Bonjour à tous, alors voilà, je vais vous conter une zolie histoire =)
Il était une fois un C.D.I. dans un lycée, ses ordinateurs étaient équipés de Microsoft Windows XP équipés du client Novel.

Un jour, le gérant du C.D.I. en eu marre que des petits plaisantins s'amusaient avec les ordis (installation de conneries en tout genre, de Unreal Tournament, de virus).

Il passa donc à uBuntu qui après quelques mois de test fut un échec (sudo --> PABIEN).
Nous passâmes donc à Fedora 9 qui lui, fut un succès.

Jusqu'au jour où, on ne sait pas qui, a réussi à virer Gnome de Fedora, a détraqué les tableaux de bords.
Nous avions donc pensé à mettre une Debian équipé du STRICT minimum (Novel + OpenOffice + Firefox).

Mais une idée me vient, li faudrait imiter un live CD/USB personnalisé (propre au Lycée) qui se recharge à chaque démarrage.
J'ai donc Fedora 10 Live USB; je compte le modifier, mais après j'aimerais faire cela :
1] Comment l'installer sur un Disque dur (y a-t-il juste à copier les fichiers contenus dans la clef ?)
2] Comment peut-on changer un live USB (avec persistanbce) en un Live CD (sans peristance)

Merci
Nontenda
Tant que l'on accède pas à root, on peut considérer que le système redémarre toujours avec les mêmes bases de fonctionnement, puisque seul root peut les modifier.
Pour moi, gnome ne peut pas être détruit par une utilisateur «non root». Seul l'utilisateur peut empêcher le fonctionnement de gnome mais pour son Bureau et pas celui des autres.

Avec une clé avec persistance il y aura les mêmes risques.

Quelles sont les données à conserver si on écrasait le système ?
Car au lieu d'une clé USB, il parait plus simple de préparer sur un disque dur un système de base, le personnaliser, en faire une image sur CD/DvD et régulièrement (ou en cas de problème) ré-écraser la partie système sans effacer les données à conserver.
Et refaire une image en cas de nouvelle personnalisation.
S'il n'y a qu'un user sur ce système, on peut aussi imaginer de faire un backup du répertoire .kde ou l'équivalent gnome, pour pouvoir recharger cet environnement soit à la demande soit de manière systématique au boot par exemple.

Le reste du système, si les droits sont bien positionnés ne pouvant pas être détruit par un user sans privilèges.
Sinon, une simple idée, tu pourrais tester le LTSP( K12Linux sous Fedora10)

C'est fiable, et tout sera centralisé sur une seule et même machine.
Et les utilisateurs n'auront pas accès à la machine physique.
Voici une chose que j'ai pensé tester dans un autre but mais je n'en ai pas encore eu le temps.

Pourquoi ne pas créer et paramétrer un compte utilisateur "lambda", backuper ce compte et le restaurer automatiquement à chaque reboot

Il suffirait à chaque reboot du système de faire un rm -R /home/lamba suivi d'un cp -R /home/lamba_backup /home/lamba pour retrouver les paramètres définis pour cet utilisateur.
didierg wrote:Voici une chose que j'ai pensé tester dans un autre but mais je n'en ai pas encore eu le temps.

Pourquoi ne pas créer et paramétrer un compte utilisateur "lambda", backuper ce compte et le restaurer automatiquement à chaque reboot

Il suffirait à chaque reboot du système de faire un rm -R /home/lamba suivi d'un cp -R /home/lamba_backup /home/lamba pour retrouver les paramètres définis pour cet utilisateur.
C'est exactement ce que j'ai écrit juste au dessus !! 🙂
Et bien justement, nous ne sommes pas sur mais envisageons qu'un éleve a un mot de passe root (il ont un acces physique a la machine donc elle est vulnérable ><)
Sinon, j'avais déjà essayé de modifier les tableaux de bord et de restaurer le .gnome mais ça me laissait les tableaux de bord modifiés.

Mais bon, je vais envisager ce que proxy et didierg conseille =)

Sinon, je pensais à l'équiavlent d'une clef USB (qui demarre en pouvant sauvegarder des fichiers) mais qu'elle perde ces fichiers au reboot =)
Comme ça, les éleves peuvent écrire sur le disque dur MAIS celui-ci est purgé à chaque reboot.

Sinon, qu'est-ce que K12Linux ? Je suis en train de chercher si on pouvait m'éclaricir sur le moyen de mettre ça en place.

Merci à tous pour vos réponses =)
Nontenda
Tout se passe avec LTSP.

En fait, tu as un serveur central - le LTSP - qui fournira un environnement de bureau sur des terminaux légers ou des pc dépourvus de disques dur, et tout ça, via le réseau.
Bien sûr, ce système est multi-utilisateur.
Les clients légers - terminaux - chargeront par le réseau, tout ce qu'il faut pour avoir un environnement graphique comme si il était installé en local, avec les programmes installés etc etc...
Même les effets de bureau sont gérés:-P

La configuration est assez simple, voir ici:

https://fedorahosted.org/k12linux/
D'accord juste quelques questions (si ça dérange pas) :
Si un user modifie (par exemple) un tableau de bord, je suppose que ça le conserve ?

Parce que mon but est d'obtenir une Feodra (que j'aurai personnalisé) à chaque démarrage.

En gros, un Live CD sur DD 😃
Un script supprimant l'utilisateur lorsque l'ordinateur est éteint.
Un autre permettant de le recréer à l'allumage pourrait faire l'affaire.

Pour les fichiers copiés par défauts dans le /home de l'utilisateurs, ils se trouvent dans le dossier /etc/skel.


Sinon, il faut bien sûr penser à tous protéger par un mot de passe : bios, grub ...


Sinon, le live-cd personnalisable, c'est possible. Regarde dans la documentation du site, il y avait quelques articles. Il suffit alors de configurer grub pour qu'il démarre correctemement sur le liveOS (mais attention à prévoir un mot de passe root !).
Nontenda wrote:D'accord juste quelques questions (si ça dérange pas) :
Si un user modifie (par exemple) un tableau de bord, je suppose que ça le conserve ?

Parce que mon but est d'obtenir une Feodra (que j'aurai personnalisé) à chaque démarrage.

En gros, un Live CD sur DD 😃
Ha oui par contre, cela fera pareil.

Disons que c'est juste une idée que j'ai posé.
Car le LTSP peut-être pratique dans un réseau conséquent, car tout est centralisé.
Et si une bêtise, utilisateur, est faite, elle le sera que sur un seul poste, car c'est le serveur qui envoie l'image de l'environnement graphique.
D'accord 😃 Pas mal =)
J'en parlerai au responsable du CDI =)

Sinon, si je résume :
- Soit un LiveCD
- Soit un systeme avec serveur qui a l'avantage de ne devoir etre réinstallé qu'une fois 😃
- Supprimer puis recréez un user a chaque démarrage 😃
Bonjour à tous
Merci de ta contribution Nontenda ! et à travers toi à tous ceux qui t'aident dans ta démarche:-) sur ce forum.
Car je suis le responsable du fameux CDI... Vieux redhatien (depuis 2000 et la mythique distribution Halloween), j'ai un gros faible pour Fedora et je suis très heureux de voir la qualité des messages sur ces posts. Merci.
Nontenda fait un super travail en reprenant à son compte l'étude de solution pour un accès optimisé aux ressources dans le CDI.

Le dossier est particulièrement intéressant pour lui et pour tous les autres. Le but est d'offrir un endroit sympa et accueillant - je m'en charge - et également extrêmement fiable et efficace en matière d'accès aux PC. Par volonté cette partie est un lieu de passage intense où tous les élèves sont très libres dans la seule limite (civique) de laisser les ordis parfaitement opérationnels pour le confort de tous. Fedora remplit très bien cette mission. Les difficultés constatées sont à la fois originales et instructives. Sachez qu'après les premières réactions de stupeur, d'innombrables utilisateurs emploient désormais systématiquement nos Fedora soit sans états d'âme, soit même sans s'apercevoir que linux c'est "différent".

Par contre, le site constitue aussi un excellent test grandeur nature pour des usages totalement imprévisibles et à très fort passage (dizaines d'utilisateurs différents par jour et par machine) donc on découvre des effets de bord liés à cet usage de masse par des utilisateurs indifférenciés. Le chantier d'ingénierie auquel s'emploie Nontenda est donc parvenir à rendre la machine et son usage transparents pour l'utilisateur. Une machine qui s'efface devant son but d'utilisation et qui libère l'esprit de l'usager de passage : zéro surprise, zéro défaut, zéro plantage, respect des données persos fourni par l'emploi transparent du client Novell (grande réussite de Nontenda), respect de la créativité par un accès au net avec tous les plugins, respect du travail individuel par le support complet de toute la bureautique.

Pour cela la machine doit "perdre" deux éléments de fragilité : le bureau customisable à l'infini par l'usager de passage, les données sauvées sur /home local. Les pistes proposées ici sont très prometteuses et toute notre gratitude va à la communauté Fedora.
Heu... Ca n'a l'air d'étonner personne qu'un élève ait pu usurper les privilèges de root...
AMHA, quel que soit le nombre d'utilisateurs cela ne *devrait* pas arriver sur un système correctement configuré, et il devrait être possible d'utiliser une fedora "de base" en toute sécurité. Linux (et UNIX) est prévu pour être multi-utilisateurs, non ?
J'ai l'impression que l'idée du LiveCD personnalisé, c'est faisable, mais c'est plus compliqué à mettre en oeuvre que de simplement appliquer une politique de sécurité minimale. C'est "écraser un moustique avec un canon" (proverbe chinois).
La politique de sécurité à mettre en place dépend bien sûr de votre configuration matérielle. Dans la cité scolaire où je travaille, chaque élève reçoit un identifiant et un mot de passe qui lui sont indispensables pour se connecter à n'importe quel poste (il y a un serveur LDAP pour gérer ça globalement). Un "contrevenant" peut se faire bannir du réseau pédagogique (son compte est supprimé), temporairement ou définitivement. Ce n'est pas la panacée mais c'est suffisamment dissuasif pour nous éviter (jusqu'à présent) les problèmes que vous rencontrez.
pam_ldap pour l'authentification et un montage NFS du home sur un serveur central, ce qui permet de reconfigurer en une seule fois un user sur tous les postes.
Suffit après de définir sur chaque poste d'éventuelles restrictions par exemple basée sur l'appartenance à un rôle avec pam_groupdn
Muramasa wrote:Par contre, le site constitue aussi un excellent test grandeur nature pour des usages totalement imprévisibles et à très fort passage (dizaines d'utilisateurs différents par jour et par machine) donc on découvre des effets de bord liés à cet usage de masse par des utilisateurs indifférenciés.
Dans un tel contexte et avec les lois sarkoziennes liberticides telles que DADVSI et HADOPI, il pourrait être intéressant d'étudier également les solutions commerciales à base de clients légers permettant d'une part de garantir à chaque utilisateur de démarrer avec un environnement standard propre et d'autre part d'assurrer un certain niveau de contrôle de ce qui est fait sur chaque poste pour éviter que le responsable du CDI ou le proviseur puisse être inquiéter en cas de problème.

Je pense par exemple à une solution à base de terminal Sun Ray - http://www.sun.com/desktop/sun-ray-clients.jsp - mais il y en a d'autres, qui ont été déjà déployées dans un certain nombres d'universités pour ces raisons (voir http://www.sun.com/sunray/success.xml ).
Il me semble indispensable d'empêcher le choix de la méthode de boot au démarrage du PC et bien sûr de protéger l'accès au BIOS par un mot de passe.
N'importe quel élève qui se pointe avec un liveCD ou une clé USB pourrait accéder librement à la Fedora installée, avec ou sans mot de passe root.

Autre point : une fois la distribution installée et configurée proprement, il est bon de faire une image du disque dur avec par exemple SystemRescueCD (y'a d'autres solutions de ce genre) pour pouvoir tout remettre d'aplomb si vraiment y'a un soucis.
Salokyn wrote:Il me semble indispensable d'empêcher le choix de la méthode de boot au démarrage du PC et bien sûr de protéger l'accès au BIOS par un mot de passe.
N'importe quel élève qui se pointe avec un liveCD ou une clé USB pourrait accéder librement à la Fedora installée, avec ou sans mot de passe root.

Autre point : une fois la distribution installée et configurée proprement, il est bon de faire une image du disque dur avec par exemple SystemRescueCD (y'a d'autres solutions de ce genre) pour pouvoir tout remettre d'aplomb si vraiment y'a un soucis.
C'est ce que j'avais demandé à la responsable informatique de mon lycée, car bon nombre de fois où j'ai pu me ramener avec un LiveCD et m'amuser avec (et menacer la responsable des risques que représente une telle possibilité si un malveillant y recourait au même matos que moi) bah je regrette car maintenant je suis obligé d'utiliser Windows 🙁.
Bon heureusement que Framakey est là pour me consoler. :-P

Sinon oui, je pense que le BIOS doit être bloquer avec un mot de passe un poil complexe. Sans oublier de définir des droits stricts sur les /home. Car bon il est malgré tout possible d'installer une application sans mot de passe root (vive la compilation, j'ai déjà compilé lynx sur une Zenwalk en LiveCD sans passer par root) ou encore d'utiliser des binaires, Firefox/Thunderbird en fournissent des prêts à l'emploi, suffit que le gamin se ramène avec son exécutable maison et peut faire des ravages à son échelle avec un peu de volonté.
Enfin, c'est vraiment un cas extrême, mais on est jamais trop prudent...
Si la solution de l'installation sur le disque dur est conservée :

- interdire le montage de clé usb (physiquement (suppression des ports) et BIOSsement (jumper le concentrateur sur la carte mère et/ou dans les options du bios)
- démonter les périphériques optiques.

C'est solution sont utilisés dans l'IUT que j'ai fréquenté (Poitiers) + client léger (car il me semble que pour éviter le vole, les PC en libre accès n'avait rien d'installé)



Mais je pense à une solution qui peut ne pas plaire à tous :
Que cherchent les jeunes qui bricolent les PC qui leur sont fournis ? La notoriété non ? Pour ne pas repérer les adeptes du bricolage, faire un tournoi bien encadré de la "destruction logiciels" et le prix délivré à cet élève sera :
1. la notoriété (et au collège et lycée ça plait !!)
2. une formation linux pour qu'il puisse aller plus loin (les jeunes aiment trouver leur voie)
3. mieux, leur demander ce qu'il veulent comme carotte...

Les organisateurs quant à eux gagnerons beaucoup : il pourront voir rapidement comme les élèves outre-passent les protections et pourront les renforcer.

Bon j'ai dis que ça n'allait pas plaire à tous. Je vous assure que je ne suis pas un de ses jeunes, je n'en suis pas trop loin, j'ai que 25, mais si dans mon lycée, on m'avait donné l'occasion de m'exprimer, je n'aurais pas autant souffert....

Bonne soirée. En espérant lire vos remarques même si elles ne vont pas dans mon sens...