INFO les barques

LAMP : 9ème Etape - Samba [DEBIAN]

Georges Charpenay — 2008-07-21T13:29:54Z

logo samba linux

SAMBA - Installation - Configuration

Samba permet de partager des dossiers sous Linux avec des ordinateurs locaux sous Windows, très pratique, donc !

De plus, il permet d'établir un réseau relativement sécurisé grâce à ses nombreuses fonctions.

Nous allons utiliser samba de deux façons :

La première :

Dans notre politique de sécurité, nous allons décrire le paramétrage de samba pour que certains répertoires FTP soient accessibles avec samba pour les utilisateurs locaux.

Pourquoi ?, pour citer un exemple, une société extérieure doit livrer un travail à des personnes interne à notre entreprise. La société extérieure aura seulement un accès ftp pour déposer son travail, et la personne interne à notre entreprise aura un accès samba (à la windows) sur le même dossier.

La deuxième :

Quelques personnes de notre entreprise précisément désignées auront des dossiers partagés sous samba.

Installation de SAMBA

Commencez d'abord par l'installer : connectez vous en root et saisissez :

apt-get install samba

A la fin du téléchargement, samba vous demande le nom du groupe de travail ou du domaine.

Samba vous demande ensuite si vous voulez modifier smb.conf pour utiliser les paramètres WINS fournis par DHCP.

En ce qui nous concerne, notre serveur n'est pas en DHCP, mais nous choisissons OUI, car si plus tard, nous décidons d'activer DHCP sur le serveur, samba pourra récupérer automatiquement les noms netbios.

Configuration

Il faut ensuite configurer quelques lignes du fichier smb.conf :

nano /etc/samba/smb.conf

En Ligne 27, nous avons renseigné le groupe de travail (ou le domaine), en principe, il est prérenseigné car vous l'avez saisi à l'installation du paquet.

# Change this to the workgroup/NT-domain name your Samba server will part of workgroup = MonDomaine

Il est possible, sous samba, d'autoriser l'accès aux dossiers partagés depuis des adresses ip préalablement définies.

Nous ne l'avons pas fait car il n'est pas possible de définir des masques et nous aurions beaucoup trop d'adresse ip à saisir, mais la procédure est la suivante, pour les personnes intéressées :

Dans smb.conf, il faut ajouter la ligne suivante :

Après « ####### Authentication ####### », vers la ligne 88, :

hosts deny = ALL hosts allow = ***.***.*.*

En remplaçant ***.***.*.* par l'ip local de l'ordinateur qui aura accès aux partages.

Si vous souhaitez mettre plusieurs ip, séparez les par des espaces.

SAMBA : Gérer les utilisateurs

Toujours dans smb.conf, un peu plus loin, vers la ligne 94, décommentez la ligne

;security = user

En supprimant le point virgule.

Cela signifie que par défaut seuls les utilisateurs enregistrés auprès de samba auront accès aux partages.

A l'inverse, « security=share » , (ligne suivante), autorise n'importe quel accès anonyme et est donc un mode bien moins sécurisé (que nous n'avons pas choisi).

SAMBA : Dossiers Partagés / Droits d'accès

Toujours dans /etc/samba/smb.conf :

Les droits d'accès sont à configurer dans la partie “Share Definitions” : Par défaut, ils sont très limités.

Tout d'abord, pour autoriser les utilisateurs à naviguer et à écrire dans leur dossier personnel , modifier la partie [homes] de cette manière :

[homes] comment = Home Directories browseable = yes # By default, the home directories are exported read-only. Change next # parameter to ‘yes' if you want to be able to write to them. writable = yes # File creation mask is set to 0700 for security reasons. If you want to # create files with group=rw permissions, set next parameter to 0775. create mask = 0644 # Directory creation mask is set to 0700 for security reasons. If you want to # create dirs. with group=rw permissions, set next parameter to 0775. directory mask = 0755

EXPLICATION

“create mask” est le CHMOD associé aux fichiers créés.

644 correspond à Lire/ecrire pour les fichiers (nous n'avons pas mis le droit executer car nous voulons limiter le rôle de samba à un serveur de fichier et non pas d'application).

“directory mask” est celui associé aux dossiers créés.

755 correspond correspond à tout les droits.

Partage de dossiers pour les utilisateur locaux

Comment partager un dossier :

Toujours dans smb.conf, il faut décrire chaque partage de chaque dossier.

Pour celà, il est pratique de les décrire en fin de fichier.

Il faut commencer par le nom du partage entre crochets, puis renseigner les différentes règles qui lui seront affectées :

EXEMPLE D'UN PARTAGE DE DOSSIER AJOUTE DANS SMB.CONF

[Nom_du_partage] path = CheminDuDossierPartagé valid users = guillaume jacques jean browseable = yes writeable = yes create mask = 0644 directory mask = 0755

Ne pas oublier ensuite, de créer le dossier approprié sur le serveur.

Exemple :

mkdir /home/NomduDossierPartagé

SAMBA - Utilisateurs

Il faut maintenant ajouter les utilisateurs de Samba.

Les utilisateurs samba doivent forcément être des utilisateurs système, utilisez pour cela la commande adduser que vous pouvez compléter par la spécification du dossier personnel, auquel l'utilisateur aura accès par défaut (via samba) :

Création d'un utilisateur système :

adduser —shell /bin/false –home /home/votre_dossier NomNouvelUtilisateur

Option choisie : "—shell /bin/false" lui interdira d'avoir un shell en accès console.

Vous est alors demandé le mot de passe associé ainsi que différentes informations que vous pouvez laisser vide.

Donner ensuite l'accès à Samba

Pour qu'un utilisateur système ait ensuite un accès aux dossiers partagés de Samba, utilisez la commande :

smbpasswd –a NomNouvelUtilisateur

Le système demande alors le mot de passe système qui a été affecté à l'utilisateur.

Finalisez le tout, en redémarrant le service samba :

/etc/init.d/samba restart

Pour avoir accès aux partages depuis Windows XP, il est indispensable d'avoir un compte XP avec les mêmes noms/mots de passe que sous Linux.

Vous pouvez également partager des répertoires avec webmin (menu serveur, partages)...

SAMBA : Connecter à un domaine windows

Connecter Samba à un domaine windows vous permettra entre autres de partager sur le serveur Samba des dossiers qui seront visibles depuis les utilisateurs du domaine windows et hériterons des droits windows sur ses propres dossiers. Les dossiers samba partagés seront partagés avec windows, comme n'importe quel dossier partagé windows.

Ensuite, avec webmin, vous pouvez configurer samba pour lui faire rejoindre votre domaine :

La sélection de l'icône "joindre au domaine" vous enchaine l'écran suivant qu'il faut compléter évidemment du vrai nom de votre domaine.

Et tout baigne.
Si un message d'erreur du genre ... :

Liaison au domaine avec la commande /usr/bin/net join -U Administrateur -S masociete\.com en cours... Invalid configuration. Exiting.... ADS join did not work, falling back to RPC... Host is not configured as a member server. cannot join as standalone machine

Il ne faut pas s'affoler, dans ce cas, il semble prudent d'effectuer l'ensemble des procédures de liaisons au domaine et tout rentrera dans l'ordre.

SAMBA : Donner des droits aux utilisateurs Active Directory

Les procédures de créations de dossier partagé sont strictement les mêmes que supra-évoqué, cependant, webmin ne nous aidera pas beaucoup dans cette étape car il semble ne travailler que sur les utilisateurs linux et n'affiche pas les utilisateurs d'active directory (quand on essaye par exemple d'ajouter des groupes à écrire sur la zone samba).

Passons donc par l'édition manuelle du smb.conf où nous allons créer l'espace de partage Samba

nano /etc/samba/smb.conf

[intranet] writable = yes path = /var/intranet create mask = 0600 directory mask = 0700 comment = Utilisateurs intranet valid groups = s_info

Dans cet exemple, nous avons ajouté et autorisé le groupe s_info (qui existe sur l'active directory), à écrire sur la zone de partage. Ainsi, tous les utilisateurs du groupe s_info de l'active directory peuvent écrire sur cette zone samba appelée, pour l'exemple "Intranet".

Attention de bien vérifier les options create et directory mask, pour donner les bons droits aux répertoires et fichiers créés (voir plus haut dans cet article dédié à Samba.).

Ne pas oublier de refaire systématiquement redémarrer samba après chaque modification de smb.conf, soit avec webmin, soit avec la commande suivante :

/etc/init.d/samba restart

LAMP : 8ème Etape - LDAP, EGROUPWARE [DEBIAN]

Georges Charpenay — 2008-07-17T15:04:46Z

EGROUP : Téléchargement des paquets

Les paquets à télécharger

Choisir les paquets :

Egroupware 1.4.004 (ou le dernier en cours)

Egwpear qui va avec.

Gallery qui va avec.

Prendre les fichiers.tar.gz.

Les copier dans un répertoire utilisateur quelconque, puis les détarer.

tar xvzf eGroupWare-1.4.004-2.tar.gz

tar xvzf eGroupWare-egw-pear-1.4.004-2.tar.gz

tar xvzf eGroupWare-gallery-1.4.004-2.tar.gz

Par défaut, un répertoire egroupware est créé dans l'arborescence existante et l'ensemble des trois archives a été décompressée dedans.

Rappel : nous avions décidé, dans les installations précédentes, de donner une arborescence particulière aux utilisateurs, en séparant les utilisateurs ftp des utilisateurs locaux - /home/ftp/utilisateurFtp. De même que pour les utilisateurs, nous avons appliqué la même méthode aux sites internet. L'egroupware sera donc réparti et installé dans le répertoire /var/www/wwwegroup).

Il convient maintenant de déplacer cet egroupware sous /var/wwwegroup.

cd egroup
mv * /var/www/wwwegroup/

Ensuite, il faut créer un virtual host egroupware qui va pointer sur /var/www/wwwegroup/.

Pour cela, il faut éditer le fichier :

nano /etc/apache2/sites-enabled/000-default

# Ici un virtual host pour héberger un egroupware sécurisé sur le port 443... ##### VIRTUAL HOST EGROUPWARE ##### <VirtualHost 192.22.1.1:443> ServerName egroup DocumentRoot /var/www/wwwegroup SSLEngine on SSLCertificateFile /etc/apache2/server.crt SSLCertificateKeyFile /etc/apache2/server.key </VirtualHost>

EGROUP : 1ère connexion

Vous pouvez dès à présent vous connecter par l'adresse IP du serveur egroupware.

https://192.22.1.1/

Bien, nous savons que ça marche, mais n'allons pas plus loin car il faut créer la base mysql, que nous évoquerons après la remarque de sécurité ci-dessous.

EGROUP : Gestion des virtual hosts

Remarque de sécurité importante :

C'est le premier enregistrement décrit dans virtualhost qui est pris par défaut, selon le port demandé, si aucun servername n'est indiqué dans l'url.

Pour exemple, un virtual host qui contient :

– premier virtual host - 192.22.1.1:80 internet
– deuxième virtual host - 192.22.1.1:443 egroupware
– troisième virtual host - 192.22.1.1 : 443 intranet
– quatrième virtual host - 192.22.1.1 :80 deuxièmeSiteInternet

le site atteint avec :
– http://192.22.1.1/ est internet (premier site 80 )
– https://192.22.1.1/ est egroupware (premier site 443)

Donc, puisque que virtualhost, par défaut, vous emmène à la racine de /var/www, et puisque nos sites sont situés sous cette racine, dans des répertoires séparés (ex : /var/www/wwwegroup), il faut enlever l'enregistrement par défaut de virtual host pour ne pas arriver à la racine. De plus, nous avons à la racine de www des répertoires comme phpmyadmin, postfixadmin que nous ne voulons pas partager.

Il faut donc soit enlever tout le virtual host par défaut, soit le commenter entièrement.
Texte virtual host par défaut :

<VirtualHost 192.22.1:80> ServerAdmin webmaster@localhost DocumentRoot /var/www/ <Directory /> Options FollowSymLinks AllowOverride None </Directory> <Directory /var/www/> Options Indexes FollowSymLinks MultiViews AllowOverride None Order allow,deny allow from all # This directive allows us to have apache2's default start page # in /apache2-default/, but still have / go to the right place RedirectMatch ^/$ /apache2-default/ </Directory> ScriptAlias /cgi-bin/ /usr/lib/cgi-bin/ <Directory "/usr/lib/cgi-bin"> AllowOverride None Options ExecCGI -MultiViews +SymLinksIfOwnerMatch Order allow,deny Allow from all </Directory> ErrorLog /var/log/apache2/error.log # Possible values include: debug, info, notice, warn, error, crit, # alert, emerg. LogLevel warn CustomLog /var/log/apache2/access.log combined ServerSignature On Alias /doc/ "/usr/share/doc/" <Directory "/usr/share/doc/"> Options Indexes MultiViews FollowSymLinks AllowOverride None Order deny,allow Deny from all Allow from 127.0.0.0/255.0.0.0 ::1/128 </Directory> </VirtualHost>

EGROUP : Création base Mysql

Utilisons phpmyadmin

Dans un explorateur :

https://192.22.1.1/phpmyadmin/ devrait théoriquement nous amener à phpmyadmin...

Cela ne marche pas ? Bien sûr car nous avons décidé de sécuriser au maximum par virtual host. Aussi, et puisque nous n'avons donné qu'un accès par défaut par type de port utilisé (ex évoqué dans la remarque de sécurité ci-dessus, un accès sur le port 80 par défaut vous amène sur internet, un accès par le port 443 vous amène par défaut sur le site egroupware. )

Pourquoi ne pas créer un accès virtual host (443 - sécurisé) qui contiendrait seulement le portail d'accès à tous les autres sites. Ainsi, notre premier enregistrement sur le port 443 de notre virtual host contient notre portail intranet dans lequel tous les liens sur tous les sites existent. Nous sommes ainsi jamais au niveau de la racine /var/www.

Ce que nous avons fait :

Nous avons donc créé un virtual host dédié à l'administration qui sera accessible seulement aux administrateurs. Pour celà, nous avons modifié leur fichier hosts de leur poste Windows. Nous avons ainsi un peu plus de sécurité et nous cachons les pages d'administration au utilisateurs lambdas.

Pour tester et administrer les virtual hosts depuis notre machine cliente d'administration, (les virtual hosts sont volontairement pas déclarés sur un serveur DNS Local pour le moment), il faut éditer le fichier C :\WINDOWS\system32\drivers\etc\hosts et rajouter les lignes suivantes :

192.22.1.1	admin 192.22.1.1	egroup 192.22.1.1	monsite.com 192.22.1.1	intranet

S'il y a utilisation d'un serveur DNS, les dns ci-dessus seront renseignés, sauf évidemment le premier (admin).

Maintenant les 4 virtual hosts sont accessibles depuis notre pc d'administration.

EGROUP : Création Utilisateur Egroupware

Pour reprendre la suite de l'installation d'egroupware, nous pouvons nous connecter à phpmyadmin, avec l'url suivante, utilisant le host "admin", déclaré dans le fichier hosts de windows :

https://admin/phpmyadmin/

Depuis cet accès phpmyadmin, nous devrons ajouter un utilisateur egroupware et une nouvelle base de donnée pour accueillir l'installation d'egroupware.

Après saisie du mot de passe, sur la page de phpmyadmin, cliquons sur Privilèges dans la colonne localhost, puis Ajouter un utilisateur dans la page suivante.

Nom d'utilisateur :

Réponse : egroupware

Serveur :

Réponse : local (localhost)

Mot de passe :

Réponse : MonMotde Passe (saisi deux fois)

Base de donnée :

Réponse : Sélectionner le bouton "créer la base portant son nom...")

puis bouton : EXECUTER

La base egroupware ainsi que son utilisateur est créée.

EGROUP : Phase de vérification des modules pour eGroupWare

Nous pouvons donc passer à la phase de vérification ainsi que l'installation d'egroupware.

Pour accéder à eGroupWare maintenant on peut utiliser soit le virtual host :

https://egroup

https://192.22.1.1

Nous arrivons ainsi sur la page de sélection de langue.

Cliquer sur démarrer la procédure de vérification et , sur la page suivante, et modifier obligatoirement toutes les vérifications marquées d'une croix rouge. Le mode opératoire est décrit.

Pour les modifications marquées d'un éclair jaune, il est préférable de les corriger, mais vous pouvez en éviter si vous jugez ne pas avoir besoin des modules indiquée (ex : pgsql - progress sql - si vous n'utilisez pas progress, etc ...)

verif egroup

Astuce : Après avoir rectifié un paramètre, vous pouvez actualiser la page de test d'egroupware en tapant F5 .

En ce qui nous concerne, nous avons rectifié mémory limit à 24, mbstring (à ajouter dans php.ini), magic quote à Off. Nous ignorons pgsql, odbc, et oci8.

Pour ldap, egroupware ne trouve pas le module, nous l'avons installé avec :

apt-get install slapd
apt-get Php5-ldap

Rappel : vous pouvez interroger le cache d'apt-cache, avec apt-cache search ldap (et choisir slapd), sans oublier php5-ldap.
A l'installation du paquet ldap, il faut saisir un mot de passe administrateur. Vous avez le choix plus tard d'aller dans webmin ajouter le module LDAP.

Pour mémoire, LDAP peut être considéré comme un annuaire faisant du stockage d'information disponible pour toutes les applications. Un exemple d'annuaire autre que ldap, mais fonctionnant de la même manière est l'active directory de Microsoft .

Nous avons aussi installé le module imap (qui permet à php5 de comprendre les instructions imap, dans les fichiers php).

apt-cache search imap

choisir php5 imap

apt-get install php5-imap

A la question : poursuivre l'installation de libc-client sans gestion de « maildir » ?
Réponse : OUI (très important car nous voulons que le mail soit géré par mysql et pas par un système de fichiers sur disque) Cette gestion de mail par mysql est appelée virtualmail. Ainsi, une sauvegarde de la base mysql sauvegardera également tous les mails lus, et nous serons dispensés de sauvegarder la partie disque correspondant aux mails.

Nous avons aussi installé le module gd (qui permet à egroupware d'utiliser le project manager).

apt-cache search gd

choisir php5-gd

apt-get install php5-gd

Nous avons aussi installé le module pear (qui est quasi-indispensable à egroupware pour plein de services de mail).

apt-cache search pear

choisir php-pear

apt-get install php-pear

Puis,

pear install Auth_SASL

A ce stade, l'egroupware est prêt à être installé. Seuls les paquets que nous ne voulons pas restent en avertissement. (Cependant le choix des paquets et des avertissements peuvent varier d'une configuration à une autre et vous êtes libre arbitre.).

Choisir le menu au bas de page « configurer les entêtes »

EGROUP : Configuration des entêtes

C'est une page importante, elle consiste à positionner tous les réglages système par défaut pour egroupware (sauvegardes, répertoires, etc ...) Egroupware a son propre système de réglage de fonctionnement préférentiel, mais cette partie se passera dans l'applicatif egroupware.

Conf entetes

RACINE SERVEUR :

/var/www/wwwegroup

INCLURE ROOT :

/var/www/wwwegroup

IDENTIFIANT ENTETE :

admin

MOT DE PASSE ENTETE :

MonMotdePasseEntête (pour accéder à cette page)

LIMITER L'ACCES :

(laissé vide)

CONNECTIONS PERSISTANTES :

Oui

TYPE DE SESSION :

PHP

ACTIVER MCRYPT :

NON

VERSION :

(laissé vide)

VECTEUR D'INITIALISATION MCRYPT :

(laissé tel quel)

BOITE DE SELECTION DE DOMAINE :

NON

INSTANCE DE BASE DE DONNEE (EGW) :

(laissé défault)

TYPE DE BASE DE DONNEE :

Sélectionner Mysqli (php5)

NOM DU SERVEUR DE BASE DE DONNEE :

laissé localhost, sinon indiquer l'adresse ip du serveur mysql

PORT D'ACCES A LA BASE DE DONNEE :

laissé 3306

NOM DE LA BASE DE DONNEE :

laissé egroupware (nom de la base mysql)

UTILISATEUR DE LA BASE DE DONNEE :

laissé egroupware (utilisateur egroupware dans mysql)

MOT DE PASSE UTILISATEUR A LA BASE DE DONNEE :

MotdePasseUtilisateurEgroupwareMysql (créé dans mysql)

IDENTIFIANT DE CONFIGURATION :

laissé admin

MOT DE PASSE CONFIGURATION :

MotdePasseDomaineEgroupware

NE PAS CLIQUER SUR Ajouter une nouvelle instance (Domaine Egw).

EGROUP : Ecriture du header.inc.php

Le bas de la page se présente ainsi :

header

Nous voyons qu'il ne peut pas créer le fichier header.inc.php à cause de permissions manquantes. Ceci est normal car apache2 crée un utilisateur système, qui s'appelle www-data.

La création de cet utilisateur peut se voir dans le fichier /etc/passwd.

Cet utilisateur (www-data) n'a pas les droits pour écrire dans le répertoire d'egroupware qui est situé sur /var/www/wwwegroup/, et ne peut donc écrire le fichier header.inc.php.

L'interface d'egroupware propose donc de :

– soit télécharger le fichier header.inc.php sur son pc, le modifier avec ses paramètres, puis de le remettre "à la main" sous /var/www/wwwegroup/. (Bouton Télécharger)

– soit visualiser le fichier header.inc.php (Bouton voir), copier-coller le texte (complet), dans un nouveau document directement sur le serveur dans le répertoire approprié.

C'est cette deuxième méthode que nous avons choisie.

voir header

1 - ouvrir une fenêtre ssh,

2 - cd /var/www/wwwegroup/

(.. le répertoire de votre egroupware)

3 - nano header.inc.php

(..ou votre éditeur préféré..)

4 - copier l'intégralité du contenu de header.inc.php affiché par votre egroupware

5 - Coller dans l'éditeur ouvert en ssh (click droit souris)

6 - Sauvegarder votre fichier dans l'éditeur de texte en ssh.

Header.inc.php existe maintenant à la racine de votre site egroupware, avec les bons paramètres. Nous pouvons donc continuer l'installation d'egroupware, à travers l'interface web...

Cliquer sur bouton "Continuer", en bas de la page du contenu de header.inc.php.

Nous arrivons sur la page suivante :

setup g ?n ? egroup

Nous remarquons que la partie "Header Admin Login" est terminée. Il ne reste plus qu'à lancer la partie "Setup/Config Admin Login".

Allons y gaiement !

EGROUP - Suite de la Configuration

Nous arrivons sur l'écran suivant :

installation egroupware

Cocher "afficher les informations de déboguage supplémentaire", puis cliquer sur le bouton "installer" (juste en dessous).

Attention, tout le script s'affiche, avec les résultats sur la page, il faut donc aller tout au bas de la page pour cliquer ensuite sur le bouton "vérifier mon installation".

Vous devriez voir passer "en vert" tout sauf :

– étape 2 : configuration

– étape 3 : compte administrateur.

Cliquez sur bouton Etape 2 et répondre aux questions suivantes :

Entrez le chemin complet pour les fichiers temporaires :

laisser /tmp

Entrez le chemin complet pour les fichiers d'utilisateurs :

/home/sauve/egroupware/files

Entrez le chemin complet vers le répertoire de sauvegarde :

/home/sauve/egroupware/backup

NOTE : Ces répertoires correspondent à une politique de sauvegarde qui est décrite dans l'article suivant concernant les sauvegardes.

Entrez l'emplacement de l'URL de eGroupWare :

https://mondomaine.com/egroupware

ATTENTION : Ne pas mettre de "/" à la fin de l'adresse.

Ordre de sélection de type d'image :

PNG->JPEG->GIF

Entrez le nom de la machine sur laquelle ce serveur s'exécute :

192.22.1.1 (adresse IP du serveur)

Entrez votre serveur FTP par défaut :

192.22.1.1
(...adresse IP du serveur.. parce qu'on a installé proftpd)

Tentative d'utiliser le type MIME correct pour FTP au lieu de celui par défaut :

Laisser NON

Entrez votre serveur proxy HTTP :

adresse IP de votre proxy HTTP

... s'il existe sur votre réseau, sinon laisser vide.

Entrez le port de votre serveur proxy HTTP :

Le cas échéant, autres paramètres de votre proxy que vous devez connaître...en général 3128 ou 8080

Entrez le nom d'utilisateur pour le proxy HTTP :

Le cas échéant, autres paramètres de votre proxy que vous devez connaître...

Entrez le mot de passe pour le proxy HTTP :

Le cas échéant, autres paramètres de votre proxy que vous devez connaître...

ATTENTION : Du fait qu'on a précisé des sauvegardes ailleurs que dans le répertoire par défaut d'egroupware, il faut les créer sur le disque :

mkdir /home/sauve

mkdir /home/sauve/egroupware

mkdir /home/sauve/egroupware/files

mkdir /home/sauve/egroupware/backup

Ensuite, il faut autoriser "l'utilisateur d'apache2", soit www-data à s'approprier les répertoires où apache doit écrire.

chown -R www-data /home/sauve/egroupware/*

SERVEUR DE MESSAGERIE

nom d'hôte ou adresse IP du serveur de messagerie POP/IMAP :

adresse IP de votre serveur de messagerie
... s'il existe sur votre réseau, sinon laisser vide.

Protocole Mail server :

Choisir IMAP
(..parce qu'on reste dans le réseau local et que le serveur de mail n'est pas à l'extérieur - s'il avait une IP publique, on prendrait IMAPS).

Type de login Mail server :

Choisir Virtual Mail Manager
(..car nous avons choisi une authentification par base Mysql pour les comptes mail - évoqué ci-dessus - pas de maildir).

Domaine Mail (pour Virtual mail manager) :

saisir MonDomaine.com
(..il s'agit de l'extension d'adresse, après l'arobase, dans les adresses mail).

Nom d'hôte ou adresse IP du serveur SMTP :

adresse IP de votre serveur SMTP
... s'il existe sur votre réseau, sinon laisser vide.

Port du serveur SMTP :

port de votre serveur SMTP, en général 25
... s'il existe sur votre réseau, sinon laisser vide.

Utilisateur pour l'authentification SMTP (laisser vide si aucune authentification n'est requise) :

Laisser vide.

Mot de passe pour l'authentification SMTP :

Laisser vide.

Astuce : Pour les paramètres mail que nous venons de compléter, il est évident qu'ils ne sont obligatoires que si nous voulons nous servir des fonctions de mail d'egroupware. Dans le cas contraire, vous pouvez laisser à blanc les champs à compléter et ne pas vous servir du mail d'egroupware. Et si, plus tard, vous décidiez d'implémenter les fonctions de mail, vous pourrez revenir sur cette page et compléter les champs pour egroupware. Il suffira de taper dans l'url de votre explorateur :
https://adresse_Ip_serveur/setup/config.php

AUTHENTIFICATION COMPTES

Voir les réponses choisies sur l'image ci-dessous...

setup authentification

Sur l'image suivante :

Pour la partie Ldap et active directory. Nous n'avons pas complété LDAP car nous pourrons le faire si nous décidons plus tard de laisser LDAP gérer les comptes et les groupes Egroupware. Par défaut, les comptes et les groupes d'egroupware sont gérés par défaut par egroupware.

Nous avons renseigné la partie active directory car nous avons un serveur de domaine windows sur le réseau et nous pensons que cette partie est nécessaire à l'usage de samba dans un domaine windows avec les comptes d'egroupware.

setup ldap

Image suivante :

Enfin dernière étape, nous n'avons pas sélectionné de méthode de cryptage, et nous avons choisi SQL version 2 (expérimentale..), ainsi que le stockage par système de fichiers pour éviter d'avoir une base sql énorme et faciliter la sauvegarde des fichiers.

fin config egroup

EGROUP : Dernière Etape - Compte Admin

Depuis la page générale de configuration, sélectionner Etape 3 - Création du compte admin.

Aux questions :

Supprimez tous les comptes ...?

NON (...vu que nous venons de créer la base, elle est vide..)

Identifiant (login), prénom, nom, adresse email, mot de passe.

A compléter selon votre choix mais nous conseillons très fortement de ne jamais créer un utilisateur admin, avec le login admin pour des raisons de sécurité dont vous ne pouvez douter !

Donner les droits administrateurs à tous...

Coché la Case (... oui, pour qu'on puisse avoir tous les accès pour gérer egroupware, depuis egroupware).

FELICITATIONS ! - Vous pouvez vous connecter par l'url :

https://MonDomaine/egroup/

LAMP : 2ème Etape - INSTALLATION APACHE [DEBIAN]

Georges Charpenay — 2008-07-08T09:07:44Z

Le serveur a redémarré correctement et l'invite système est dispo.
Se logger en root, MotdePasse_root.

MISE A JOUR DE TOUS LES PAQUETS ET LE NOYAU

apt-get update
(pour mettre à jour la liste des paquets)

puis

apt-get upgrade
(pour mettre à jour les paquets eux-même)

Astuce : A n'importe quel moment, si le système de mise à jour demande le cd et pour éviter de l'insérer à chaque fois, il suffit de commenter la ligne dans source.list. Pour ce faire, taper la commande nano /etc/apt/sources.list ou vi /etc/apt/sources.list , et mettre en commentaire la ligne deb/cdrom. Ainsi, le système ne demandera plus le cd et ira chercher les informations sur le net.

Ensuite, l'installation d'apache passe par les étapes suivantes :

– installation des paquets d'apache, et intégration des paquets ssl à apache.

– configuration d'apache et création des virtual hosts

– paramétrer les ports d'écoute d'apache

– création des répertoires d'accueil pour héberger les sites décrits dans les virtual hosts.

– générer les certificats ssl pour les connections sécurisées

INSTALLATION DES PAQUETS D'APACHE

Installation des paquets de base d'apache :

apt-get install apache2

Installation des librairies ssl pour apache :

apt-get install libapache-mod-ssl

Intégration des librairies ssl dans apache :

a2enmod ssl

Relance obligatoire d'apache avec rechargement de ses fichiers de config :

/etc/init.d/apache2 force-reload

NOTES PARTICULIERES SUR CES COMMANDES

La deuxième commande installe l'interpréteur de commande ssl (pour les sites sécurisés utilisant le ssl ) - egroupware par exemple.

Attention : bien installer ce deuxième module ci-dessus (ibapache-mod-ssl) et surtout pas apache-ssl qui est un serveur web à part entière qui entre en conflit avec apache2.

Apache dispose de son interpréteur de commande (comme mysql par exemple). Pour intégrer la librairie ssl à apache, il a fallu exécuter la commande A2 (qui est une commande debian installée par apache - se référer à la doc d'apache2). Cependant on peut avoir l'intuition de demander au système toutes les commandes qui commencent par "a" comme apache. Pour cela, taper "a", puis tabulation deux fois. Debian affiche toutes les commandes commençant par a.

CONFIGURATION D'APACHE - VIRTUAL HOSTS

Dans /etc/apache2/ se trouvent tous les fichiers de configuration d'apache.

Les virtual-hosts :

cd sites-enabled

Puis éditer le fichier 000-default

vi 000-default

Pour éviter d'ouvrir tous les ports, remplacer les * par les adresses ip, suivies du port utilisé (ouvert).

CONTENU D'UN FICHIER DE CONFIGURATION COMMENTE

Le fichier est joint à l'article sans les commentaires.

# on décrit les ports d'écoute ... sur l'adresse ip de la machine NameVirtualHost 192.22.1.1:443 NameVirtualHost 192.22.1.1:80 # Ici un virtual host pour héberger un egroupware sécurisé sur le port 443... ##### VIRTUAL HOST EGROUPWARE ##### <VirtualHost 192.22.1.1:443> ServerName egroup DocumentRoot /var/www/wwwegroup SSLEngine on SSLCertificateFile /etc/apache2/server.crt SSLCertificateKeyFile /etc/apache2/server.key </VirtualHost> # Ici un virtual host pour héberger un intranet sécurisé sur le port 443... ##### VIRTUAL HOST INTRANET ##### <VirtualHost 192.22.1.1:443> ServerName intranet DocumentRoot /var/www/wwwintra/html SSLEngine on SSLCertificateFile /etc/apache2/server.crt SSLCertificateKeyFile /etc/apache2/server.key </VirtualHost> # Ici un virtual host pour le site internet sur le port 80... ##### VIRTUAL HOST INTERNET ##### <VirtualHost 192.22.1.1:80> ServerName monsite.com DocumentRoot /var/www/wwwinter </VirtualHost> # Ici un virtual host administration sécurisé sur le port 443, on remarque qu'on arrive sur l'arborescence par défaut d'apache (/var/www), ce qui permet d'avoir les droits sur les arborescences inférieures. Ce virtual host est le virtual host qui est par défaut dans les fichiers de conf d'apache2..... #### VIRTUAL HOST ADMINISTRATION #### <VirtualHost 192.22.1.1:443> ServerName mab.admin DocumentRoot /var/www/ SSLEngine on SSLCertificateFile /etc/apache2/server.crt SSLCertificateKeyFile /etc/apache2/server.key <Directory /> Options FollowSymLinks AllowOverride None </Directory> <Directory /var/www/> Options Indexes FollowSymLinks MultiViews AllowOverride None Order allow,deny allow from all # This directive allows us to have apache2's default start page # in /apache2-default/, but still have / go to the right place # RedirectMatch ^/$ /apache2-default/ </Directory> ScriptAlias /cgi-bin/ /usr/lib/cgi-bin/ <Directory "/usr/lib/cgi-bin"> AllowOverride None Options ExecCGI -MultiViews +SymLinksIfOwnerMatch Order allow,deny Allow from all </Directory> ErrorLog /var/log/apache2/error.log # Possible values include: debug, info, notice, warn, error, crit, # alert, emerg. LogLevel warn CustomLog /var/log/apache2/access.log combined ServerSignature Email Alias /doc/ "/usr/share/doc/" <Directory "/usr/share/doc/"> Options Indexes MultiViews FollowSymLinks AllowOverride None Order deny,allow Deny from all Allow from 127.0.0.0/255.0.0.0 ::1/128 </Directory> </VirtualHost>

PARAMETRER LES PORTS D'ECOUTE D'APACHE

Editer le fichier /etc/apache2/ports.conf.

Vérifier que les lignes suivantes soient présentes :

Listen 80

Listen 443

CREATION DES REPERTOIRES D'ACCUEIL

cd /var/www/

mkdir www.inter

mkdir www.intra

mkdir www.egroup

La commande ls -l permet de vérifier que les créations ont bien été faites. Cependant, on remarque la présence du répertoire apache2-default, qui correspond au répertoire par défaut d'apache qui permet de vérifier le bon fonctionnement d'apache, et qui peut être utilisé sans modifier les fichiers de configuration. http://192.22.1.1/ sur un explorateur internet doit aboutir sur cette page par défaut.

GENERER LES CERTIFICATS SSL

Pour se connecter en ssl, il faut générer un certificat électronique qui se présentera sous la forme de plusieurs fichiers, qu'on copiera dans le dossier d'apache2, et qui seront utilisés à chaque connection ssl par les accès virtual host. (l'accès à ces certificats est décrit dans le fichier de configuration que nous avons évoqué ci-dessus.)

Un lien utile pour générer les certificats

Installer le paquet open-ssl

apt-get install openssl

se placer dans le rep apache2, pour que les certificats soient générés au bon endroit.

cd /etc/apache2

générer la clé privée (stockée sur le serveur - server.key)

openssl genrsa -out server.key 1024

générer le certificat autosigné (clé publique, accès public, stockée sur le serveur - server.crt)

openssl req -new -x509 -days 1000 -key server.key -out server.crt

Ici, il est intéressant de noter que la clé publique est générée pour 1000 jours, et qu'il faudra le renouveler à la fin de cette période pour accéder en ssl aux services. Même commande en cours de description.

Le système renvoit au retour de la commande ci-dessus, les demandes de précision suivante :

Initiales du Pays :

Country Name (2 letter code) [AU] :

Réponse : FR

State or Province Name (full name) [Some-state] :

Réponse : Rhône-Alpes

Locality Name (eg. city) [] :

Réponse : MaVille .. attention, ne pas mettre d'accent ...

Organization Name (eg, Company) [Internet Widgits Pty Ltd]

Réponse : MonEntreprise ... attention les accents....

Organizational Unit Name (eg, section) [] :

Réponse : MonService

Common Name (eg, YOUR name) [] :

Réponse : MonNom

Email-Adress [] :

Réponse : MonAdresseEmail

Les fichiers nécessaires aux connections ssl sont générés, il s'agit des fichiers /etc/apache2/server.crt et /etc/apache2/server.key.

APACHE EST INSTALLE (BRUT DE FONDERIE..)

On peut se connecter en ssl et http, sur des sites statiques à ce stade.
Pour héberger des sites dynamiques, il faut aussi installer php, mysql, etc ...

REGLER LES PROBLEMES D'ACCENTS

Si vous avez installé apache sur un serveur avec le jeu de caractères utf8, et si vous exporter des bases mysql d'un autre serveur avec un jeu de caractère différent (par ex ISO-8859-15), pour les importer dans votre serveur tout neuf, vous aurez la désagréable surprise de trouver de nombreuses anomalies dans les affichages de caractères accentués.

Pour réparer celà, il est nécessaire de préciser à apache le jeu de caractères supplémentaires à utiliser.

Pour celà, il suffit de retrouver dans /etc/apache2/apache2.conf la ligne

#AddDefaultCharset ISO-8859-15 pour la décommenter (enlever le #)