Distribution EOLE

Effectivement la variable rsyslog_cert_file est définie dans le dictionnaire, cependant elle n'est jamais utilisée dans les templates. C'est la même chose pour rsyslog_privkey_file
Il y a donc probablement des choses à revoir plus en profondeur.

Pour préciser notre situation :
Dans le cadre d'une expérimentation, nous configurons des serveurs eole en tant que client rsyslog pour remonter des logs (en TLS) sur un serveur racdata (cf https://pole.in.ac-nancy-metz.fr/wiki/RacData )

La configuration via gen_config des clients fonctionne dans le cadre suivant :
- nous copions le certificat de l'AC du racdata dans /etc/rsyslog.d/ssl/certs/zephirlog_ca.pem , on est obligé car la valeur de %%rsyslog_ca_file n'est pas modifiable (c'est dommage)
- nous n'activons pas l'authentification TLS des clients sur notre racdata
- En outre, pour aller plus vite dans nos tests nous avons provisoirement désactivé l'authentification TLS du serveur sur les client eole syslog en patchant rsyslog_aggregation.conf avec $ActionSendStreamDriverAuthMode x509/certvalid.

Nous arrivons ainsi à faire remonter nos logs.
Cependant le diagnose n'abouti plus sur les clients , c'était le sens de ma demande.

Sur le serveur central, les 3 variables suivantes sont figées dans le dico :

rsyslog_ca_file="/etc/rsyslog.d/ssl/certs/zephirlog_ca.pem" 
rsyslog_cert_file="/etc/rsyslog.d/ssl/certs/rsyslog_cert.pem" 
rsyslog_privkey_file="/etc/rsyslog.d/ssl/private/rsyslog_privkey.pem" 

À la base, on avait prévu de gérer une PKI dédiée mais on va laisser tomber ça : les templates suivants sont à SUPPRIMER :

• /etc/rsyslog.d/ssl/rsyslog-request.tmpl
• /etc/rsyslog.d/ssl/rsyslog-ca.tmpl

En mode autosigné ou manuel (variable cert_type), il faut utiliser les certificats configurés dans l'onglet général :

server_cert="/etc/ssl/certs/eole.crt" 
server_key="/etc/ssl/private/eole.key" 
server_pem="/etc/ssl/certs/eole.pem" 

Comme le service rsyslog tourne avec l'utilisateur syslog, il faut copier les fichiers aux bons endroits avec les bons droits :
Pour cela on pourra utiliser la fonction InstallSSLFiles en posttemplate en s'inspirant du code existant :

• EAD : /usr/share/eole/posttemplate/01-ead
• Exim : /usr/share/eole/posttemplate/03-mail

En mode auto-signé, la CA devra bien être copiée manuellement sur les clients (comme pour enregistrement_zephir).

La configuration cert_type=letsencrypt n'est pas dans le périmètre du scénario mais les modifications ne doivent pas introduire de régression sur ce mode.