g2/enervision
Watch
8
1
Fork
You've already forked enervision
 0
Code Issues 9 Pull requests Projects 1 Releases Packages Wiki Activity Actions

infra: rouvre les comptes nominatifs au durcissement SSH #91

Merged
justine merged 1 commit from lenaic/0-comptes-nominatifs-ssh into develop 2026-09-02 14:24:36 +00:00
Conversation 1 Commits 1 Files changed 1 +17 -2
lenaic commented 2026-09-02 14:21:40 +00:00
Owner
Copy link

AllowUsers ne portait que deploy. Au premier passage du playbook, les six comptes nominatifs se sont retrouvés fermés : tout le monde entre désormais sous deploy, qui est membre du groupe docker et donc équivalent à root.

L'ENF-15 demande qu'une action puisse être rattachée à une personne. Six personnes derrière un même compte ne le permettent pas, et c'est exactement le défaut du compte root partagé que ce rôle est censé corriger.

Ce que ça change

Les six prénoms rejoignent deploy dans la liste. PermitRootLogin no et l'interdiction du mot de passe restent en place, ce sont eux qui font le durcissement.

LogLevel VERBOSE journalise l'empreinte de clé à chaque connexion, ce qui donne l'attribution même sous un compte partagé. C'est un filet, pas un remplacement.

Déjà appliqué sur le serveur

La correction est posée sur /etc/ssh/sshd_config.d/10-enervision.conf, configuration validée avant rechargement, sauvegarde de l'ancienne à côté. ssh <prénom>@10.105.200.41 refonctionne.

Cette demande sert à ce que le prochain passage du playbook ne l'écrase pas.

`AllowUsers` ne portait que `deploy`. Au premier passage du playbook, les six comptes nominatifs se sont retrouvés fermés : tout le monde entre désormais sous `deploy`, qui est membre du groupe `docker` et donc équivalent à root. L'ENF-15 demande qu'une action puisse être rattachée à une personne. Six personnes derrière un même compte ne le permettent pas, et c'est exactement le défaut du compte root partagé que ce rôle est censé corriger. ## Ce que ça change Les six prénoms rejoignent `deploy` dans la liste. `PermitRootLogin no` et l'interdiction du mot de passe restent en place, ce sont eux qui font le durcissement. `LogLevel VERBOSE` journalise l'empreinte de clé à chaque connexion, ce qui donne l'attribution même sous un compte partagé. C'est un filet, pas un remplacement. ## Déjà appliqué sur le serveur La correction est posée sur `/etc/ssh/sshd_config.d/10-enervision.conf`, configuration validée avant rechargement, sauvegarde de l'ancienne à côté. `ssh <prénom>@10.105.200.41` refonctionne. Cette demande sert à ce que le prochain passage du playbook ne l'écrase pas.
infra: rouvre les comptes nominatifs au durcissement SSH
All checks were successful
Intégration / Qualité du code Python (pull_request) Successful in 11s
Details
Intégration / Tests unitaires et couverture (pull_request) Successful in 11s
Details
Intégration / Dépendances du tableau de bord (pull_request) Successful in 9s
Details
Intégration / Images épinglées par version (pull_request) Successful in 3s
Details
Intégration / Aucun secret commité (pull_request) Successful in 3s
Details
Intégration / Dépendances Python et inventaire applicatif (pull_request) Successful in 45s
Details
Infra Ansible / Playbooks Ansible valides (pull_request) Successful in 58s
Details
3494f45f42 
AllowUsers ne portait que deploy, ce qui a fermé les six comptes
nominatifs au premier passage du playbook. Six personnes se connectant
sous un même compte, membre du groupe docker donc équivalent root,
l'attribution demandée par l'ENF-15 n'est plus tenue.

Le durcissement visait à corriger le compte root partagé ; il l'avait
remplacé par un autre compte partagé.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01FV7c79LKqDU5KrbkQGteaB
lenaic force-pushed lenaic/0-comptes-nominatifs-ssh from 3494f45f42
All checks were successful
Intégration / Qualité du code Python (pull_request) Successful in 11s
Details
Intégration / Tests unitaires et couverture (pull_request) Successful in 11s
Details
Intégration / Dépendances du tableau de bord (pull_request) Successful in 9s
Details
Intégration / Images épinglées par version (pull_request) Successful in 3s
Details
Intégration / Aucun secret commité (pull_request) Successful in 3s
Details
Intégration / Dépendances Python et inventaire applicatif (pull_request) Successful in 45s
Details
Infra Ansible / Playbooks Ansible valides (pull_request) Successful in 58s
Details
to 2f078888e0
All checks were successful
Intégration / Qualité du code Python (pull_request) Successful in 11s
Details
Intégration / Tests unitaires et couverture (pull_request) Successful in 11s
Details
Intégration / Dépendances du tableau de bord (pull_request) Successful in 7s
Details
Intégration / Images épinglées par version (pull_request) Successful in 3s
Details
Intégration / Aucun secret commité (pull_request) Successful in 2s
Details
Intégration / Dépendances Python et inventaire applicatif (pull_request) Successful in 46s
Details
Infra Ansible / Playbooks Ansible valides (pull_request) Successful in 59s
Details
2026-09-02 14:23:17 +00:00 Compare
lenaic requested review from justine 2026-09-02 14:23:58 +00:00
justine approved these changes 2026-09-02 14:24:32 +00:00
justine merged commit 9c7741dfd0 into develop 2026-09-02 14:24:36 +00:00
justine deleted branch lenaic/0-comptes-nominatifs-ssh 2026-09-02 14:24:36 +00:00
Sign in to join this conversation.
Reviewers
No reviewers
justine
Labels
Clear labels   
Compat/Breaking
Breaking change that won't be backward compatible

  
EC01
Preuve pour l'épreuve Architecture

  
EC02
Preuve pour l'épreuve Management

  
EC03
Preuve pour l'épreuve CI/CD

  
EC04
Preuve pour l'épreuve Cloud

  
EC05
Preuve pour l'épreuve Data et BI

  
EC06
Preuve pour l'épreuve IA

  
Kind/BDD
BDD

  
Kind/Back
Back

  
Kind/Bug
Something is not working

  
Kind/CICD
CICD

  
Kind/Cloud
Cloud

  
Kind/Contenu
Contenu

  
Kind/Data
Data

  
Kind/Documentation
Documentation changes

  
Kind/Enhancement
Improve existing functionality

  
Kind/Feature
New functionality

  
Kind/Front
Front

  
Kind/IA
IA

  
Kind/Infra
Serveur, déploiement, chaîne, supervision

  
Kind/Monitoring
Monitoring

  
Kind/Security
This is security issue

  
Kind/Testing
Issue or pull request related to testing

  
Portée/Post-jury
Périmètre documenté, hors de la fenêtre du 11/09. Repris après le jury. Rien nest supprimé.

  
Priority
Critical
 The priority is critical

  
Priority
High
 The priority is high

  
Priority
Low
 The priority is low

  
Priority
Medium
 The priority is medium

  
Reviewed
Confirmed
 Issue has been confirmed

  
Reviewed
Duplicate
 This issue or pull request already exists

  
Reviewed
Invalid
 Invalid issue

  
Reviewed
Won't Fix
 This issue won't be fixed

  
Status
Abandoned
 Somebody has started to work on this but abandoned work

  
Status
Blocked
 Something is blocking this issue or pull request

  
Status
Need More Info
 Feedback is required to reproduce issue or to continue work

  
ops/alerte
Alerte d'exploitation (relais Grafana, #42)

No labels
Compat/Breaking
EC01
EC02
EC03
EC04
EC05
EC06
Kind/BDD
Kind/Back
Kind/Bug
Kind/CICD
Kind/Cloud
Kind/Contenu
Kind/Data
Kind/Documentation
Kind/Enhancement
Kind/Feature
Kind/Front
Kind/IA
Kind/Infra
Kind/Monitoring
Kind/Security
Kind/Testing
Portée/Post-jury
Priority
Critical
Priority
High
Priority
Low
Priority
Medium
Reviewed
Confirmed
Reviewed
Duplicate
Reviewed
Invalid
Reviewed
Won't Fix
Status
Abandoned
Status
Blocked
Status
Need More Info
ops/alerte
Milestone
Clear milestone
No items
No milestone
Projects
Clear projects
No items
No project
Assignees
Clear assignees
No assignees
2 participants
Notifications
Due date
The due date is invalid or out of range. Please use the format "yyyy-mm-dd".

No due date set.

Dependencies

No dependencies set

Reference
g2/enervision!91
No description provided.