Page de recherche dans les notes du jardin numérique de Stéphane Klein

Alexandre m'a partagé le projet Grafana Tanka.

Flexible, reusable and concise configuration for Kubernetes.

Je découvre ce thread Hacker News que je n'ai pas pris le temps de lire : Tanka: Our way of deploying to Kubernetes.

#JaiLu Why not Helm?.

Dans cette note, je souhaite présenter ma doctrine de mise à jour d'OS de serveurs.

Je ne traiterai pas ici de la stratégie d'upgrade pour un Cluster Kubernetes.

La mise à jour d'un serveur, par exemple, sous un OS Ubuntu LTS, peut être effectuée avec les commandes suivantes :

sudo apt upgrade -y
ou sudo apt dist-upgrade -y (plus risqué)
ou sudo do-release-upgrade (encore plus risqué)

L'exécution d'un sudo apt upgrade -y peut :

Installer une mise à jour de docker, entraînant une interruption des services sur ce serveur de quelques secondes à quelques minutes.
Installer une mise à jour de sécurité du kernel, nécessitant alors un redémarrage du serveur, ce qui entraînera une coupure de quelques minutes.

Une montée de version de l'OS via sudo do-release-upgrade peut prendre encore plus de temps et impliquer des ajustements supplémentaires.

Bien que ces opérations se déroulent généralement sans encombre, il n'y a jamais de certitude totale, comme l'illustre l'exemple de la Panne informatique mondiale de juillet 2024.

Sachant cela, avant d'effectuer la mise à jour d'un serveur, j'essaie de déterminer quelles seraient les conséquences d'une coupure d'une journée de ce serveur.

Si je considère que ce risque de coupure est inacceptable ou ne serait pas accepté, j'applique alors la méthode suivante pour réaliser mon upgrade.

Je n'effectue pas la mise à jour le serveur existant. À la place, je déploie un nouveau serveur en utilisant mes scripts automatisés d'Infrastructure as code / GitOps.

C'est pourquoi je préfère éviter de nommer les serveurs d'après le service spécifique qu'ils hébergent (voir aussi Pets vs Cattle). Par exemple, au lieu de nommer un serveur gitlab.servers.example.com, je vais le nommer server1.servers.example.com et configurer gitlab.servers.example.com pour pointer vers server1.servers.example.com.

Ainsi, en cas de mise à jour de server1.servers.example.com, je crée un nouveau serveur nommé server(n+1).servers.example.com.

Ensuite, je lance les scripts de déploiement des services qui étaient présents sur server1.servers.example.com.

Idéalement, j'utilise mes scripts de restauration des données depuis les sauvegardes des services de server1.servers.example.com, ce qui me permet de vérifier leur bon fonctionnement. Ensuite, je prépare des scripts rsync pour synchroniser rapidement les volumes entre server1.servers.example.com et server(n+1).servers.example.com.

Je teste que tout fonctionne bien sur server(n+1).servers.example.com.

Si tout fonctionne correctement, alors :

J'arrête les services sur server(n+1).servers.example.com ;
J'exécute le script de synchronisation rsync de server1.servers.example.com vers server(n+1).servers.example.com ;
Je relance les services sur server(n+1).servers.example.com
Je modifie la configuration DNS pour faire pointer les services de server1.servers.example.com vers server(n+1).servers.example.com
Quelques jours après cette intervention, je décommissionne server1.servers.example.com.

Cette méthode est plus longue et plus complexe qu'une mise à jour directe de l'OS sur le server1.servers.example.com, mais elle présente plusieurs avantages :

Une grande sécurité ;
L'opération peut être faite tranquillement, sans stress, avec de la qualité ;
Une durée de coupure limitée et maîtrisée ;
La possibilité de confier la tâche en toute sécurité à un nouveau DevOps ;
La garantie du bon fonctionnement des scripts de déploiement automatisé ;
La vérification de l'efficacité des scripts de restauration des sauvegardes ;
Un test concret des scripts et de la documentation du Plan de reprise d'activité.

Si le serveur à mettre à jour fonctionne sur une Virtual instance, il est également possible de cloner la VM et de tester la mise à niveau. Cependant, je préfère éviter cette méthode, car elle ne permet pas de valider l'efficacité des scripts de déploiement.

#JeMeDemande souvent comment nommer la méthode permettant d'installer des applications de manière scriptée.

Lorsque je recherche cette fonctionnalité, j'utilise généralement les mots-clés : "headless", "script", "cli".

Je constate que la roadmap de Proxmox utilise le terme « automated and unattended installation » :

Support for automated and unattended installation of Proxmox VE.

-- from

#JaiPublié cette question dans la section discussion du projet Plausible : Plausible automated and unattended installation support (create user and web site by script) · plausible/analytics.

#JaiLu la page Wikipedia de Teleport.

Je pense que cela fait plus de 5 ans que #JeSouhaiteTester cet outil.

#JaiDécouvert SOPS: Secrets OPerationS #JeSouhaiteTester .

Je cherche depuis plusieurs années une solution pour surveiller la date d'expiration des noms de domaine en analysant le contenu de Whois.

#JaiDécouvert cet exporter Prometheus qui correspond exactement à mon besoin : https://github.com/shift/domain_exporter

En examinant l'historique du projet, je constate qu'il a été lancé en 2017. Il me semble pourtant avoir recherché ce type d'exporter en 2019 sans le trouver. Peut-être n'était-il pas encore assez mature à ce moment-là 🤔.

J'ai identifié aussi les projets suivants :

https://github.com/casnerano/domain-exporter qui semble confidentiel et moins complet, peut-être un simple POC ;
https://github.com/sorrowless/whois-exporter écrit en Python avec un seul commit... Peut-être que son auteur n'avait pas connaissance de https://github.com/shift/domain_exporter 🤔.

Pour le moment, je n'ai pas encore trouvé de dashboards Grafana pour cet exporter.

Note de type snippets concernant docker compose et l'utilisation de la fonctionnalité healthcheck et depends_on.

Cette méthode évite que le service webapp démarre avant que les services postgres et redis soient prêts.

# Fichier docker-composexyml
services:
    postgres:
        image: postgres:16
        ...
        healthcheck:
            test: ["CMD", "sh", "-c", "pg_isready -U $$POSTGRES_USER -h $$(hostname -i)"]
            interval: 10s
            start_period: 30s

	redis:
	    image: redis:7
	    ...
	    healthcheck:
	      test: ["CMD", "redis-cli", "ping"]
	      timeout: 10s
	      retries: 3
	      start_period: 10s

    webapp:
	    image: ...
        depends_on:
            postgres:
                condition: service_healthy
            redis:
                condition: service_healthy

Ici la commande :

$ docker compose up -d webapp

s'assure du lancement de ses dépendances, les services postgres et redis.

De plus, si le Dockerfile du service webapp contient par exemple :

# Fichier Dockerfile
...
RUN apt update -y; apt install -y curl
...
HEALTHCHECK --interval=30s --timeout=10s --retries=3 CMD curl --fail http://localhost:3000 || exit 1

Alors, je peux lancer webapp avec :

$ docker compose up -d webapp --wait

Avec l'option --wait docker compose "rend la main" lorsque le service webapp est prêt à recevoir des requêtes.

Ressources :

Je viens de créer Projet 12 - "Implémentation nodemailer-scaleway-transport".

Je viens d'apprendre que l'option -N de ssh permet de ne pas ouvrir une session shell interactive sur le serveur distant.

Option très utile lors de l'ouverture de tunnels ssh.

Exemple :

ssh -L 8080:localhost:80 user@host -N

Pour des raisons Developer eXperience — convivialité — j'apprécie d'avoir la possibilité de me connecter facilement à un serveur PostgreSQL distant, par exemple, pour :

Simplement ouvrir un terminal interactif psql ;
Exécuter un fichier SQL local sur un serveur distant ;
Exécuter un script local, Python, JavaScript ou autre sur un serveur distant.

Cependant, par choix déontologique, je préfère ne jamais ouvrir PostgreSQL sur l'extérieur.
Je me limite à ouvrir uniquement les services SSH et HTTP sur l'extérieur.

Pour contourner cette limitation, j'utilise des tunnels SSH pour accéder à mes serveurs PostgreSQL distants.

Dans ce dossier /deployment/develop, voici mes scripts idiosyncrasiques que j'ai l'habitude d'utiliser pour ouvrir ou fermer mes tunnels SSH :

Voici un exemple d'utilisation :

$ ./scripts/open_ssh_tunnel_postgres.sh
$ ./scripts/enter-in-pg.sh ../../init.sql
$ ../../import.js
$ ./scripts/close_ssh_tunnel_postgres.sh

Dans les scripts open_ssh_tunnel_postgres.sh et close_ssh_tunnel_postgres.sh, j'utilise simplement nohup pour exécuter ssh en tâche de fond et récuperer son PID.

#JaiDécouvert direnv : Automating development environment set-up with Direnv.

A utility for managing Jsonnet dashboards against the Grafana API .

Site officiel : https://grafana.github.io/grizzly/

Dépôt GitHub : https://github.com/grafana/grizzly/

Modern load testing for developers and testers in the DevOps era.

https://github.com/grafana/k6

Gotify est un logiciel de Messagerie push.

A simple server for sending and receiving messages in real-time per WebSocket. (Includes a sleek web-ui)

Site officiel : https://gotify.net/

Dépôt GitHub : https://github.com/gotify/server

Voir aussi : ntfy

https://www.gitops.tech/

Autre article intéressant au sujet de GitOps par Quentin Joly : https://une-tasse-de.cafe/blog/argocd/

[ ] https://github.com/bunkerity/bunkerweb

Date de création de cette note : 2024-10-11.

Quel est l'objectif de ce projet ?

Je souhaite implémenter et publier un projet de "référence", de type skeleton, dont la fonction est d'installer les éléments de base d'un serveur Ubuntu LTS sécurisé.

Comme point de départ, je peux utiliser mon repository poc-bash-ssh-docker-deployement-example et le faire évoluer.

Le script _install_basic_server_configuration.sh se contente d'installer Docker.

J'aimerais y intégrer les recommandations présentes dans l'excellent article "Securing A Linux Server".

J'aimerais, entre autres, ajouter les fonctionnalités suivantes :

[x] Amélioration de la configuration de OpenSSH ;
[x] Installation et configuration de ufw ;
[x] Mise en place de ipsum ;
[x] Installation et configuration de fail2ban ;
[x] Système d'installation / suppression de clés ssh ;
[x] En option : installation et configuration de node exporter ;
[x] En option : installation et configuration de l'envoi des logs de journald et Docker vers Loki en utilisatant Promtail (~~installation et configuration de l'envoi des logs de journald vers Loki en utilisant Vector~~) ;
[x] En option : installation de configuration de Grafana ; avec Grizzly configuration des dashboards
- [x] des logs et
- [x] metrics des serveurs
[x] En option : installer et configurer apticron pour envoyer un message dans les logs dès qu'un package de sécurité doit être installé.
- [x] Génération d'une alerte Grafana si une mise à jour de sécurité doit être installé
[x] En option : envoie de notification sur smartphone en cas d'alerte Grafana, via ntfy
[ ] En option : installation et configuration de Linux Audit ;

Le repository doit présenter cette installation :

[x] via Vagrant
[ ] sur un Virtual machine Scaleway avec Terraform

Repository de ce projet :

basic_ubuntu_server_install_playground

Ressources :

https://github.com/getsops/sops

Site officiel : https://www.proxmox.com

Documentation officielle : https://pve.proxmox.com/pve-docs/index.html

Liste de toutes les pages du wiki officiel : https://pve.proxmox.com/wiki/Special:AllPages

Le forum officiel : https://forum.proxmox.com/

Site web : https://people.redhat.com/sgrubb/audit/

GitHub : https://github.com/linux-audit/audit-userspace

Article Wikipedia : https://en.wikipedia.org/wiki/Let's_Encrypt

https://fr.wikipedia.org/wiki/Fail2ban

Dépôt GitHub : https://github.com/canonical/cloud-init

Dépôt GitHub : https://github.com/hairyhenderson/gomplate

https://docs.ssi.sh/

Alternative à ngrok.

Grafana k6

Dépôt GitHub : https://github.com/stephane-klein/vagrant-virtualbox-fedora

Dépôt GitHub : https://github.com/testssl/testssl.sh

https://github.com/ansible/terraform-provider-ansible/

Article Wikipedia : https://en.wikipedia.org/wiki/Rolling_release

Article Wikipedia : https://fr.wikipedia.org/wiki/Puppet

Article Wikipedia : https://fr.wikipedia.org/wiki/Chef_(logiciel)

Outil de Continuous Integration et Continuous Delivery.

Documentation officielle : https://docs.gitlab.com/ee/ci/

Article Wikipedia : https://en.wikipedia.org/wiki/Salt_(software)

Dépôt GitHub : https://github.com/rundeck/rundeck

cAdvisor est un Prometheus exporter pour exposer les metrics de Docker.

Dépôt officiel : https://github.com/google/cadvisor

Dépôt GitHub : https://github.com/louislam/dockge

https://github.com/topics/hardening

Dépôt GitHub : https://github.com/hashicorp/terraform

Object Storage est généralement un service "cloud" de stockage qui permet de stocker des fichiers dans une structure plate, basée sur des IDs.
Object Storage permet de stocker une quantité de données quasi illimitée et un accès via une API REST.
L'API Amazon S3 s'est imposée comme la norme de facto dans ce domaine. Par abus de langage, la majorité des personnes utilisent le terme "stockage S3" à la place de Object Storage.
À ma connaissance, tous les services d'Object Storage proposent une API compatible S3.

Amazon S3
Backblaze
Scaleway Object Storage
Storj
Azure Blob Storage
Minio (solution self hosted)
Azurite (uniquement en mode développement)
Ceph via RADOS (solution self hosted)

Documentation object lock de Scaleway Object Storage : https://www.scaleway.com/en/docs/object-storage/api-cli/object-lock/#:~:text=The object lock,provides regulatory compliance

Article Wikipedia : https://fr.wikipedia.org/wiki/Docker_(logiciel)