Le 17/03/2016 07:23, Sappas a écrit : Benoit a raison, de nombreux /CMS/ sont multisites, du coup, pas besoin de réinventer la roue :-) Salutations ensoleillées, -- Véronique Fritière ~ Linux ? C'est le luxe ! Linuxazuréenne http://www.linux-azur.org Afulienne https://aful.org Chef de projet Multimédia http://webverow.com

Le 17/03/2016 09:41, Vincent a écrit : ../.. Piste : <URL:https://codex.wordpress.org/fr:Cr%C3%A9er_un_r%C3%A9seau> cela peut permettre aux débutants de travailler sur leur "site" sans casser le reste :-) Salutations ensoleillées, -- Véronique Fritière ~ Linux ? C'est le luxe ! Linuxazuréenne http://www.linux-azur.org Afulienne https://aful.org Chef de projet Multimédia http://webverow.com

salut je vois qu'une archi va se mettre en place pour du site web. voici ce que je fais (en amateur dans l'asso que je gère) afin de mettre en place un serveur multi admins et multi utilisateurs. peu importe le cms utilisé, c'est juste de l'admin sys. la premiere chose que je fais est de changer le port ssh et interdire l'acces par mot de passe (clef obligatoire). bien sur j'installe fail2ban tout en lui disant que le port ssh a changé. il est aussi possible de restreindre l'acces à la machine à tout ce qui est autre que ssh et http en utilisant iptables. ensuite : 1/ j'installe sudo et ajoute les admins potentiels dans le groupe sudo 2/ je cree une clef ssh pour root 3/ je crée un dépot git privé sur framagit (ou autre) et y mets la clef publique de root 4/ dans /opt je cree un dossier qui contiendra tout ce qui sera sauvé sur ce dépot en partant du nom de la machine donc si la machine s'appelle toto, je cree /opt/toto 5/ tout fichier de conf que j'édite, je le copie d'abord en .bak par exemple, /etc/nginx/nginx.conf est copié en /etc/nginx/nginx.conf.bak 6/ tout fichier de conf que j'edite est déplacé dans /opt/toto en respectant l'arborescence de /etc par exemple /etc/nginx/nginx.conf est déplacé vers /opt/toto/etc/nginx/nginx.conf 7/ je crée un lien symbolique du fichier de /opt/toto vers l'emplacement definitif par exemple : "ln -s /opt/toto/etc/nginx/nginx.conf /etc/nginx/" ce mecanisme permet de revisionner les fichiers de conf et si on veut savoir qui a modifié quoi, il est possible d'ajouter les clefs publiques de chaque personne faisant partie d'un groupe ayant les droits de modifier les fichiers dans /opt/toto rien n'empeche de revisionner directement /etc sans passer par un dossier intermédiaire mais avec ma technique, je vois de suite ce qui a seulement été modifié. si on ne veut pas passer par un hebergeur de dépot tiers, on peut tres bien utiliser un "git init --bare". pour les sites web, je crée un dossier www dans la home de chaque utilisateur. j'utilise ensuite le chroot par sftp dans la config de ssh en verrouillant l'utilisateur dans son dossier www (il n'a pas le droit de se connecter en ssh mais peut seulement accéder à son www par sftp et ne voit rien d'autre) (on peut permettre à sftp d'utiliser les mots de passe tout en interdisant l'acces par mot de passe par ssh comme vu au debut). ce dossier www a une hierarchie spécifique : /home/user/www/domaine.du.site.com ce qui permet d'heberger plusieurs sites avec des domaines différents sous le meme utilisateur. puis /home/monuser/www/domaine.du.site.com/etc qui contient les fichiers de config du site (vhost) et autre fichier de conf nécéssaire à ce site. /home/monuser/www/domaine.du.site.com/htdocs qui contient les fichiers publics du site /home/monuser/www/domaine.du.site.com/log qui contient les logs du site /home/monuser/www/domaine.du.site.com/backups qui contient les backups eventuels bien sur, dans le vhost on pointera vers le dossier htdocs en lui demandant de mettre les logs dans log. seul ce dossier est accessible en modifications à l'utilisateur (etc et log appartiennent à root). on pourrait aussi d'ailleurs verouiller l'utilisateur dans le dossier htdocs mais je prefere monter plus haut comme ça il peut lire la config et les logs de tous ses sites. un lien symbolique est créé du fichier vhost vers le serveur web : "ln -s /home/monuser/www/domaine.du.site.com/etc/domaine.du.site.com /etc/nginx/sites-enabled/" avec cette config, il faut que l'utilisateur www-data ait acces en ecriture à certains dossiers donc je fais un "chown monuser:www-data htdocs" puis un "chmod 2775 htdocs" avant d'y ajouter des fichiers. je me suis fait un script dans un coin qui change les droits sur les dossiers et fichiers de htdocs : https://wiki.ssm2017.com/chmod-www ce script passe tous les fichiers en 664 et dossiers en 2775 (il est bien sur possible de le lancer par cron et granulariser les droits selon les dossiers). le 2 devant le 775 permet de garder le meme groupe lors de la creation d'un dossier ou fichier enfant. pour les backups, je crée un fichier /root/.my.cnf qui contient le login et pass du root mysql (bien sur, faire un "chmod 600" sur ce fichier. ensuite, je me suis fait un script de backup lancé par cron qui scanne les dossiers des users en cherchant les domaines en www et fait un targz du dossier htdocs puis un mysqldump de la base correspondante sachant que le nom de la base est le meme que le domaine en remplacant les points par des underscores. (domaine.du.site.com = domaine_du_site_com) je crois n'avoir rien oublié... bon courage :) 2016-03-17 9:48 GMT+01:00 Sappas &lt;sappas(a)free.fr&gt;fr>:

le systeme dont je parle est de mettre plusieurs sites par utilisateur et (avec le systeme de dossier /opt/toto par git ) la gestion de la machine en multi admins avec revision sur les fichiers de config de la machine. bien sûr que pour les besoins demandés, un site wordpress en mode "network" ou bien un drupal en multisites est ce dont vous avez besoin, et l'un n'empeche pas l'autre (avoir un multisites wordpress ou drupal géré par un seul utilisateur machine et tous les blogs administrables seulement depuis le web). la machine peut être gérée par un admin sys et le site web et ses sous dossiers par un intégrateur cms qui a juste besoin de pouvoir uploader des plugins/modules ou themes. je ne propose pas de le faire mais indique que c'est possible. si l'utilisateur sftp est capable de gérer des clefs ssh, il est recommandé de le faire mais certains utilisateurs (souvent ceux utilisant un systeme d'exploitation dont je tairai le nom) ont du mal avec ces mecanismes donc l'authentification par mot de passe simplifie les choses. bien sûr, le mot de passe est envoyé en clair sur le réseau mais ces acces sftp donnent seulement la possibilité de lire ou écrire dans un seul dossier sans pouvoir exécuter de commande ni permettre l'acces en ssh. ces utilisateurs sftp peuvent aussi utiliser une clef si possible. par contre, les utilisateurs ayant acces à ssh ont l'obligation d'utiliser une clef ne les empechant pas non plus d'avoir acces à la machine en sftp mais sans restriction ni enfermement dans un dossier. Bonne journée, de même Seb :)

Le 18/03/2016 09:47, Véronique Fritière a écrit : Pour ma part j'utilise gftp avec le protocole SSH2, en décochant l'option 'utiliser User/Pass' dans l'onglet SSH. Je me connecte donc, en graphique, en authentifié par clé. Évidemment, je ne peux le faire que sur les machines possédant la clé SSH.

bien sûr, un utilisateur etant patient peut y arriver et pour les plus aguerris il est meme possible de leur donner un acces ssh (sans sudo) et pourquoi pas de lui poser un "drush" (pour drupal) ou meme un "composer" si il veut jouer avec laravel ou symfony et tout cela au niveau utilisateur (apres c'est une question de confiance).

Le 18/03/2016 09:47, Véronique Fritière a écrit : ou mieux si on a KDE. à partir du navigateur de fichier: fish://nom_ou_ip_d-une_machine-aynant-un-sshd-actif et on accède aux fichiers distants dans le naviggateur, on peut ensuite les bouger à la souris sans problème. merci au "reuse" du C++. JPB

2016-03-18 14:55 GMT+01:00 Vincent &lt;dubsv(a)free.fr&gt;fr>: si vous parlez de l'edition de fichiers distants par sftp attention à l'editeur choisi (gedit par exemple me remplace les liens symboliques par le fichier en dur....) en utilisant sftp dans thunar ou autre navigateur de fichiers, certaines editeurs ont parfois du mal (comme sublime text) alors, j'ai installé "fuse" puis "sshfs" qui me permet de monter simplement un dossier distant dans un dossier local donc apres les editeurs voient des fichiers locaux. exemple de commande pour monter : sshfs 192.168.1.2:. /mnt/mondossier