Un monde d'octets

Node Exporter Full with Node Name (10242)

vault

Installation

Sous ubuntu, vault s'installe avec snap (comme beaucoup de produits hashicorp)

# snap install vault 

Démarrer un serveur de test sans https

# vault server -dev 
# export VAULT_ADDR='http://127.0.0.1:8200'

il faut positionner l'environnement pour dialoguer en http, sinon nous auront une erreur http over https. vault considère son adresse par default comme https://127.0.0.1:8200/

# vault status 

Key             Value
---             -----
Seal Type       shamir
Initialized     true
Sealed          false
Total Shares    1
Threshold       1
Version         1.1.1
Cluster Name    vault-cluster-7640183a
Cluster ID      1cbdf2eb-c7ec-633d-c398-e9fa3333c7d3
HA Enabled      false

Il pourra être intéressant d'avoir un cluster vault pour éviter les SPOF

Création d'une key/value

# vault kv put secret/basket login=admin
Key              Value
---              -----
created_time     2020-06-05T08:13:16.165816113Z
deletion_time    n/a
destroyed        false
version          1

# vault kv put secret/basket password=poweruser

Key              Value
---              -----
created_time     2020-06-05T08:13:30.598469939Z
deletion_time    n/a
destroyed        false
version          2

le piege est que basket est en fait versionné. Si nous faisons ces deux commandes successivement, nous notons que seul le password de stocké, et a écrasé l'ancien secret. Il faut donc, soit passer les deux k/v sur la même commande, soit utiliser un fichier pour importer nos k/v.

#vault kv put secret/basket @basket-secrets.json

ou basket-secrets.json est un json contenant nos k/v :

{
  "username":"admin",
  "password":"poweruser"
}

Lire un secret

Cela peut se faire directement, ou via un json qui sera ensuite traité par jq

# vault kv get --field password secret/basket 
# vault kv get --format=json secret/basket | jq -r .data.data.password

Détruire un secret

# vault kv delete secret/basket

Politique de nommage

• Existe t'il un nommage cohérent et adapté aux besoins
• Impact du changement
• Existe-t-il une dns externe, interne, dotée de vues utilisateurs

Politique de sauvegarde

• Comment sont fait les sauvegardes (Périodicité, Incrémentales, Full, Différentielles)
• Quel est la politique de rétention
• Y'a t'il un monitoring de la volumétrie et est elle suffisante et extensible

Politique NTP

• Comment les serveurs sont t'il synchronisés
• Quel est l'impact d'une différence de TZ entre les serveurs

Politique Logs

• Qu'est ce qui est loggé ?
• Ou est-ce loggué ?
• Quelle est la rétention ?
• Quelle est la période d'aggrégation ?

Nous pouvons installer Powershell sous linux :

sur une ubuntu 18.04, nous installons powershell avec le role ansible suivant :

- name: Install Xenial Security Repository
  apt_repository:
    repo: deb http://security.ubuntu.com/ubuntu xenial-security main
    state: present
    filename: xenial-security

- name: Install libicu55
  apt:
    pkg:  libicu55
    state: present

- name: install Powershell
  apt: 
    deb: https://github.com/PowerShell/PowerShell/releases/download/v6.0.0-alpha.18/powershell_6.0.0-alpha.18-1ubuntu1.16.04.1_amd64.deb 

qui techniquement ne fait rien d'autre que les commandes suivantes sous linux :

apt install libicu55
wget https://github.com/PowerShell/PowerShell/releases/download/v6.0.0-alpha.18/powershell_6.0.0-alpha.18-1ubuntu1.16.04.1_amd64.deb
dpkg -i powershell_6.0.0-alpha.18-1ubuntu1.16.04.1_amd64.deb

Après cela nous avons powershell 6.0.0 sous linux, mais pour quoi faire me direz vous, et bien pour administrer nos windows à distance bien sur !

Sous windows, nous lançcons powershell, et exécutons les commandes suivantes :

Enable-PSRemote
Set-WSManQuickConfig

Je n'ai pas encore réussi à me connecter au serveur distant depuis linux, mais techniquement la brique semble fonctionnelle.

La plupart des osx récents savent monter les disques dur automatiquement. Seulement, voila, il faut être devant la machine pour cela. Quid d'un accès distant :

Linux

ssh user@machine :

gvfs-mount --list
gvfs-mount -d <device>

sur les linux récents, gvfs-mount a été remplacé par gio-mount.

OsX

diskutil list
diskutil mount <DiskIdentifier>

Voila un petit pense bête de plus ...

Extrait de youtube

• SnapMirror : backup d'un site a un autre, synchrone ou asynchrone, entre deux stockages locaux
• Metro Cluster: clustering entre deux Netapps, synchronous, real-time, and failover, à condition qu'ils soient identiques (version d'os, dimensionnement, ...)
• SnapVault : prendre une copie snapmirror et marquer comme archive (long terrm storage)
• Wafl : le plus bas niveau, le filesystem, Write Anywhere File Layout, écriture simultanée sur l'aggrégat
• On Commands : netapps suite of software pour le parametrage des disques et volumes (remplaçant de filer view)
• Data On Tap : système d'exploitation de netapp
• Aggregate : groupe de disques et les volumes sont battis sur les aggregats, souvent en raid dual parity (au moins trois disques)
• Seven Mode : ancien os (2500 series)
• Clustered Data On Tap : jusqu'a 16 controlleurs (contre 2 dans Seven Mode)

- HLB1 et HLB2

• haproxy
• configurations identiques
• ip reprises par corosync si chute du maître
• Conservation des sessions web pour éviter le jump

- Cluster de serveurs apache en backend des HLB

• nfs ou glusterfs répliqué pour /var/www/
• php-fpm pour les performances
• memcached pour le stockage des sessions

- Mysql en réplication Maitre-Maitre avec identifiants décalés (pair/impair) pour éviter les collisions

• corosync pour haute disponibilité avec ip 1 maitre sur mysql 1 et ip 2 maitre sur mysql 2 (idée à valider)
• synchro faite sur ip privée et non publique (pour éviter la synchro avec soi meme)

On peut aussi utiliser repcached pour faire de la réplication de memcached.

Il reste encore plein de possibilité pour améliorer tout cela :

• Accelérateurs HTTP (varnish)
• Backend cache statiques en parallèle avec serveur actifs pour clients particuliers

Liens utiles :

• Glusterfs redundancy mount : https://www.jamescoyle.net/how-to/4...
• Repcached : http://blackbird.si/howto-memcached...