer dans Z:\framakey\framalauncher\FramaLauncher.ini

%AeTrayMenuPath%\..\..\..\..\framakey_work\1900\Apps

%Apps%

sans quoi quelques applications ne se lanceront pas.

Vérifiez de manière systématique que le path soit cohérent pour toute application qui refusent de se lancer et relancer le FramaLauncher … J’ai refait l’installe plusieurs fois, et j’ai des bugs sur des paths différents à chaque fois. C’est vraiment dommage parce qu’une fois les path corrigés le FramaLauncher est très robuste.

FLTune

Vous pouvez aussi changer les path un par un avec FLtune.

FLtune permet en fait de personnaliser le framaLauncher à volonté … insérer une applicaiton (comme c’est expliqué ci-dessous), mais aussi intégrer des raccourcis, lancer plusieurs programmes en un clic, faire passer des paramètres aux programmes. Tout cela se fait de manière intuitive et permet de se designer un launcher adapté à vos besoins en quelques clics. C’est à mon sens un des points forts du projet Framakey ubuntu remix … même le geek menu de la suite portableapps n’apporte pas le dixième des possibilités qu’offre le FramaLauncher!

Un tuto animé offert par Mouss le créateur de FLTune

Installer une nouvelle application sur sa FramaKey

applications framakey

Bien qu’une suite complète d’applications soit déjà installée, vous pouvez encore l’étoffer en consultant la liste des applications portables prêtes pour la framakey.

Imaginons que vous vouliez ajouter Juice

Vous devez télécharger et dézipper l’archive.
Vous devriez obtenir un dossier PortableJuice que vous n’avez qu’à déplacer dans Z:\Apps.
Il faut ensuite rendre Juice accessible via le FramaLauncher ce qui se fait en avec FLtune
« complément > FLtune »

Dans la rubrique « Sous Menu », sélectionnez la rubrique dans la quelle vous voulez ajouter Juice

Dans la rubrique « Ajout » cliquez sur l’engrenage pour « Ajouter un programme »

Dans la rubrique « Propriétés » renseignez le champs exécutable

Cliquez sur le bouton « parcourir » et aller chercher l’exécutable Z:\Apps\PortableJuice\PortableJuice.exe

A la question « Ajouter l’icon de l’application? » répondez « oui » ( histoire d’avoir le citron dans votre menu)
A la question « Choisir le premier pixel comme couleur de transparence? » répondez « oui »
Le nom et l’icône de l’appli devraient s’être initialisés tout seul!
Dans « Action » cliquez sur la disquette pour « Sauvegarder votre menu »

Logiquement le FramaLauncher se relance tout seul et vous devez trouver une entrée Juice dans la rubrique que vous avez sélectionné

N.B. FLtunes vous sauvegarde automatiquement votre dernière config dans Z:\framakey\framalauncher\FramaLauncher.ini.bak Ce qui peut toujours servir!

Notez que si vous êtes un peu plus bricolo, vous pouvez vous passer de FLtune et modifier directement le fichier Z:\framakey\framalauncher\FramaLauncher.ini

applications portables non framakey

Bien qu’il existe beaucoup de logiciels en version portable déjà prêt pour la framakey, vous pouvez vouloir en installer d’autres …

Vous trouverez notamment de nombreuses versions portables de logiciel OpenSource ou simplement gratuits sur

N.B. La framaKey est un projet Open Source et ne propose que des logiciels OpenSource!

FramaKey donne LA solution propre pour vérifier la portabilité, la discrétion d’une application et lui faire un beau launcher FramaKey.

Personnellement j’ai adopté une solution un peu plus brutale qui consiste à considérer qu’une application portable est portable et qu’elle n’a pas besoin de splash Screen.

J’ajoute donc le dossier de l’appilcation dans le répertoire z:\Apps et je lui créée une entrée dans la FramaKey avec FLtunes en suivant la procédure décrite dans la section ajout d’une application framakey.

applications non portables

Si vous voulez portabiliser une application il vous faudra choisir l’un des outils suivants (classés par ordre de simplicité décroissante):

ou suivre l’un des tutoriels suivantss

Une fois portabilisée vous pouvez vous référer à la partie applications portable non framaKey pour l’ajouter au FramaLauncher

Rendre sa clé USB bootable

Pour espérer faire fonctionner d’une manière ou d’une autre la partie ubuntu il faudra rendre votre clé bootable

soit en exécutant le fichier z:\syslinux\win32\makeboot.bat présent sur votre clé
soit, pour Vista notamment, en utilisant Framaboot

Dans les deux cas il faudra prendre garde de bien exécuter la commande à partir de la clé USB et non à partir du disque système de votre machine, sans quoi vous risquez de ne plus redémarrer votre système principal

Dans mon cas Framaboot à bien rendu ma clé USB bootable, en revanche il est incapable de recréer la partition casper-rw, attendu qu’il cherche z:\syslinux\win32\dd\mkfs.ext2.exe alors que seul z:\syslinux\win3\dd\mkfs.ext3.exe est présent (visiblement renommer l’exécutable semble marcher, comme suggérer ici).

Mise en place de la virtualisation d’Ubuntu

cliquez sur z:\VirtualBox-installation.exe à la racine de la clé qui téléchargera et installera virtualBox portable

Dans le dossier z:\VirtualBox créé à la racine de la clé par l’installation de VirtualBox portable, vous avez deux exécutables z:\Virtualbox.exe et z:\Virtualize_This_Key.exe

commencez par lancer z:\Virtualbox.exe afin de donner un petit peu d’air à votre machine virtuelle:

Sélectionnez la machine virtuelle qui a été créée automatiquement nommée « MyLiveUSB »
cliquez ensuite sur le bouton « settings »

voici mes paramètres

N.B. avec la conifguration de base ma machine virtuelle n’affichait ni le fond d’écran (un truc tout vert) ni les menus ubuntu, par manque de ressources.

pour lancer directement votre machine virtuelle vous pouvez cliquer sur z:\Virtualize_This_Key.exe

En fait la virtualisation n’est pas très intéressante dans la mesure où c’est une session Live qui est ouverte. Pour modifier les profils partagés : il vous faudra Booter sous Linux

Boot sur le Ubuntu portable

Si votre Ubuntu démarre virtuellement c’est que vous pouvez booter dessus au démarrage de votre PC. Le seul pré-requis est d’avoir une carte mère capable de booter à partir d’un port USB. Vous en saurez plus en ouvrant le BIOS de votre machine …

Les profils partagés

Eh ben ça marche! je n’ai pas testé sur Mac OS X, mais les profils

FireFox (extensions, cookie, historique, onglets ouverts)
ThunderBird (extensions, comptes configurés, archive de courrier)

sont automatiquement partagés entre les applications portables sous windows et les applications installées sur ubuntu.

C’est une des fonctionnalités les plus sexy de la Framakey ubuntu remix. Il n’y a d’ailleurs rien de sorcier là dedans, comme expliqué ici.

Simplement il faut avoir les mêmes versions pour tous les systèmes hors dans le cas de firefox 3, il y a un problème avec Ubuntu comme expliqué ici.

Vos réactions et suggestions sur le sujet sont bien évidemment les bienvenues dans les commentaires

Et si je perds ma clé

Ben c’est pô grave, celui qui la trouve pourra juste envoyer des mails à votre place, tchater à votre place et éventuellement se connecter sur tous vos comptes avec tous les login et mots de passe qui sont enregistrés dans FireFox!

Sérieusement si vous vous servez de la FramaKey, mieux vaut la sécuriser avec TrueCrypt. En revanche je ne vois pas de solution pour conserver la fonctionnalité du Linux bootable une fois la clé encryptée (hormis en partitionnant la clé, mais à ce moment là ce sont les profils partagés que l’on perd). Les commentaires sont ouverts si vous avez des suggestions …

Conclusion

C’est un beau cadeau que nous fait l’équipe de Framasoft, si vous avez souvent les mains dans le cambouis, et que vous voulez être tout terrain, vous allez trouvé plein d’utilisations à ce beau projet.

J’ai personnellement investi dans une clé corsaire 16Go afin d’avoir des taux de transfert optimaux et un peu de place pour ubuntu

conversion du format UNIX en format DOS

mazenovi — Wed, 22 Apr 2009 17:56:47 +0000

Sous DOS, chaque ligne de texte se termine par CR/LF (ASCII 13 + ASCII 10) ou encore \r\n,
sous Linux, c’est LF ou encore \n.
Donc, si on regarde un fichier DOS sous Linux, chaque ligne se termine par « ^M ».
Inversement, si on regarde un fichier Linux sous DOS il n’y aura pas de retour à la ligne, et toutes les lignes seront mises bout à bout

La plupart des éditeurs de texte « avancés » (PSPad, UltraEdit) feront la conversion simplement pour un fichier, en revanche quand il s’agit de convertir une arborescence de répertoires ça se complique.
Voici donc une ligne commande qui permet de réaliser une conversion des fins de lignes DOS en fins de lignes unix pour tous les fichiers textes d’un répertoire

find . -type f -exec dos2unix {} \;

Mais encore faut il disposer d’un UNIX pour lancer cette ligne de commande!

Si vous êtes sous window je vous conseille d’installer cygwin qui vous permettra d’avoir un shell UNIX sous windows.
la commande unix2dos fait partie du package cygutils (ne la chercher pas comme package indépendant).
Maintenant pour convertir un projet web stocké dans c:\wamp\www\projet au format UNIX, il suffit de taper dans un prompt de commande cygwin

find /cygdrive/c/wamp/www/projet -type f -exec dos2unix {} \;

C’est pas le billet du siècle, mais ça peut toujours servir!

kit de survie SVN

mazenovi — Wed, 31 Oct 2007 14:01:48 +0000

voici deux références bien utiles pour l’utilisation quotidienne de svn:

sauvegarde cryptée de serveur à serveur

mazenovi — Mon, 08 Oct 2007 20:31:33 +0000

J’ai un serveur pro (renater réseau de la recherche) et un serveur perso (dedibox groupe illiade).
Tous les deux tournent sur FreeBSD.
Je souhaite effectuer une synchro de mes sites web à j -1 d’un serveur à l’autre.
Vu les débits de chaque serveur ça doit pouvoir se passer dans la nuit.
L’idée c’est de faire ça bien mais quand même un peu à la sauvage donc j’utiliserai rsync plutôt que rsnapshot.
je vais effectuer le rsync via ssh ce qui me permettra de crypter la copie.
Au préalable il faut bien sûr avoir installé openSSH et rsync.

La suite est une traduction très libre de http://troy.jdmz.net/rsync/index.html, je la poserai sur onfamp plus tard, elle est intéressante parce que sécuritaire

Préparation de thishost

D’abord vérifier que rsync est installé et qu’il fonctionne via ssh. Je préfère m’assurer que ça fonctionne avant d’automatiser, donc je teste cette commande avec les droits de thisuser

$ rsync -avz -e ssh remoteuser@remotehost:/remote/dir /this/dir/

je tape le mot de passe au prompt et mes deux dossiers ont le même contenu. thisuser doit évidemment avoir les droits corrects sur les deux répertoires.
il faut maintenant générer une paire clé publique / clé privée avec un mot de passe vide pour pouvoir se loguer en ssh sans mot de passe. Ca paraît un peu dangereux, mais c’est quand même mieux que de stocker son mot de passe en claire dans le script. Et puis je peux limiter un peu le champs d’action de cette clé. Bref je génère cette clé que j’utiliserai sur thishost (en tant que thisuser) :

$ ssh-keygen -t dsa -b 2048 -f /home/thisuser/cron/thishost-rsync-key
Generating public/private dsa key pair.
Enter passphrase (empty for no passphrase): [press enter here]
Enter same passphrase again: [press enter here]
Your identification has been saved in /home/thisuser/cron/thishost-rsync-key.
Your public key has been saved in /home/thisuser/cron/thishost-rsync-key.pub.
The key fingerprint is:
2e:28:d9:ec:85:21:e7:ff:73:df:2e:07:78:f0:d0:a0 thisuser@thishost

On a maintenant une clé avec aucun mot de passe répartie en deux fichiers. Assurez vous qu’aucun utilisateur non autorisé ne puisse lire le fichier de la clé privée (celui qui n’a pas l’extension .pub)

Cette clé ne sert à rien tant qu’on n’a pas mis sa partie publique dans le fichier ‘authorized_keys’ du remotehost, et en partculier celui de thisuser

/usr/home/remoteuser/.ssh/authorized_keys

J’utilise scp (secure copy) pour copier le fichier sur remotehost

$ scp /usr/home/thisuser/cron/thishost-rsync-key.pub remoteuser@remotehost:/usr/home/remoteuser/

Et maintenant je peux préparer remotehost

Configurer remotehost

Je me connecte en ssh sur remotehost.

$ssh remoteuser@remotehost
remoteuser@remotehost's password: [type correct password here]

Je dois m’assurer que j’ai bien les bons répertoires et les bons fichiers pour l’autoristation

$ if [ ! -d .ssh ]; then mkdir .ssh ; chmod 700 .ssh ; fi
$ mv thishost-rsync-key.pub .ssh/
$ cd .ssh/
$ if [ ! -f authorized_keys ]; then touch authorized_keys ; chmod 600 authorized_keys ; fi
$ cat thishost-rsync-key.pub >> authorized_keys

Maintenant on peut utiliser la clé pour se connecter à ce serveur, mais les connexions peuvent se faire à partir de n’importe où (ce que le démon ssh de remotehost autorise comme connexion) et peuvent tout faire (ce que remoteuser peut faire), et ça ça ne me plaît pas. J’édite le ‘authorized_keys’ et je modifie la ligne avec les informations de ‘thishost-rsync-key.pub’. Je ne vais changer que peu de chose au début de ce qu’il y a déjà, modifier les lignes comme suit:

ssh-dss AAAAB3NzaC1kc3MAAAEBAKYJenaYvMG3nHwWxKwlWLjHb77CT2hXwmC8Ap+fG8wjlaY/9t4u
A+2qx9JNorgdrWKhHSKHokFFlWRj+qk3q+lGHS+hsXuvta44W0yD0y0sW62wrEVegz+JVmntxeYc0nDz
5tVGfZe6ydlgomzj1bhfdpYe+BAwop8L+EMqKLS4iSacNjoPlHsmqHMnbibn3tBqJEq2QJjEPaiYj1iP
5IaCuYBhuTKQGa+oyH3mXEif5CKdsIKBj46B0tCy0/GC7oWcUN92QdLrUyTeRJZsTWsxKpRbMliD2pBh
4oyX/aXEf8+HZBrO5vQjDBCfTFQA+35Xrd3eTVEjkGkncI0SAeUAAAAVAMZSASmQ9Pi38mdm6oiVXD55
Kk2rAAABAE/bA402VuCsOLg9YS0NKxugT+o4UuIjyl6b2/cMmBVWO39lWAjcsKK/zEdJbrOdt/sKsxIK
1/ZIvtl92DLlMhci5c4tBjCODey4yjLhApjWgvX9D5OPp89qhah4zu509uNX7uH58Zw/+m6ZOLHN28mV
5KLUl7FTL2KZ583KrcWkUA0Id4ptUa9CAkcqn/gWkHMptgVwaZKlqZ+QtEa0V2IwUDWS097p3SlLvozw
46+ucWxwTJttCHLzUmNN7w1cIv0w/OHh5IGh+wWjV9pbO0VT3/r2jxkzqksKOYAb5CYzSNRyEwp+NIKr
Y+aJz7myu4Unn9de4cYsuXoAB6FQ5I8AAAEBAJSmDndXJCm7G66qdu3ElsLT0Jlz/es9F27r+xrg5pZ5
GjfBCRvHNo2DF4YW9MKdUQiv+ILMY8OISduTeu32nyA7dwx7z5M8b+DtasRAa1U03EfpvRQps6ovu79m
bt1OE8LS9ql8trx8qyIpYmJxmzIdBQ+kzkY+9ZlaXsaU0Ssuda7xPrX4405CbnKcpvM6q6okMP86Ejjn
75Cfzhv65hJkCjbiF7FZxosCRIuYbhEEKu2Z9Dgh+ZbsZ+9FETZVzKBs4fySA6dIw6zmGINd+KY6umMW
yJNej2Sia70fu3XLHj2yBgN5cy8arlZ80q1Mcy763RjYGkR/FkLJ611HWIA= thisuser@thishost

from="10.1.1.1",command="/home/remoteuser/cron/validate-rsync" ssh-dss AAAAB3Nza
C1kc3MAAAEBAKYJenaYvMG3nHwWxKwlWLjHb77CT2hXwmC8Ap+fG8wjlaY/9t4uA+2qx9JNorgdrWKhH
SKHokFFlWRj+qk3q+lGHS+hsXuvta44W0yD0y0sW62wrEVegz+JVmntxeYc0nDz5tVGfZe6ydlgomzj1
bhfdpYe+BAwop8L+EMqKLS4iSacNjoPlHsmqHMnbibn3tBqJEq2QJjEPaiYj1iP5IaCuYBhuTKQGa+oy
H3mXEif5CKdsIKBj46B0tCy0/GC7oWcUN92QdLrUyTeRJZsTWsxKpRbMliD2pBh4oyX/aXEf8+HZBrO5
vQjDBCfTFQA+35Xrd3eTVEjkGkncI0SAeUAAAAVAMZSASmQ9Pi38mdm6oiVXD55Kk2rAAABAE/bA402V
uCsOLg9YS0NKxugT+o4UuIjyl6b2/cMmBVWO39lWAjcsKK/zEdJbrOdt/sKsxIK1/ZIvtl92DLlMhci5
c4tBjCODey4yjLhApjWgvX9D5OPp89qhah4zu509uNX7uH58Zw/+m6ZOLHN28mV5KLUl7FTL2KZ583Kr
cWkUA0Id4ptUa9CAkcqn/gWkHMptgVwaZKlqZ+QtEa0V2IwUDWS097p3SlLvozw46+ucWxwTJttCHLzU
mNN7w1cIv0w/OHh5IGh+wWjV9pbO0VT3/r2jxkzqksKOYAb5CYzSNRyEwp+NIKrY+aJz7myu4Unn9de4
cYsuXoAB6FQ5I8AAAEBAJSmDndXJCm7G66qdu3ElsLT0Jlz/es9F27r+xrg5pZ5GjfBCRvHNo2DF4YW9
MKdUQiv+ILMY8OISduTeu32nyA7dwx7z5M8b+DtasRAa1U03EfpvRQps6ovu79mbt1OE8LS9ql8trx8q
yIpYmJxmzIdBQ+kzkY+9ZlaXsaU0Ssuda7xPrX4405CbnKcpvM6q6okMP86Ejjn75Cfzhv65hJkCjbiF
7FZxosCRIuYbhEEKu2Z9Dgh+ZbsZ+9FETZVzKBs4fySA6dIw6zmGINd+KY6umMWyJNej2Sia70fu3XLH
j2yBgN5cy8arlZ80q1Mcy763RjYGkR/FkLJ611HWIA= thisuser@thishost

Où « 10.1.1.1″ est l’IP de thishost, et « /home/remoteuser/cron/validate-rsync » est le script qui ressemble à quelque chose du genre

#!/bin/sh

case "$SSH_ORIGINAL_COMMAND" in
*\&*)
echo "Rejected"
;;
*\(*)
echo "Rejected"
;;
*\{*)
echo "Rejected"
;;
*\;*)
echo "Rejected"
;;
*\<*)
echo "Rejected"
;;
*\`*)
echo "Rejected"
;;
rsync\ --server*)
$SSH_ORIGINAL_COMMAND
;;
*)
echo "Rejected"
;;
esac

si thishost a une adresse variable, enlever le 10.1.1.1, la partie de la ligne (incluant la virgule), mais laisser la partie ‘commande’. Comme ça seule la commande rsync sera accessible avec cette clé. Assurez vous que ‘validate-rsync’ est exécutable par remoteuser sur remotehost et tester le.

NB : La clé privée, est maintenant limitée dans ce qu’elle peut faire (et aussi d’où elle peut le faire), elle autorise son possesseur à copier n’importe quel fichier de remote hostauquel remotuser accès. Ceci est dangereux et je devrais prendre toutes les précautions que j’estime nécessaire pour maintenir la sécurité du système et le secret de cette clé.
Une possibilité serait d’assigner des permissions correctes à ce fichier, une autre d’envisager l’utilisation d’un « key caching daemon », et enfin me demander si j’ai vraiment besoin de ce script par rapport au risque encouru.

NB2: Un autre détail de sécurité est la configuration du démon ssh sur remote host. Cet exemple se base sur un ustilisateur qui n’est pas root. Je recommande de ne pas utiliser root comme utilisateur distant pour accéder à tous les fichiers de remotehost. Cette permissions est dangeruese à elle seule, et les risques encourus sur les erreurs ou les mauvaises configuration, plus gros qu’avec un utilisateur normal.
Si vous n’utilisez pas du tout root comme utilisateur distant, et que vous voulez encore sécurisé remotehost, je recommande :

PermitRootLogin forced-commands-only

PermitRootLogin forced-commands-only

dans le fichier ‘/etc/ssh/sshd_config’ de remotehost. Ceux sont des paramètres globaux, pas juste liés à cette connexion, donc vérifiez bien que vous n’avez pas besoin de fonctionnalités que cette configuration interdit.

les entrées ‘AllowUsers’, ‘AllowGroups’, ‘DenyUsers’, et ‘DenyGroups’ peuvent être utilisées pour restreindre l’accès SSH par utilisateur ou par groupe. Elles sont documentées dans le man de « sshd_config », mais je dirais juste qu’elles utilisent ‘*’ et ‘?’ comme caractères jokers pour autoriser ou interdire les utilisateur et les groupes par expressions régulières. ‘AllowUsers’ et ‘DenyUsers’ peuvent aussi interdire par machine distante avec le motif USER@HOST form.

Maintenant j’ai une clé sans mot de passe dans ma configuration, je vais la tester avant de la planifier. je me délogue de remotehost et j’essaie

$ rsync -avz -e "ssh -i /home/thisuser/cron/thishost-rsync-key" remoteuser@remotehost:/remote/dir /this/dir/

Si ca ne marche pas, j’enleverai la restriction « commande » sur la clé et je réessaierai. Si le mot de passe est demandé je vérifierais les permissions de la clé privée (sur thishost ce doit être 600), et sur ‘authorized_keys’ (sur remotehost, ce doit être 600), et sur le répertoire ‘~/.ssh/’ (sur les deux machines ce doit être). S’il ya quelques messages d’erreur de protocol de cryptage dans ‘rsync’ mentionnant le script ‘validate-rsync’, je vérifierais les permissions de ‘validate-rsync’ (sur remotehost, ce doit être 755 si tous les utilisateurs de remotehost sont sur) qui doivent être ‘lecture’ et ‘exécution’ pour remoteuser.

La dernière étape est de planifier le script. J’utilise un truc comme ça

#!/bin/sh

RSYNC=/usr/bin/rsync
SSH=/usr/bin/ssh
KEY=/home/thisuser/cron/thishost-rsync-key
RUSER=remoteuser
RHOST=remotehost
RPATH=/remote/dir
LPATH=/this/dir/

$RSYNC -az -e "$SSH -i $KEY" $RUSER@$RHOST:$RPATH $LPATH

C’et ainsi plus adaptable pour les différents machines et user. Je l’appellerais normalement ‘rsync-remotehost-backups’ s’il contenait des sauvegrades. Je teste le script juste au cas où j’aurais fait une erreur quelque part.

Quand le script s’est exécuté correctement, j’utilise crontab -e pour mettre une nouvelle ligne dans ma table de cron

0 5 * * * /home/thisuser/cron/rsync-remotehost-backups

Pour une sauvegarde quotidienne à 5h00 (du matin)

0 5 * * 5 /home/thisuser/cron/rsync-remotehost-backups

Pour une sauvegarde hebdomadaire à 5h00 (du matin les vendredi)