Aller au contenu

Hygiène de patching — SUSE Manager

Le connecteur SUSE Manager lit SUSE Multi-Linux Manager 5.1 (et SUSE Manager 5.0) en lecture seule pour répondre à une question simple : quels serveurs SUSE ne reçoivent pas leurs correctifs de sécurité, et depuis quand ?

Il alimente :

  • l'inventaire (un serveur InfraRiver par système géré, rapproché des autres sources) ;
  • la page Analyse → SUSE Manager (/suma/) : quatre indicateurs, le tableau des systèmes et une fiche par système ;
  • une carte SUSE Manager sur la fiche de chaque serveur connu de SUSE Manager ;
  • les vulnérabilités : les CVE corrigées par un erratum de sécurité non installé sont ajoutées au serveur avec la source suma.

Lecture seule

Le connecteur n'appelle que des méthodes de lecture de l'API. Il ne peut ni planifier un correctif, ni redémarrer un système, ni lancer une commande à distance.

Installation

Le connecteur est fourni avec le paquet principal infrariver : rien à installer en plus. L'entrée SUSE Manager apparaît dans Connecteurs → Infra & Virtualisation. Tant que le connecteur n'est pas configuré et synchronisé, la page Analyse l'indique simplement.

Ancien paquet infrariver-connector-suma

Il existait auparavant comme paquet séparé. Il est désormais intégré au paquet principal : la mise à jour d'infrariver remplace automatiquement l'ancien paquet, sans action de votre part.

Préparer le compte de service

Créez dans SUSE Manager un compte dédié (par exemple api-infrariver).

  • Visibilité : un compte ordinaire ne voit que les systèmes des groupes qui lui sont assignés, sans aucune erreur. L'inventaire serait silencieusement partiel. Le rôle org_admin donne la visibilité sur tout le parc de l'organisation.
  • Lecture seule : recommandée si votre version le permet (seconde barrière), mais pas exigée. Après un test de connexion, la carte Compte de service affiche les rôles effectifs du compte, s'il est en lecture seule et combien de systèmes il voit.

Configurer

Page Connecteurs → SUSE Manager (/plugins/suma/) :

Champ Rôle
URL de l'instance Adresse du serveur, par exemple https://suma.exemple.local. Un chemin collé par erreur (/rpc/api de l'ancienne API XML-RPC, /rhn/manager/api) est retiré à l'enregistrement et à chaque appel ; sans schéma, https:// est ajouté.
Compte / mot de passe Le compte de service. Le mot de passe est stocké chiffré ; laisser vide pour conserver celui déjà enregistré.
Vérification TLS À laisser cochée en production.
Bundle CA Chemin d'un fichier PEM si l'instance utilise une autorité interne.
Seuil de silence (jours) Au-delà de ce délai sans check-in, un système est considéré silencieux (14 par défaut).
Intervalle de synchronisation En minutes (120 par défaut).

Puis :

  1. Tester — vérifie la connexion et affiche le nombre de systèmes visibles, le produit et sa version. En cas d'échec, le message brut de l'API ou de la connexion est affiché, et reste visible dans la carte de statut après rechargement.
  2. Synchroniser — lance une première synchronisation. Suivez-la avec voir le log.
  3. L'inspecteur en bas de page affiche, pour un nom de système, les données brutes reçues et ses errata en attente.

Le proxy sortant global (Administration → Proxy) est appliqué, avec ses exclusions.

Lire la page Analyse

Les quatre indicateurs

Chaque carte est cliquable et filtre le tableau en conséquence.

Indicateur Signification
Errata sécurité en attente Systèmes avec au moins un erratum de sécurité applicable mais non installé, et depuis combien de temps le plus ancien est connu.
Systèmes silencieux Aucun check-in depuis le seuil configuré. Ces systèmes ne reçoivent plausiblement plus rien, sans erreur visible dans SUSE Manager.
Fenêtre passée sans correction La dernière fenêtre de patching du serveur (calendrier Patching) est terminée, le correctif existait déjà avant, et il n'est toujours pas installé.
Redémarrage requis Correctifs installés mais pas encore effectifs (noyau typiquement). Masqué tant que l'information n'est pas disponible.

Le cas le plus grave

Un système silencieux et porteur d'errata de sécurité est signalé par le badge exposé et placé en tête du tableau : son agent est probablement hors service, et l'exposition n'est plus corrigée.

Ancienneté : un minorant

« Vu en attente depuis » est la date à laquelle InfraRiver a vu l'erratum en attente pour la première fois, pas une date reconstruite. Juste après l'installation du connecteur, cette ancienneté est donc courte : c'est un minorant. La date de publication de l'erratum est affichée à côté.

Fenêtre passée sans correction

L'indicateur ne concerne que les systèmes rapprochés d'un serveur InfraRiver qui a une fenêtre de patching active :

  • une fenêtre récurrente compte à partir de la fin de sa dernière occurrence (une fenêtre en cours ne compte pas) ;
  • une suspension retire l'occurrence concernée ;
  • un override ponctuel compte comme une occurrence et remplace l'occurrence récurrente la plus proche (voir le guide Patching).

Tableau, filtres et export

Le tableau suit le standard des pages d'inventaire : recherche, filtres par colonne, filtre avancé ET/OU, colonnes à afficher et à réordonner, filtres sauvegardés, export CSV ou Excel des lignes filtrées. Le lien Absents de SUSE Manager ouvre CrossRiver sur les serveurs connus d'autres sources mais que SUSE Manager ne gère pas.

Vulnérabilités : ce que signifie la source suma

Une CVE de source suma signifie « un correctif existe et n'est pas installé », pas « la vulnérabilité a été détectée par un scan ». C'est une preuve forte pour les paquets, aveugle pour le reste (configuration, logiciels hors paquets). Elle complète un scanner comme Rapid7.

Le connecteur n'écrit jamais la sévérité ni le score CVSS, ne marque jamais une CVE comme corrigée et ne rouvre jamais une CVE qu'un humain a clôturée.

Questions fréquentes

Un système n'apparaît pas. Vérifiez la visibilité du compte (carte Compte de service : nombre de systèmes vus) — c'est la cause la plus fréquente.

Un système apparaît en double dans l'inventaire. Le rapprochement se fait sur le nom court, puis le FQDN, puis l'IP. Comparez ces valeurs entre SUSE Manager et l'autre source.

Journal : « errata/getDetails failed: The patch … cannot be found ». SUSE Manager liste cet erratum comme pertinent pour le système mais refuse d'en donner le détail (erratum cloné ou renommé, canal que le compte de service ne voit pas).

Le système est synchronisé quand même : l'erratum est gardé avec son nom, son type et son résumé, mais sans la liste de ses CVE tant que le détail reste illisible. La synchro suivante réessaie, et le résumé de synchro indique le nombre d'errata au détail illisible.

Pour obtenir les CVE, donnez au compte de service l'accès au canal qui contient cet erratum.

« Check-in inconnu ». Typique des systèmes gérés en salt-ssh : ils ne sont jamais comptés silencieux faute de date de contact.

Le test échoue avec « Unable to connect to proxy … 403 Forbidden »

Le proxy sortant global d'InfraRiver s'applique à tout serveur absent de sa liste d'exceptions. Un SUSE Manager interne doit y figurer (Administration → Proxy sortant, champ des exceptions, par exemple .va.local) : le proxy de l'entreprise refuse de joindre une adresse interne. Une réponse « unexpected response shape … n'est pas du JSON » signale que l'adresse ne désigne pas un SUSE Manager (voir l'URL ci-dessus).