Tâche #15676: Étudier les problèmes de communication entre ead-server et ead-web - ead - Ensemble Ouvert Libre Évolutif

Tâche #15676

Distribution EOLE - Scénario #15927: Étudier la gestion des certificats sur 2.6

Étudier les problèmes de communication entre ead-server et ead-web

Added by Scrum Master over 7 years ago. Updated over 7 years ago.

Status:

Fermé

Priority:

Normal

Assigned To:

Philippe Caseiro

Target version:

Distribution EOLE - sprint 2016 19-21 - Equipe MENESR

Start date:

03/29/2016

Due date:

% Done:

100%

Estimated time:

4.00 h

Spent time:

7.00 h

Remaining (hours):

0.0

Description

Le problème vient d'une évolution de python qui active par défaut la validation des certificats lors des appels HTTPS.

voir : https://www.python.org/dev/peps/pep-0476/

2 problématiques se posent :

python utilise les CA installées au niveau système pour la validation des certificats
L'adresse utilisée pour faire les appels (xmlrpc, urllib, ...) doit correspondre aux noms déclarés dans le certificat (attention, les IP alternatives ne sont pas prises en compte, seulement les noms DNS).

plusieurs solutions sont possibles :

désactiver globalement cette validation (pas bien)
la désactiver dans chaque application (un peu mieux mais pas bien non plus)
utiliser uniquement des certificats signés par des autorités reconnues (ou configurer python pour prendre en compte la CA auto-signée) + configuration correcte au niveau des noms dns).

On pourrait aussi envisager de proposer un choix dans gen_config (activer ou non la validation + configuration des CA et noms d'hôtes si besoin)

Related issues

Associated revisions

Revision 5e01729c (diff)
Added by Philippe Caseiro over 7 years ago

Faire marcher l'EAD en 2.6.

Afin de résoudre le problème de communication entre le "backend"
et le "frontend" il ne faut plus utiliser 127.0.0.1 car 127.0.0.1 n'est
pas dans le certificat SSL.

L'utilisation du contenus de la variable 'ssl_server_name' rend le
fonctionnement possible.

Pour enregistrer un serveur EAD distant, il faut que le certificat du
serveur distant soit reconnu "valide" par le serveur "local/père ...".
Donc soit le serveur a un certificat signé par une autorité reconnue,
soit on ajoute la CA qui a signé le certificat du serveur distant sur le
serveur local.

Pour info nous l'avons fait avec un Amon et un Scribe 2.6 sur etb1, nous
avons copiés la CA du scribe dans
/usr/local/share/ca-certificates/menesr/ca_scribe.crt, puis lancé la
commande "update-ca-certificates"

ref #15676 @7h