🐧 Linux Red Hat (RHEL) – Admin. & Sécurité

L'écosystème Red Hat

La "famille Red Hat" désigne un ensemble de distributions Linux basées sur **Red Hat Enterprise Linux (RHEL)**. Elles partagent une base commune : gestion de paquets RPM, DNF/YUM, firewalld, et SELinux.

L'arbre généalogique

[Fedora] -> (Laboratoire, "upstream", bleeding-edge)
   |
   ▼
[RHEL (Code Source)] -> (Rendu public)
   |
   ├──► [CentOS Stream] (Rolling release, "preview" de RHEL)
   |
   ├──► [RHEL] (Commercial, stable, support payant)
   |
   └──► [Clones 1:1 (libres)]
        ├──► Rocky Linux
        ├──► AlmaLinux
        └──► (Anciennement CentOS Linux)

Quelle distribution choisir ?

Anaconda (L'installeur)

L'installeur graphique/TUI de la famille RHEL s'appelle **Anaconda**. Lors de l'installation, les points clés sont :

• Sélection de logiciels : "Minimal Install" est recommandé pour les serveurs. "Server with GUI" installe un bureau GNOME.
• Destination de l'installation : Gestion du partitionnement (voir 1.3).
• Réseau & Nom d'hôte : À configurer pour un accès immédiat.
• Mot de passe Root : À définir (et verrouiller le compte).
• Création d'un utilisateur : Créez un utilisateur admin (cochez "Make this user administrator"). Cet utilisateur sera ajouté au groupe wheel (le groupe sudo de RHEL).

Dépôts (Repos) : BaseOS, AppStream, EPEL

La gestion des paquets de RHEL 8+ repose sur des dépôts clés :

• BaseOS : Le cœur du système (noyau, systemd...).
• AppStream (Application Streams) : Fournit les logiciels, services, et surtout **plusieurs versions** des langages/BDD (voir 2.2).
• EPEL (Extra Packages for Enterprise Linux) : Le dépôt communautaire **indispensable**. Il contient tout ce qui manque à RHEL (nginx, htop, fail2ban...).

Post-installation (Rocky/Alma/RHEL)

# Mettre à jour le système
sudo dnf update -y

# Installer EPEL
sudo dnf install -y epel-release

# Installer des outils de base
sudo dnf install -y htop wget curl git bash-completion

dnf (Dandified YUM) est l'outil principal. yum est un alias symbolique vers dnf.

Installation & Mise à jour

# Mettre à jour tous les paquets
sudo dnf update -y
# (ou 'sudo dnf upgrade -y')

# Installer un paquet
sudo dnf install httpd

# Réinstaller un paquet
sudo dnf reinstall httpd

Suppression

# Supprimer un paquet
sudo dnf remove httpd

# Supprimer un paquet ET ses dépendances inutiles
sudo dnf autoremove

Recherche & Information

# Chercher un paquet
sudo dnf search "serveur web"

# Lister les paquets installés (filtré)
sudo dnf list installed | grep php

# Informations sur un paquet (installé ou non)
sudo dnf info nginx

# À quel paquet appartient un fichier ?
sudo dnf provides /etc/nginx/nginx.conf

Dépôts (Repos)

Les configurations sont dans /etc/yum.repos.d/.

# Lister les dépôts activés
sudo dnf repolist

# Lister tous les dépôts (activés et désactivés)
sudo dnf repolist --all

rpm (Niveau bas)

rpm est l'outil sous-jacent. Il gère les fichiers .rpm individuels mais **ne résout pas les dépendances** (dnf s'en charge).

Installer / Mettre à jour (-i, -U)

# -i (Install)
# -v (Verbose)
# -h (Hash marks - barre de progression)
sudo rpm -ivh mon-paquet.rpm
# (Échouera s'il manque des dépendances)

# Utiliser 'dnf' est plus malin (il gère les dépendances)
sudo dnf install ./mon-paquet.rpm

# -U (Upgrade)
sudo rpm -Uvh nouveau-paquet.rpm

Interroger (-q) & Vérifier (-V)

# -q (Query)

# 'httpd' est-il installé ?
rpm -q httpd
# httpd-2.4.57-5.el9.x86_64

# Lister les fichiers installés par un paquet
rpm -ql httpd

# À quel paquet appartient ce fichier ?
rpm -qf /etc/httpd/conf/httpd.conf
# httpd-2.4.57-5.el9.x86_64

# Vérifier l'intégrité d'un paquet
# (Compare les fichiers sur disque avec la BDD RPM)
rpm -V httpd
# (N'affiche rien si OK)
# S.5....T.  c /etc/httpd/conf/httpd.conf (Signifie que la config a changé)

systemctl (Gestion des services)

La commande unique pour gérer les "units" (services, timers, sockets...).

Commandes de base (ex: httpd.service)

# Démarrer un service
sudo systemctl start httpd

# Arrêter un service
sudo systemctl stop httpd

# Redémarrer un service
sudo systemctl restart httpd

# Recharger la configuration (sans couper)
sudo systemctl reload httpd

# Activer au démarrage
sudo systemctl enable httpd

# Démarrer ET Activer
sudo systemctl enable --now httpd

# Désactiver au démarrage
sudo systemctl disable httpd

Statut & Logs (Intégration Journald)

# Voir le statut (Très utile !)
sudo systemctl status httpd

● httpd.service - The Apache HTTP Server
     Loaded: loaded (/usr/lib/systemd/system/httpd.service; enabled)
     Active: active (running) since Sun 2025-11-02 00:10:00 CET
   Main PID: 1234 (httpd)
     Status: "Running, ...
      Tasks: 5 (limit: 1111)
     Memory: 25.4M
        CPU: 1.1s
     CGroup: /system.slice/httpd.service
             ├─1234 /usr/sbin/httpd -DFOREGROUND
             ...

# (journalctl est intégré dans 'status' pour les 10 dernières lignes)

# Voir tous les logs du service 'httpd'
sudo journalctl -u httpd

# Suivre les logs de 'httpd' en direct
sudo journalctl -f -u httpd

journalctl (Lecteur de logs)

Systemd (via Journald) capture le stdout/stderr de tous les services qu'il gère, et les stocke dans un journal binaire (centralisé, non dans /var/log).

(Note: RHEL utilise aussi rsyslog qui lit le journald et écrit dans /var/log/messages, /var/log/secure, etc. pour la rétrocompatibilité).

# Suivre TOUS les logs en direct (tail -f)
sudo journalctl -f

# Voir les 50 dernières lignes
sudo journalctl -n 50

# Voir les logs du kernel (erreurs disque, OOM)
sudo journalctl -k

# Voir les logs du boot actuel
sudo journalctl -b 0

# Voir les logs du boot précédent
sudo journalctl -b -1

Filtrage (Puissant)

# Filtrer par service (Unit)
sudo journalctl -u httpd.service

# Filtrer par service (et suivre)
sudo journalctl -f -u sshd

# Filtrer par exécutable
sudo journalctl /usr/sbin/sshd

# Filtrer par PID
sudo journalctl _PID=1234

# Filtrer par priorité (erreurs et plus grave)
sudo journalctl -p err
# (p: emerg, alert, crit, err, warning, notice, info, debug)

# Filtrer par date/heure
sudo journalctl --since "2025-11-01 10:00:00"
sudo journalctl --since "1 hour ago"

# Combiner (erreurs sshd depuis 1h)
sudo journalctl -u sshd -p err --since "1 hour ago"

firewalld (Firewall Dynamique)

Le pare-feu par défaut de RHEL (remplace iptables direct). Il est basé sur des **Zones**.

Une **Zone** est un ensemble de règles. Chaque interface réseau (eth0) est assignée à une zone (par défaut: public).

Gestion des Zones & Services

On n'ouvre pas des ports, on ajoute des "Services" (ex: http, ssh) à une Zone.

# Démarrer et activer
sudo systemctl enable --now firewalld

# Voir la zone par défaut et les interfaces
sudo firewall-cmd --get-active-zones
# public
#   interfaces: eth0

# Changer l'interface 'eth0' vers la zone 'internal'
sudo firewall-cmd --zone=internal --change-interface=eth0

# Lister les services (règles) de la zone 'public'
sudo firewall-cmd --zone=public --list-all
# services: cockpit dhcpv6-client ssh

# Lister tous les services prédéfinis (ex: http, mysql...)
sudo firewall-cmd --get-services

La bête noire : SELinux

SELinux (Security-Enhanced Linux) est un module de sécurité **Mandatory Access Control (MAC)**. C'est ce qui bloque 99% des tutoriels qui marchent sur Ubuntu mais pas sur Rocky.

DAC vs MAC

• DAC (Discretionary) : C'est chmod (rwx). Le propriétaire (ex: root) décide. Si un hacker devient root, il a tous les droits.
• MAC (Mandatory) : C'est SELinux. L'accès est basé sur des **étiquettes (contextes)** définies par l'admin. Même si vous êtes root, si la politique l'interdit, l'accès est bloqué.

Les 3 Modes d'exécution

Commandes de gestion

# 1. Voir le statut (La commande N°1)
sestatus
# Current mode:   enforcing

# 2. Voir le mode actuel
getenforce
# Enforcing

# 3. Changer de mode (Temporaire, jusqu'au reboot)
# (Passer en mode "debug")
sudo setenforce 0
# (Mode: Permissive)

# (Remettre en mode "prod")
sudo setenforce 1

Commandes Utilisateur (root ou sudo)

# Ajouter un utilisateur (non-interactif)
sudo useradd -m -s /bin/bash dev_user
# -m : Crée le /home
# -s : Définit le shell

# Définir le mot de passe
sudo passwd dev_user

# Modifier un utilisateur
# (Ex: Ajouter 'dev_user' au groupe 'wheel' (sudo))
sudo usermod -aG wheel dev_user
# -a (Append) -G (Groupes secondaires)

# Supprimer un utilisateur (et son /home)
sudo userdel -r dev_user

sudo & Groupe wheel

Sur la famille RHEL, le groupe qui donne les droits sudo n'est pas sudo, mais wheel.

Pour donner les droits sudo à un utilisateur, il suffit de l'ajouter au groupe wheel.

# (Fichier /etc/sudoers)
# ...
## Allows people in group wheel to run all commands
%wheel  ALL=(ALL)       ALL

chmod (Changer les permissions)

Octal (4=r, 2=w, 1=x)

# rwxr-xr-x (755) - Dossiers/Scripts
sudo chmod 755 mon_dossier/

# rw-r--r-- (644) - Fichiers web
sudo chmod 644 index.html

# rw------- (600) - Clés privées
sudo chmod 600 /home/user/.ssh/id_rsa

chown (Changer le propriétaire)

# Changer le propriétaire
sudo chown ideo_user rapport.pdf

# Changer le propriétaire ET le groupe
sudo chown ideo_user:developpeurs rapport.pdf

# Récursif (pour un dossier web)
sudo chown -R httpd:httpd /var/www/html
# (Utiliser 'apache:apache' sur RHEL < 8)

umask (Masque par défaut)

Définit les permissions *inverses* qui sont appliquées par défaut.

umask commun : 0022

# Calcul Fichier
  666 (base) - 022 (umask) = 644 (rw-r--r--)
# Calcul Dossier
  777 (base) - 022 (umask) = 755 (rwxr-xr-x)

Bits Spéciaux

• SUID (u+s) : Exécuter en tant que propriétaire (ex: passwd).
• SGID (g+s) : (Sur dossier) Les nouveaux fichiers héritent du groupe du dossier.
• Sticky Bit (+t) : (Sur dossier) Seul le propriétaire (ou root) peut supprimer ses propres fichiers (ex: /tmp).

Navigation (ls, cd, pwd)

pwd        # (Print Working Directory) Où suis-je ?
cd /var/log # (Change Directory)
cd ..       # Remonter d'un niveau
cd -        # Aller au dossier précédent
ls          # Lister les fichiers
ls -l       # Lister (format long)
ls -la      # Lister (long, 'a' = tous, y compris cachés)
ls -lh      # Lister (long, 'h' = humainement lisible)

Gestion Fichiers/Dossiers

touch fichier.txt   # Créer un fichier vide
mkdir mon_dossier   # Créer un dossier
cp src.txt dest.txt # Copier
cp -r src_dir/ dest_dir/ # Copier (Récursif)
mv old.txt new.txt  # Renommer (Move)
mv file.txt dir/    # Déplacer
rm fichier.txt      # Supprimer (Remove)
rm -r mon_dossier   # Supprimer dossier (Récursif)
rm -rf mon_dossier  # Supprimer (Récursif, Forcé) (DANGER)

find (Rechercher des fichiers)

find [OÙ] [QUOI] [ACTION]

# Trouver par nom (insensible à la casse)
find . -iname "*.conf"

# Trouver par type (f=file, d=dir)
find /var -type d -name "log"

# Trouver par taille
find / -type f -size +100M

# Trouver par date de modification (ex: < 7 jours)
find /etc -mtime -7

# Exécuter une commande sur les résultats (-exec)
find . -name "*.tmp" -exec rm -f {} \;

grep (Rechercher *dans* des fichiers)

grep [OPTIONS] "MOTIF" [FICHIER]

# Chercher "error" dans un log
grep "error" /var/log/messages

# Récursif, insensible à la casse, numéros de ligne
grep -Rin "mon_ip" /etc/nginx/

# Inverser (lignes ne contenant PAS)
grep -v "INFO" app.log

# Utiliser avec un 'pipe' (|)
dmesg | grep -i "failure"

Processus (ps, top, kill)

# Lister tous les processus (style BSD)
ps aux

# Lister les processus (style SystemV)
ps -ef

# Combiner avec grep
ps aux | grep nginx

# Moniteur interactif (taper 'q' pour quitter)
top

# 'top' amélioré (nécessite EPEL)
htop

# Tuer un processus (par PID)
kill 1234
kill -9 1234 # (Forcer, "non-gracieux")

# Tuer par nom
pkill nginx
killall nginx

Disque & RAM (df, du, free)

# Espace Disque (Disk Free)
df -h
# Filesystem      Size  Used Avail Use% Mounted on
# /dev/mapper/rl-root   40G   5G   35G  13% /
# /dev/sda1         900M  150M  750M  17% /boot

# Utilisation Disque (Disk Usage)
# (Taille des dossiers dans /var)
du -sh /var/*
# -s (summarize), -h (human)

# Mémoire RAM
free -h
#               total   used    free
# Mem:           7.8G   1.2G    6.0G
# Swap:          8.0G     0B    8.0G

Paquets (DNF/YUM)

sudo dnf update -y
sudo dnf install httpd
sudo dnf remove httpd
sudo dnf search httpd
sudo dnf repolist
sudo dnf install epel-release
sudo dnf groupinstall "Development Tools"
sudo dnf module list php
sudo dnf module enable php:8.2
sudo dnf history list
sudo dnf history undo 10

Réseau (NetworkManager)

nmcli device status
nmcli connection show
nmcli connection up [conn]
nmcli connection modify [conn] ipv4.method manual
nmcli connection modify [conn] ipv4.addresses [ip/cidr]
sudo nmtui

Firewall (firewalld)

sudo firewall-cmd --state
sudo firewall-cmd --get-active-zones
sudo firewall-cmd --zone=public --list-all
sudo firewall-cmd --add-service=http --permanent
sudo firewall-cmd --add-port=8080/tcp --permanent
sudo firewall-cmd --reload

SELinux

sestatus
getenforce
sudo setenforce 0 # (Permissive)
ls -Z /var/www/
sudo chcon -t httpd_sys_content_t [fichier]
sudo restorecon -vR /var/www/
sudo semanage fcontext -a -t ...
sudo getsebool -a | grep httpd
sudo setsebool -P httpd_can_network_connect 1
sudo ausearch -m AVC -ts recent | audit2allow -m MonModule