rycks' corner

Petite amélioration pour la vérification des droits d'accès

erics — Wed, 27 Jan 2010 11:44:00 +0100

Une nouvelle entrée fait son apparition sur webadmin, dans la gestion globale des utilisateurs vous pouvez maintenant choisir l'option "Vérifier les droits" attention c'est une opération assez longue.

Adaptation pour l'Inspection Académique des Landes

erics — Tue, 19 Jan 2010 08:17:00 +0100

Quelques inspections Académiques nous demandent de faire des modifications sur l'ensemble des serveurs AbulÉdu de leur département. Il s'agit généralement de la liste des applications windows déployées mais ça peut parfois aller plus loin. C'est ce que nous allons voir avec le travail réalisé pour les Landes.

Modification de la liste des services rendus aux usagers:

pas de "webmail abuledu", on pousse les usages de l'ENT hébergé sur la plate-forme départementale
pas de "pages perso abuledu" pour la même raison
pas de site "intranet abuledu" pour la même raison
l'adresse http://servecole/ est une redirection immédiate vers http://ia40.ac-bordeaux.fr/

Modification de l'arborescence:

"nettoyer" les comptes utilisateurs pour simplifier l'arborescence: pas de liens vers les espaces de stockages de groupe
masquer les dossiers public_html, Ma musique, etc. (simplification de l'arborescence encore)
changer le dossier "Documents" qui se trouve chez chaque utilisateur par un dossier portant le nom de l'utilisateur
remplacer le "toutlemonde" par "commun"

Avant:

Après:

Ces captures d'écran ont été réalisées sous windows, mais l'affichage est le même depuis un poste linux ou macintosh.

Modification des droits par défaut:

les enseignants peuvent aller dans les dossiers personnels des élèves pour "relever les devoirs"
création d'une arborescence chez les enseignants pour simplifier les accès aux comptes élèves (le dossier "école" qui se trouve chez les enseignants)

Liste de logiciels à déployer (automatiquement si possible)

cette liste est en évolution et représente un travail habituel que j'ai déjà détaillé dans d'autres billets

Ces modifications sont appliquées à l'ensemble des écoles Landaises et sont maintenues dans le cadre de notre maintenance évolutive. Comme toutes les écoles sont concernées, ça ne pose pas de problème par rapport aux formations ou aux habitudes locales. Par contre ça posera un problème par rapport aux documentations publiques d'AbulÉdu et aux habitudes "globales". Sachez donc qu'il y aura des "saveurs" d'AbulÉdu différentes d'une académie à l'autre dans les années à venir. Ce que vous connaissez d'AbulÉdu pourra être légèrement différent d'un endroit à l'autre.

Il est néanmoins possible de re-modifier cette saveur en cours d'année sur simple demande auprès de RyXéo (dans la limite du possible et du raisonnable).

Nuage de tags pour la documentation en ligne

erics — Mon, 18 Jan 2010 14:35:00 +0100

Petite amélioration sur le site docs.abuledu.org ... un nuage de tags est arrivé dans le menu latéral (à gauche). Il permet de naviguer différemment sur le site et de raccrocher la documentation avec des mots clés transversaux.

Mise à jour évolutive d'AbulÉdu

erics — Sat, 09 Jan 2010 17:11:00 +0100

Dans le cadre de notre service de mise à jour évolutive pour AbulÉdu, nous sommes aujourd'hui en mesure de déployer une petite dizaine de logiciels sur les postes windows du réseau ... c'est une des facettes peu connue d'AbulÉdu dont il faudrait parler un peu plus souvent.

Logiciels windows directement inclus dans AbulÉdu 9.08-ENR

Les principaux logiciels libres pour windows sont automatiquement inclus dans notre système:

Firefox
OpenOffice.org + OOOHG
Thunderbird
Inkscape
The Gimp
TuxPaint + les brosses
Les logiciels du Terrier d'AbulÉdu
GeoGebra
GeoNext
Italc
Lame
Audacity
omnitux
PDF Creator
pidgin
scribus
GCompris (en version limité, on encourage les écoles à acheter la version complète)

Logiciels windows disponibles depuis le 30 novembre 2009

celestia
sumatrapdf
tuxmath
vlc
ccleaner (non libre)
flash (non libre)
googleearth (non libre)
photofiltre (non libre)
picasa (non libre)
puzmat (non libre)
realplayer (non libre)
shockwave (non libre)
xnview (non libre)

Logiciels windows disponibles depuis le 10 janvier 2010

artrage (non libre)
atoumath (non libre)
photorecit (non libre)
primaths (non libre)
terraexplorer, le logiciel pour geoportail (non libre)

Installation de ces logiciels

La question qui se pose maintenant c'est "comment faire pour installer ces logiciels ?". Notre approche est institutionnelle: nous proposons de déployer automatiquement ces logiciels sur toutes les écoles d'un département en fonction des demandes des inspections académiques avec lesquelles nous sommes en contact.

Par exemple, si l'inspection académique de xxx nous demande de déployer photorécit sur tous les ordinateurs du département, sous 24h (hors période de fermeture de la société) le logiciel en question sera disponible sur l'ensemble du parc concerné. Les responsables de l'inspection académique pourront en complément suivre le déploiement de cette application sur le tableau de bord accessible depuis leur compte de supervision sur abuledu.net.

Logiciels à venir

RyXéo étant une société de service, vous comprendrez donc que sur simple commande nous pouvons mettre à disposition notre savoir faire et notre infrastructure de déploiement pour à peu près n'importe quel logiciel ! Notre métier est de simplifier la vie des acteurs terrains: au lieu qu'un MAI ou MATICE installe photorécit sur les 10 postes de chaque école de sa circonscription nous assurons le boulot en amont. Tout le parc est donc homogène (même version du logiciel partout) et maintenu.

Mise à jour des logiciels

L'autre intérêt de ce service est que nous mettons à jour ces logiciels, dans 2 ans, la version de firefox par exemple n'aura rien à voir avec la version actuelle ...

On l'a fait !

erics — Fri, 01 Jan 2010 15:29:00 +0100

Aucun détail de quoi ni comment et encore moins pourquoi mais c'est tout de même hyper important de laisser une trace ...

On est le 1er janvier 2010 ... et on l'a fait ! 2 ans 1/2 à bosser comme des fous mais on est là et je peux vous dire que ça va durer ! Merci à toutes celles et ceux qui ont crus en nous et qui nous ont soutenus, mis la main à la poche quand ça a été nécessaire et nous ont accompagnés durant ces deux années 1/2 de galères.

"Yes we can"

Changement de moteur pour la planete ?

erics — Wed, 30 Dec 2009 08:43:00 +0100

La planète a beaucoup de problèmes ... il faut avouer que le choix de l'outil n'a pas été simple. Mais avec la sortie de la version 0.3 de bilboplanet il semblerait que ça soit le bon moment pour changer.

Rappel des contraintes:

utiliser une base de données
outil en php/mysql
garder les archives de tout ce que la planete a fait suivre comme information
utilisation d'un skin "abuledu" pour avoir la même présentation graphique que tous les sites abuledu

Rappel des problèmes rencontrés:

Alors, dès que j'ai 10 minutes je teste bilboplanet pour voir ce que ça donne ... changements à venir sur http://planete.abuledu.org ? réponse d'ici quelques jours.

Il était une fois mutt, thunderbird et maildir

erics — Sun, 29 Nov 2009 11:57:00 +0100

Encore un truc de technicien mais l'information est bonne à prendre et surtout à diffuser.

Il y a plus de dix ans, quand j'ai commencé à avoir une boite mail sous linux (ça ne nous rajeunis pas tout ça brrrrr), je suis devenu totalement fan de mutt ... c'est un logiciel qui permet de lire et gérer ses mail sans interface graphique (dans la fenêtre de commande quoi en bref).

Les raisons qui fait que je suis devenu fan ?

impossible d'être plus rapide que mutt :p
tout au clavier (pas de souris, l'air de rien c'est un gain de temps incroyable)
une simple connexion ssh vers mon serveur et hop je peux bosser, lire et répondre à mes mails
le filtrage des mails entrant avec procmail, complément sympathique à mutt

Les limites ?

impossible de lire les pièces jointes facilement surtout si ce sont des images
il ne faut pas l'utiliser devant des clients ou amis si on ne veut pas leur faire peur

Source: http://commons.wikimedia.org/wiki/File:Mutt.png

Et puis le temps a passé, j'ai cessé d'utiliser mutt lors du passage de rycks à ryxéo. J'ai alors utilisé divers outils tels que evolution, balsa, sylpheed et finalement thunderbird.

Toute personne qui a changé plusieurs fois de logiciel de gestion de mail a du rencontrer le principal problème: comment garder ses mails quel que soit l'outil utilisé. Une réponse simple que nous utilisons depuis la création de ryxéo c'est d'utiliser les boites mail sous la forme "Maildir". Ainsi, quel que soit le logiciel utilisé on retrouve le contenu et l'historique.

Alors pourquoi je parle de tout ça, c'est simple: ayant un peu de temps à perdre (ou plutôt, ne voulant pas aller bosser ce matin), je me suis lancé dans la doc de mutt pour finalement tomber sur le site web suivant: http://www.elho.net/mutt/maildir/ qui m'a donné la solution pour que puisse à nouveau utiliser ponctuellement mutt lorsque j'en ai besoins.

En bref, les lignes minimales dont j'ai eu besoin pour mon ~/.muttrc:

set from="Eric Seigne <adresse email@truc.net>"
set signature="~/Mail/signatures/signatures.ryxeo"
set alias_file=~/Mail/mail_aliases
set mbox_type=Maildir
set folder="~/.Maildir"
set mask="!^\\.[^.]"
set mbox="~/.Maildir"
set record="+.Sent"
set postponed="+.Drafts"
set spoolfile="~/.Maildir"
mailboxes `echo -n "+ "; find ~/.Maildir -maxdepth 1 -type d -name ".*" -printf "+'%f' "`
macro index c "<change-folder>?<toggle-mailboxes>" "open a different folder"
macro pager c "<change-folder>?<toggle-mailboxes>" "open a different folder"
macro index C "<copy-message>?<toggle-mailboxes>" "copy a message to a mailbox"
macro index M "<save-message>?<toggle-mailboxes>" "move a message to a mailbox"
macro compose A "<attach-message>?<toggle-mailboxes>" "attach message(s) to this

Double boot 98/TX

erics — Sat, 21 Nov 2009 11:06:00 +0100

Ayant rencontré des ordinateurs avec un win98 et voulant les mettre en double amorçage pour proposer aux usager de tester ou utiliser les ordinateurs en terminaux légers je me suis rendu compte que la documentation du site abuledu était particulièrement longue et compliquée.

J'ai donc trouvé beaucoup plus simple et remis la doc à jour ... en découpant les cas de figure dans des pages différentes pour éviter de se trouver nez à nez avec une page super longue.

Transformer des fichiers OpenOffice en PDF en ligne de commande

erics — Thu, 19 Nov 2009 00:53:00 +0100

Ça fait des mois que j'en rêve un peu mais que je ne prends pas le temps de le faire ... et puis là ce soir j'ai eu le déclic au détours d'un blog qui parle d'un script ooo2pdf disponible sur le site officiel d'OpenOffice.org !

Créer des fichiers ODT depuis du code PHP je sais faire et j'en abuse depuis ... longtemps, merci beaucoup à odtPHP.

L'étape suivante c'est de convertir les fichiers ODT en fichiers PDF ... rien de plus simple:

Direction les outils d'OpenOffice.org
Téléchargez OOo2PDF
su - www-data
wget du fichier ooo2pdf
lancement d'OpenOffice (oui oui avec le compte www-data ou celui qui est utilisé par votre serveur web)
installation de l'extension
apt-get install xvfb
xvfb-run -a soffice -headless "macro:///exporter.Module1.Export2PDF(/tmp/toto.odt)"
modification du script ooo2pdf fournis dans le paquet pour ajouter le lancement de xvfb

Et c'est tout à moi les joies du lancement d'OpenOffice pour transformer mes odt en pdf ... je vous conseille tout de même de faire un peu attention à la charge système que ça va provoquer mais bon

Si vous trouvez que l'Éducation coûte cher ...

erics — Thu, 29 Oct 2009 00:22:00 +0100

Collé sur la porte de la directrice de l'École dans laquelle je bosse ces jours-ci ... no-comment, ça fait du bien parfois de lire ce genre de choses ! Merci Madame (la Directrice) pour cette bonne idée, Merci Monsieur (le Président) d'avoir posé par écris ces quelques mots !

La photo du jour: artichaut de bretagne

erics — Sat, 24 Oct 2009 00:55:00 +0200

Ça va sans doute vous sembler con mais ça y est j'ai vu mon 1er artichaut "en pied" :p

Firewall à 6 pattes :)

erics — Fri, 23 Oct 2009 23:53:00 +0200

Nous avons eu quelques petites évolutions dans l'infra du réseau RyXéo cette année et 2010 nous réserve d'autres aménagements sympathiques

Après le remplacement d'un firewall classique à deux pattes nous sommes maintenant équipés d'un nouveau qui possède pas moins de six pattes réseaux

Construit autour d'un Pentium4 assez basique et de 6 cartes classiques je garde en réserve une carte "quad" pour les futurs délires sécuritaires La charge système est tout a fait correcte, le P4 est quand même bien plus véloce que celui qui équipait notre précédent firewall (lors des gros transferts c'était un peu la cata). La distrib utilisée est pfsense que je vous recommande, il gère entre autre très bien les multi liens wan ... seul le module de trafic shaping me semble un peu trop léger.

Ça me laisse libre cours à mes idées de segmentation réseau qui sont assez basiques pour le moment:

dmz
ryxeo-lan
wifi
ryxeo-formation
ryxeo-direction
wan

Il faut dire qu'on s'est offert une baie serveur complète histoire d'accompagner la montée en charge de nos différents projets et d'internaliser un certain nombre de services. Et puis une belle occasion s'est présentée alors on a sauté sur l'occasion, ça fait maintenant plusieurs mois que c'est entré en production

Dernièrement un switch manageable (tous les ports en gigabit ethernet) sachant gérer des VLAN est arrivé ... histoire de remplacer les 4 switchs anciens-et-d'occasion (et dont deux plafonnaient à 10MBit). Une petite heure pour configurer les fameux VLAN, un port monitor pour superviser tous les flux réseaux (analyse, traitements) et hop on peut passer à l'étape suivante

Export des fichiers PDF de BaseEleve pour créer les comptes AbulÉdu

erics — Fri, 16 Oct 2009 11:19:00 +0200

Si vous n'avez pas la chance de pouvoir faire un export "cvs" des données de Base Elève comme c'est le cas pour moi dans les 2 écoles que j'ai équipé cette semaine, voici la pirouette que j'utilise ...

La directrice ou le directeur a les droits d'exporter les fichiers au format PDF ... de ce fichier PDF on peut le transformer en un fichier CSV a condition de mettre quelque peu les mains dans le cambouis. C'est toujours mieux que de re-taper la liste des 300 comptes à la main

1. installer les outils nécessaires

apt-get install poppler-utils

2. exporter le PDF en TEXT

pdftotext -raw FICHIER.pdf

3. ouvrir ce fichier avec un éditeur de texte (gedit) pour "rattraper" a la main les erreurs de conversions (par exemple sur les noms composés)

4. transformer brutalement ce fichier en un fichier CSV:

cat FICHIER.txt | sed s/" "/";"/ | sed s/"$"/";"/ | sed s/"\(.*\) \(.*\)"/"\1;\2"/ > FICHIER.csv

5. ouvrir ce fichier dans un tableur pour terminer le job ... ça simplifie pas mal le boulot non ? vous avez mieux à proposer ?

Ergonomie de la gestion des utilisateurs appliquée pour AbulÉdu 8.08

erics — Sat, 10 Oct 2009 15:26:00 +0200

Nos clients équipés de la version 8.08 ne sont pas en reste voici que l'interface de gestion des utilisateurs leur est proposée dans le cadre du contrat de mise à jour.

Pour bénéficier de cette interface améliorée vous devez juste faire une mise à jour et hop à vous les joies du nouveau webadmin-utilisateurs

AbulÉdu et les RPI ... une solution qui ne doit pas passer inaperçue :)

erics — Fri, 09 Oct 2009 09:38:00 +0200

Furtivement hier soir un petit paquet a été envoyé sur nos serveurs APT de mise à jour ... petit paquet contenant deux scripts particulièrement intéressants: la vampirisation au service des RPI

contexte

Quand un RPI est équipé d'une classe mobile il faut savoir que les ordinateurs portables sont potentiellement utilisés par n'importe quelle école membre du RPI. En plus de déplacer le meuble à roulette contenant les ordinateurs il faudrait aussi, dans le cadre d'AbulÉdu, déplacer le serveur ... ce qui n'est pas vraiment simple.

La solution est que chaque école a son serveur (un seul serveur pour les écoles serait possible à condition d'avoir une bande passante que ne permet pas encore les connexions adsl qu'on trouve en zone rurale). De même que chaque école a sa connexion internet.

Celà étant au niveau d'un réseau 100% linux ça ne pose pas vraiment de problème de déplacer un ordinateur d'un réseau à l'autre ... mais pour windows il faut savoir qu'un domaine comporte certaines caractéristiques uniques. Si vous installez 3 serveurs, les bases du domaine windows (identifiants) seront différents même s'ils sont tous trois serveur du domaine "ABULEDU" !

Si vous voulez pouvoir déplacer un poste d'un domaine abuledu à un autre il faut donc que les deux identifiants serveurs soient absolument identiques.

Et au passage il serait pas mal aussi de ne pas avoir à re-fixer les 12 postes sur le 2° serveur du RPI ... voir même sur le 3°

Mais ... la base des utilisateurs doit être différente pour chaque école.

C'est à ça que ce paquet s'attaque ! Transférer toutes les données "machines" et "imprimantes" d'un serveur vers un autre pour qu'on puisse prendre le portable du RPI et travailler sur n'importe lequel des serveurs en ayant la phase d'authentification "ouverture de session".

export

La 1ere chose à faire, une fois le 1er serveur installé, imprimante déployée, machines "fixées" c'est d'exporter toute ces données.

horizon-vampire-export

import

Ensuite, vous copiez le fichier tgz généré à l'étape "export" sur votre 2° serveur et vous lancez la commande.

horizon-vampire-import

Et c'est tout, vos ordinateurs portables peuvent maintenant "changer de réseau" en toute transparence.

Framakey et serveur AbulÉdu de démo

erics — Fri, 09 Oct 2009 00:17:00 +0200

Ça y est, je viens de mettre en place un serveur AbulÉdu de démonstration qui va nous permettre de "montrer" la framakey-abuledu ... j'ai un peu peur de faire exploser notre bande passante mais bon si ça arrive je fermerais ce serveur.

L'implémentation complète de cette solution repose sur une seule question: "quel est le niveau de sécurité acceptable ?".

Pourquoi se poser cette question ? tout simplement parce que ça fait des années que AbulÉdu est prêt pour proposer ce service de "bureau à distance": il suffit de suivre la documentation suivante mais ça implique un gros problème; les utilisateurs doivent être ajoutés dans le groupe remotessh et par effet de conséquence nous devons nous assurer que leur mot de passe est robuste.

Impossible ! Hé oui je peux vous assurer qu'on a tenté de faire un certain nombre de choses pour sécuriser les comptes ... mais sans succès, beaucoup trop d'utilisateurs ont un mot de passe faible.

Alors comment faire pour "ouvrir" les connexions distantes à "tous" les utilisateurs et en particulier aux enfants ?

La solution que j'ai mise en place se fait en deux temps:

1. Un serveur SSH dédié

Au niveau du serveur AbulÉdu on garde le serveur ssh et son groupe remotessh pour les administrateurs, ce groupe va donc prochainement disparaître de la liste des groupes disponibles sur webadmin histoire d'être certain que personne ne s'ajoutera par erreur dans ce groupe.

Ce serveur SSH ne sera pas directement accessible: le firewall n'aura pas le port en question d'ouvert.

Et enfin, ce serveur SSH ne permettra pas de faire autre chose que des tunnels distants ... ce qui est déjà pas mal. Donc hors de question d'imaginer faire un ssh en ligne de commande pour lancer des logiciels sur le serveur (ou installer des rootkits, robots, bots et autres merdes).

2. Un système de port-knocking

Maintenant, comme il est probable que l'enfant "eric.seigne" utilise "eric" comme mot de passe il est donc hors de question qu'il puisse se connecter à distance ... sinon au bout de quelques heures je suis certain que ce serveur sera utilisé par des pirates !

Alors comment faire ?

Configurer le serveur via l'interface webadmin de choisir une série de 4 ports qu'il faudra utiliser dans l'ordre pour que le serveur ouvre la connexion distante et autorise l'accès au cartable électronique.

C'est ce qu'on qualifie de sécurité acceptable.

3. Une application "utilisateur" super facile d'utilisation

Et enfin, hors de question de demander aux utilisateurs de lancer putty ou winscp et de configurer des trucs compliqués. Donc nous fournissons une application propre et toute intégrée qui se charge de faire le port-knocking et le lancement des tunnels ssh ...

Ça se présente soit sous la forme d'une clé usb "framakey" soit d'une application clé en main linux voir même mac.

La boucle est bouclée. Il reste maintenant à ... l'utiliser

Limites ?

Bien entendu il y a une limite ... la bande passante "montante" du serveur sur lequel vous vous connectez ... certes les tunnels ssh ne sont pas ce qu'on fait de mieux (encapsulation de protocoles), un "véritable" VPN aurait été mieux mais sa mise en oeuvre me semble trop compliquée compte tenu du contexte.

La planete begaye

erics — Wed, 07 Oct 2009 23:28:00 +0200

Comme indiqué il y a déjà plusieurs mois je pense avoir réglé ce problème ... en tout cas je l'espère !

De retour :)

erics — Fri, 02 Oct 2009 13:29:00 +0200

Un tout petit mot rapide pour vous annoncer que ce blog est de retour.

Après quelques jours de silences, ça y est mon serveur perso est de nouveau en ligne ... hé oui des "vacances" forcées pour ce petit serveur et surtout personne pour le rebooter après la coupure de courant !

Millau

erics — Sat, 26 Sep 2009 23:40:00 +0200

Tôt le matin, après quelques heures de routes, plongé dans la nostalgie des voyages en visa avec ma grand mère ... quelques musiques "de l'époque" envahissent ma mémoire pour finalement se confondre avec la radio, nous sommes en 2009, je roule sur les petites routes entre Albi et Millau ... ça ressemble furieusement aux routes de corrèze et mes souvenirs de 1990.

Finalement je débouche sur "le" viaduc.

Et j'enchaîne sur une demie-journée hors du temps, loin de tout, dans le calme et le silence. Seul regret: mon appareil photo me manque, je ne peux que vous proposer ces images ... issues d'une technologie dépassée :p

Amélioration de l'ajout des utilisateurs

erics — Sun, 16 Aug 2009 11:30:00 +0200

C'est l'amélioration de la journée une demande de plus d'un an qui n'a jamais été développée ...

L'idée est qu'on trouve une solution pour éviter qu'une personne ne se retrouve responsable et invité d'un groupe (gni !!!)

Et ensuite, que si on le souhaite on puisse faire apparaitre un menu complémentaire pour gérer les privilèges "étendus" pour la gestion des imprimantes etc.

Maintenant il reste à reprendre les étiquettes courtes pour les fameux noms des privilèges

Ça vous va comme ça ? il est encore temps d'apporter des modifications.