Fiche mémo Linux RHEL

Identifier le système

Attention, effet notable. Cette commande peut s'exécuter avec des droits élevés. Lire le contexte, les droits et l’effet attendu indiqués après le bloc ; ne jamais l’exécuter sur un système réel sans validation, d’abord dans un environnement de test.

cat /etc/redhat-releaseuname -rhostnamectlsudo subscription-manager status

• Contexte : VM RHEL ; lecture seule.
• Droits : utilisateur ; sudo pour subscription-manager.
• Effet : aucun.
• Vérification : la version majeure/mineure correspond à celle attendue.
• Retour arrière : sans objet.

Les trois couches de contrôle

Ordre de diagnostic : service (systemctl, journalctl) → réseau (nmcli, ip) → pare-feu → permissions → SELinux → application.

Abonnement et dépôts

Ne jamais écrire la clé ni l'identifiant d'organisation dans un fichier versionné.

dnf et paquets

Modules (RHEL 9 et 8 seulement : RHEL 10 ne distribue aucun contenu modulaire) : dnf module list, dnf module enable <module>:<flux>, dnf module reset <module>.

Attention, effet notable. Cette commande peut supprimer ou retirer des éléments, créer ou modifier une configuration. Lire le contexte, les droits et l’effet attendu indiqués après le bloc ; ne jamais l’exécuter sur un système réel sans validation, d’abord dans un environnement de test.

sudo dnf install chronysudo dnf history undo lastsudo dnf remove chrony

• Contexte : VM jetable ; chrony en exemple.
• Droits : sudo.
• Effet : ajoute, annule puis supprime le paquet et ses dépendances orphelines.
• Vérification : rpm -q chrony, dnf history list.
• Retour arrière : dnf history undo <id> ; sinon instantané de la VM.

systemd et journaux

Attention, effet notable. Cette commande peut créer ou modifier une configuration, s'exécuter avec des droits élevés. Lire le contexte, les droits et l’effet attendu indiqués après le bloc ; ne jamais l’exécuter sur un système réel sans validation, d’abord dans un environnement de test.

sudo systemctl disable --now chronyd

• Contexte : VM jetable ; jamais sur sshd quand l'accès se fait par SSH.
• Droits : sudo.
• Effet : arrête le service et le retire du démarrage.
• Vérification : systemctl is-active chronyd renvoie inactive.
• Retour arrière : sudo systemctl enable --now chronyd.

Utilisateurs, groupes, sudo

Permissions et ACL

Repères octaux : r=4, w=2, x=1 ; 750 = propriétaire rwx, groupe r-x, autres rien. Pour un répertoire, x = traverser.

Attention, effet notable. Cette commande peut modifier des droits, des fichiers ou des processus. Lire le contexte, les droits et l’effet attendu indiqués après le bloc ; ne jamais l’exécuter sur un système réel sans validation, d’abord dans un environnement de test.

chmod -R g-w ~/essai

• Contexte : répertoire d'essai seulement ; jamais chmod -R sur /, /etc, /usr ni 777 « pour que ça marche ».
• Droits : propriétaire.
• Effet : retire l'écriture du groupe sur tout l'arbre.
• Vérification : ls -lR ~/essai | head.
• Retour arrière : chmod -R g+w ~/essai (si l'état d'origine était identique partout : sinon noter stat avant).

Stockage : disque, LVM, XFS

Attention, effet notable. Cette commande peut effacer ou formater un volume, s'exécuter avec des droits élevés. Lire le contexte, les droits et l’effet attendu indiqués après le bloc ; ne jamais l’exécuter sur un système réel sans validation, d’abord dans un environnement de test.

sudo pvcreate /dev/vdbsudo vgcreate vg_demo /dev/vdbsudo lvcreate -n lv_donnees -L 2G vg_demosudo mkfs.xfs /dev/vg_demo/lv_donneessudo lvextend -r -L +1G /dev/vg_demo/lv_donnees

• Contexte : VM jetable ; /dev/vdb = disque de test vérifié avec lsblk (ces commandes détruisent son contenu).
• Droits : root.
• Effet : crée PV, VG, LV, XFS ; -r agrandit aussi le système de fichiers. XFS : agrandir oui, réduire non (principe non vérifié ici).
• Vérification : lvs, df -hT.
• Retour arrière : umount, lvremove, vgremove, pvremove (données perdues) ; ou instantané de la VM.

Réseau (NetworkManager)

Attention, effet notable. Cette commande peut créer ou modifier une configuration, s'exécuter avec des droits élevés. Lire le contexte, les droits et l’effet attendu indiqués après le bloc ; ne jamais l’exécuter sur un système réel sans validation, d’abord dans un environnement de test.

sudo nmcli connection modify "Wired connection 1" ipv4.method manual \    ipv4.addresses 192.0.2.10/24 ipv4.gateway 192.0.2.1 ipv4.dns 192.0.2.53sudo nmcli connection up "Wired connection 1"

• Contexte : console de la VM (pas SSH : la session serait coupée) ; nom du profil relevé avec nmcli connection show.
• Droits : sudo.
• Effet : adresse fixe appliquée immédiatement.
• Vérification : ip -br address ; ip route.
• Retour arrière : nmcli connection modify "Wired connection 1" ipv4.method auto ipv4.addresses "" ipv4.gateway "" ipv4.dns "" puis connection up.

Différence : RHEL 10 n'accepte plus les fichiers ifcfg (format keyfile dans /etc/NetworkManager/system-connections/).

firewalld

Attention, effet notable. Cette commande peut s'exécuter avec des droits élevés. Lire le contexte, les droits et l’effet attendu indiqués après le bloc ; ne jamais l’exécuter sur un système réel sans validation, d’abord dans un environnement de test.

sudo firewall-cmd --add-service=httpsudo firewall-cmd --runtime-to-permanentsudo firewall-cmd --permanent --remove-service=httpsudo firewall-cmd --reload

• Contexte : VM jetable ; seconde session SSH ouverte ; ne jamais retirer ssh de la zone active.
• Droits : sudo.
• Effet : --add-service : exécution seulement ; --runtime-to-permanent : rend durable ; --permanent + --reload : modification durable appliquée.
• Vérification : --list-services puis --list-services --permanent.
• Retour arrière : --remove-service=http ; --reload rétablit le permanent.

SELinux

Démarche : lire le refus → identifier la cause (étiquette, booléen, port) → corriger → vérifier. setenforce 0 ne sert qu'à confirmer que SELinux est en cause, jamais de solution.

Attention, effet notable. Cette commande peut s'exécuter avec des droits élevés. Lire le contexte, les droits et l’effet attendu indiqués après le bloc ; ne jamais l’exécuter sur un système réel sans validation, d’abord dans un environnement de test.

sudo semanage fcontext -a -t httpd_sys_content_t "/srv/site(/.*)?"sudo restorecon -R -v /srv/sitesudo setsebool -P httpd_can_network_connect onsudo semanage port -a -t http_port_t -p tcp 8081

• Contexte : VM jetable ; types, booléens et ports d'exemple (à confirmer par semanage fcontext -l, getsebool -a, semanage port -l).
• Droits : root.
• Effet : règle d'étiquette durable, réétiquette récursive, booléen permanent, port ajouté à un type.
• Vérification : ls -Z /srv/site, getsebool httpd_can_network_connect, semanage port -l | grep 8081.
• Retour arrière : semanage fcontext -d … puis restorecon -R -v ; setsebool -P … off ; semanage port -d -t http_port_t -p tcp 8081.

SSH

Réglages cités par la documentation RHEL 9 : PasswordAuthentication no, PubkeyAuthentication yes, KbdInteractiveAuthentication no, PermitRootLogin no, AllowUsers/AllowGroups, X11Forwarding no.

Attention, effet notable. Cette commande peut s'exécuter avec des droits élevés. Lire le contexte, les droits et l’effet attendu indiqués après le bloc ; ne jamais l’exécuter sur un système réel sans validation, d’abord dans un environnement de test.

sudo cp -p /etc/ssh/sshd_config /root/sshd_config.avantsudo sshd -t && sudo systemctl reload sshd

• Contexte : VM jetable ; clé testée avec succès avant de désactiver les mots de passe ; deux sessions ouvertes ; console sous la main.
• Droits : sudo.
• Effet : copie la configuration puis applique la nouvelle seulement si la syntaxe est valide.
• Vérification : nouvelle connexion par clé acceptée, par mot de passe refusée.
• Retour arrière : sudo cp -p /root/sshd_config.avant /etc/ssh/sshd_config && sudo systemctl reload sshd.

Audit et mises à jour de sécurité

Sauvegarde de base

Attention, effet notable. Cette commande peut s'exécuter avec des droits élevés, écrire ou écraser un fichier. Lire le contexte, les droits et l’effet attendu indiqués après le bloc ; ne jamais l’exécuter sur un système réel sans validation, d’abord dans un environnement de test.

rpm -qa --qf '%{NAME}\n' | sort > /tmp/paquets.txtsudo tar --acls --selinux --xattrs -czf /tmp/etc-sauvegarde.tar.gz /etcsudo tar -tzf /tmp/etc-sauvegarde.tar.gz | head

• Contexte : VM jetable ; options tar à confirmer avec man tar ; copier hors de la machine, jamais au même endroit que les données.
• Droits : sudo.
• Effet : crée deux fichiers ; l'archive contient des données sensibles (droits stricts).
• Vérification : tar -tzf ; restauration testée dans un répertoire vide.
• Retour arrière : supprimer les fichiers d'essai créés.

Cockpit et Podman (mention)

Cockpit (console web, cockpit.socket, port 9090 de mémoire) : guide « Managing systems in the RHEL web console ». Podman : guide « Building, running, and managing containers » ; notions communes dans le cours Docker. Détails non vérifiés.

Différences RHEL 9 / 10 (d'après le guide d'adoption de RHEL 10)