[résolu par KO]rsync: conservation user:group et droits

freddec · 11-02-2016 12:22:10

salut les Debian-Facilitateur

J'ai un petit soucis et je suis un peu sec là, j'aurai donc besoin de l'aide d'un barbu ...à poil long.
Une précision avant tout:
je suis réfèrent des applications métiers de mon laboratoire hospitalier, Debianeux à titre privé (barbu a poil [trés] court) depuis 10 ans mais PAS informaticien
J'ai donc pas mal de lacunes !
Mes droits au sein de mon établissement hospitalier sont sévèrement encadrés pas les "vrais" informaticiens (même si ils sont bien plus large que ceux d'une personne Lambda).

Voila mon problème:

Le contexte
- J'ai monté en 2011 pour mon boulot (Laboratoire du Centre Hospitalier) un site web uniquement disponible sur notre intranet à base de Debian-Squeeze, apache2, php, dokuwiki.
- Comme le site n'est pas accessible depuis l’extérieur, la Debian est restée en Squeeze. (En revanche Dokuwiki est a jours)
- Au départ il s'agissait juste d'offrir de l'information à nos collègues hospitaliers, donc un service sans grande prétention... puis le site s'est étoffé et fait maintenant partie de nos "outils métiers" +/- incontournables car très utilisés
- Depuis 2011 , il roule son petit chemin sans soucis (Normal, Debian est inoxydable ou presque !)

La situation actuelle
- Ma hiérarchie souhaite que désormais ce site soit accessible depuis l'extérieur pour nos clients/partenaires/infirmière-libérales.
- Je me suis donc tourné vers les services informatiques pour savoir comment ouvrir ce site vers l'extérieur tout en préservant sa sécurité.

La solution envisagée est la suivante:
- Monter un second serveur Web (SERVEUR-2) identique au premier (SERVEUR-1) , mais située de notre DMZ avec une Ip Publique, donc accessible depuis internet.
- Afin de ne pas avoir à maintenir les deux wiki: SERVEUR-2 sera synchronisé avec SERVEUR-1 via rsync et cron toutes les n heures.
- Ainsi en cas "attaque" sur le sites externe, il sera automatiquement remis en état par le rsync suivant

Contraintes techniques imposées par les SI
- Seuls les flux allant de SERVEUR-1 vers SERVEUR-2 sont autorisés (pas dans le sens inverse)
- Seuls les ports indispensables sont ouverts de SERVEUR-1 vers SERVEUR-2 (ssh, rsync et quelques autres)
- Je n'ai pas la main sur cet aspect des choses

La situation actuelle
- SERVEUR-2 est monté (Debian Jessie, apache2, PHP, dokuwiki)
- Les Flux et les port sont OK
- Le site n'est pas directement sous /var/www/html mais dans le /home/toto/sites/, un lien symbolique fait la jonction entre les 2 pour apache
- Un rsync manuel fonctionne ...presque !
- Le site est accessible depuis l'internet après correction de problème de droits (CF ci-dessous)

Mon problème
- Lorsque je lance la commande sudo rsync en manuel en tant qu’utilisateur "toto" de SERVEUR-1 vers SERVEUR-2, la synchro se fait bien, mais les user et groupe coté SERVEUR-2 ne sont pas conservés.
- Les fichiers transférés appartiennent ensuite à user= "toto" et groupe= "toto", alors qu'ils faut qu'il persistent à appartenir à www-data www-data.
- J'ai essayé plusieurs options de rsync, sans parvenir à mes fins

toto@SERVEUR1:~$ sudo rsync -vzrl -e "ssh -p 12345" /home/toto/SiteWeb toto@SERVEUR-2:/home/toto/sites 

et avec les options o et g (mais si j'ai bien compris le man, il ne faudrait pas)

toto@SERVEUR1:~$ sudo rsync -vzrlog -e "ssh -p 12345" /home/toto/SiteWeb toto@SERVEUR-2:/home/toto/sites

Si l'un d'entre vous a une idée pour que les users/groupe/droits ne sautent pas au passage de rsync
Ou si vous avez un moyen différent pour synchroniser SERVEUR-1 vers SErVEUR-2 (mais en respectant les contraintes fixées par les SI du Centre Hospitalier), je suis preneur

Merci à vous (déjà d'avoir pris le temps de lire ce post ! )

EDIT--11/02/16 15:30
avec la commande suivante, le groupe passe bien à www-data mais le user reste a "toto"

 sudo rsync  --owner=www-data --group=www-data -vzrl -e "ssh -p 12345" /home/toto/SiteWeb toto@SERVEUR-2:/home/toto/sites

J'ai fait des essais avec --fake-super et --rsync-path="rsync --fake-super" mais en vain

paskal · 11-02-2016 12:29:03

Bonjour freddec,

Je me demande si il est possible de lancer la commande en tant que user appartenant au groupe www-data (ce que j'ai en local).

freddec · 11-02-2016 13:23:07

salut Paskal

merci d'avoir pris le temps de me lire et de répondre.
L'utilisateur toto appartient déjà au groupe www-data sur les deux serveurs, donc cela ne suffit pas.

paskal · 11-02-2016 13:30:31

As-tu essayé quelque chose du genre :

sudo -g www-data rsync -vzrl -e "ssh -p 12345" /home/toto/SiteWeb toto@SERVEUR-2:/home/toto/sites 

Je ne sais pas si cette syntaxe est valable ...

paskal · 11-02-2016 14:13:37

J'ai fait cet essais :

sudo -g www-data mkdir essai

ls -l

drwxr-xr-x 2 moi www-data        6 févr. 11 14:06 essai

Ça vaut peut-être le coup d'essayer.

freddec · 11-02-2016 14:17:04

re, je viens de tester

 sudo rsync  --owner=www-data --group=www-data -vzrl -e "ssh -p 12345" /home/toto/SiteWeb toto@SERVEUR-2:/home/toto/sites

avec cela le groupe sur SERVEUR-2 est correct (www-data), mais le user reste à toto

J'ai également testé avec -o www-data (equiv à --owner=www-data), mais rien à faire

paskal · 11-02-2016 14:18:03

Il doit y avoir possibilité de "sudo -u titi", non ?

paskal · 11-02-2016 14:24:53

sudo -u www-data -g www-data mkdir essai

ls -l

drwxr-xr-x 2 www-data www-data 6 févr. 11 14:22 essai

freddec · 11-02-2016 14:26:04

paskal a écrit :

Il doit y avoir possibilité de "sudo -u titi", non ?

j'ai bien essayé avec sudo -u www-data rsync -o www-data etc ..., mais non

freddec · 11-02-2016 14:28:17

paskal a écrit :

sudo -u www-data -g www-data mkdir essai
ls -l
drwxr-xr-x 2 www-data www-data 6 févr. 11 14:22 essai

Certes, mais là tu es en local, moi le rsync se fait sur une machine distante au travers de ssh ... c'est cela qui coince

paskal · 11-02-2016 14:28:23

freddec a écrit :

re, je viens de tester

sudo rsync --owner=www-data --group=www-data -vzrl -e "ssh -p 12345" /home/toto/SiteWeb toto@SERVEUR-2:/home/toto/sites

avec cela le groupe sur SERVEUR-2 est correct (www-data), mais le user reste à toto

J'ai également testé avec -o www-data (equiv à --owner=www-data), mais rien à faire

Du coup :

sudo -u www-data -g www-data rsync -vzrl -e "ssh -p 12345" /home/toto/SiteWeb toto@SERVEUR-2:/home/toto/sites

paskal · 11-02-2016 14:28:53

Ah oui, bien vu pour local.

freddec · 12-02-2016 11:42:30

Un ch'ti UP si quelqu'un avait une idée, parceque là je suis vraiment sec et je sais plus où chercher.

J'ai bien touvé un tut dans le même genre
Mais dans ce tut le flux rsync est initié depuis la machine en DMZ (Serveur2) vers la machine en zone protégée (SERVEUR1).
Et ça mon admin réseau veut pas en entendre parler ...
Je sens que je vais les laisser se dem.... (d'autant que pour eux un Pingouin c'est un truc exotique qui marche sur la banquise et apt-get une langue extra-terrestre !! )

Voici le tuto, si il y en a a qui ça peut être utile ...
https://www.howtoforge.com/mirroring_with_rsync

Merci a ceux qui pourront m'aider
Freddec en mode #dépité

paskal · 12-02-2016 14:32:00

Peut-être des idées :
http://serverfault.com/questions/564385 … B4t-change
http://stackoverflow.com/questions/9586 … wned-files

freddec · 12-02-2016 15:37:43

Merci encore paskal

pour le premier lien:
http://serverfault.com/questions/564385 … B4t-change
La personne à la même problématique que moi, et la résout de la manière qui ne m'est pas possible, à savoir que c'est la machine de destination qui initie le rsync en viens chercher les données sur la machine sources => Ce que je ne peux pas faire

En revanche, le second lien m'apporte la réponse et la vie est mal faite ...
En fait rsync supporte deux options --usermap=string et --groupmap=string, elles même unifiées dans --chown=USER:GROUP, option que j'avais déjà essayé et qui m'insultent !!
Ton lien m'apporte la réponse
Ces options ne sont disponibles qu'a partir de la version 3.1.1 de rsync, hors la machine source est une squeeze avec un rsync en 3.0.7 .... Dooomaaage Eliane !

Les Options qu'il me reste
- Mettre à jour le serveur Squeeze vers Jessie (mais sur une machine en prod, c'est chaud)
- Remonter un nouveau serveur pour le refaire (Ca serait l'idéal, mais mes SI vont couiner si je leur demande une nouvelle VM ! je vais mettre cela au plan d’investissement 2017 !)
- Obtenir des SI de pouvoir initier le rsync depuis la machine en DMZ et non l'inverse (Négociation difficile en perspective ! mais je vais tenter le coups)
- faire sale ==> un cron qui remet le bon user toutes les n minutes:

 */n * * * *  /bin/chown -R www-data /home/toto/sites/MonSite

...Dans l'immédiat, je vais faire sale car c'est le plus simple pour moi !

Merci encore a toi, on n'a pas résolu le problème, mais on sait au moins pourquoi !!

Freddec, toujours en mode #dépité

paskal · 12-02-2016 17:49:17

freddec a écrit :

"Mettre à jour le serveur Squeeze vers Jessie (mais sur une machine en prod, c'est chaud)"

en fonction de la version de libc6 disponible sur ton architecture, migrer vers Wheezy et utiliser le rsync de Jessie ?
Si c'est du [arm64, ppc64el], c'est fichu.

paskal · 13-02-2016 12:22:58

Et chez moi (amd64), ça ne passe pas

:

apt-cache policy rsync

rsync:

  Installé : 3.0.9-4

  Candidat : 3.0.9-4

 Table de version :

     3.1.1-3 0

        150 http://ftp.fr.debian.org/debian/ jessie/main amd64 Packages

        100 http://ftp.fr.debian.org/debian/ sid/main amd64 Packages

 *** 3.0.9-4 0

        900 http://ftp.fr.debian.org/debian/ wheezy/main amd64 Packages

        100 /var/lib/dpkg/status

apt-get install -s rsync/jessie

Lecture des listes de paquets... Fait

Construction de l'arbre des dépendances       

Lecture des informations d'état... Fait

Version choisie « 3.1.1-3 » (Debian:8.3/stable, Debian:unstable [amd64]) pour « rsync »

Certains paquets ne peuvent être installés. Ceci peut signifier

que vous avez demandé l'impossible, ou bien, si vous utilisez

la distribution unstable, que certains paquets n'ont pas encore

été créés ou ne sont pas sortis d'Incoming.

L'information suivante devrait vous aider à résoudre la situation : 

Les paquets suivants contiennent des dépendances non satisfaites :

 rsync : Dépend: libc6 (>= 2.15) mais 2.13-38+deb7u8 devra être installé

E: Impossible de corriger les problèmes, des paquets défectueux sont en mode « garder en l'état ».

Mais j'ai peut-être un peu trop fait mumuse avec ce système ...

edit : j'avais mal lu, quelque soit l'architecture, la libc6 de Wheezy est insuffisante pour le rsync de Jessie.

Debian-facile

#1 11-02-2016 12:22:10

[résolu par KO]rsync: conservation user:group et droits

#2 11-02-2016 12:29:03

Re : [résolu par KO]rsync: conservation user:group et droits

#3 11-02-2016 13:23:07

Re : [résolu par KO]rsync: conservation user:group et droits

#4 11-02-2016 13:30:31

Re : [résolu par KO]rsync: conservation user:group et droits

#5 11-02-2016 14:13:37

Re : [résolu par KO]rsync: conservation user:group et droits

#6 11-02-2016 14:17:04

Re : [résolu par KO]rsync: conservation user:group et droits

#7 11-02-2016 14:18:03

Re : [résolu par KO]rsync: conservation user:group et droits

#8 11-02-2016 14:24:53

Re : [résolu par KO]rsync: conservation user:group et droits

#9 11-02-2016 14:26:04

Re : [résolu par KO]rsync: conservation user:group et droits

#10 11-02-2016 14:28:17

Re : [résolu par KO]rsync: conservation user:group et droits

#11 11-02-2016 14:28:23

Re : [résolu par KO]rsync: conservation user:group et droits

#12 11-02-2016 14:28:53

Re : [résolu par KO]rsync: conservation user:group et droits

#13 12-02-2016 11:42:30

Re : [résolu par KO]rsync: conservation user:group et droits

#14 12-02-2016 14:32:00

Re : [résolu par KO]rsync: conservation user:group et droits

#15 12-02-2016 15:37:43

Re : [résolu par KO]rsync: conservation user:group et droits

#16 12-02-2016 17:49:17

Re : [résolu par KO]rsync: conservation user:group et droits

#17 13-02-2016 12:22:58

Re : [résolu par KO]rsync: conservation user:group et droits

Pied de page des forums