Automatiser : PowerShell et scripts Linux

Pourquoi automatiser

Le document du bloc en donne quatre raisons. Elles ne se valent pas.

PowerShell, les bases

Une commande PowerShell s'appelle une cmdlet et suit toujours la forme Verbe-Nom : Get-Service, New-ADUser, Set-Content. La convention rend le vocabulaire devinable.

# Une variable commence par $
$Nom = "Dupont"
$Age = 22

# Une condition. Les operateurs sont textuels : -gt, -lt, -eq, -ne
if ($Age -gt 18) {
    Write-Host "Majeur"
} else {
    Write-Host "Mineur"
}

# Une boucle sur une collection
$Utilisateurs = @("marie", "marc", "melanie")
foreach ($User in $Utilisateurs) {
    Write-Host "Traitement de $User"
}

# Une fonction
function Get-EspaceLibre {
    param([string]$Lecteur = "C")
    $Disque = Get-PSDrive $Lecteur
    return [math]::Round($Disque.Free / 1GB, 2)
}

Write-Host "Espace libre : $(Get-EspaceLibre 'C') Go"

Le pipeline

C'est la construction qui donne sa puissance au langage : la sortie d'une cmdlet devient l'entrée de la suivante, sous forme d'objets et non de texte.

Administrer l'annuaire par script

Le module Active Directory fournit les cmdlets qui recouvrent tout le cycle de vie d'un compte.

# Creer un compte dans la bonne unite d'organisation
New-ADUser -Name "Marie Dupont" `
           -SamAccountName "m.dupont" `
           -UserPrincipalName "m.dupont@neolink.local" `
           -Path "OU=Comptabilite,OU=Utilisateurs,DC=neolink,DC=local" `
           -AccountPassword (Read-Host -AsSecureString "Mot de passe") `
           -ChangePasswordAtLogon $true `
           -Enabled $true

Add-ADGroupMember -Identity "GG_Comptabilite" -Members "m.dupont"

# Les comptes inactifs depuis plus de 90 jours : la revue que personne ne fait
$Limite = (Get-Date).AddDays(-90)
Get-ADUser -Filter { LastLogonDate -lt $Limite -and Enabled -eq $true } `
           -Properties LastLogonDate |
    Select-Object Name, SamAccountName, LastLogonDate |
    Export-Csv comptes-inactifs.csv -NoTypeInformation

La logique d'un script de création de comptes

La partie délicate n'est pas la cmdlet, c'est la règle de nommage et ce qu'elle doit gérer : les accents, les homonymes, la longueur maximale d'un identifiant. C'est cette logique que le bloc Python ci-dessous éprouve, avant de l'écrire en PowerShell.

Côté Linux

Les mêmes besoins, avec d'autres outils. Un script bash, planifié par cron.

#!/bin/bash
# Surveillance de l'espace disque, alerte au-dela d'un seuil

SEUIL=85
DESTINATAIRE="admin@neolink.local"

df -h --output=pcent,target | tail -n +2 | while read pourcent point; do
    valeur=${pourcent%\%}
    valeur=${valeur// /}
    if [ "$valeur" -ge "$SEUIL" ]; then
        echo "$(date '+%F %T') ALERTE $point est a ${valeur}%" >> /var/log/espace.log
        echo "$point occupe a ${valeur}%" | mail -s "Disque plein" "$DESTINATAIRE"
    fi
done

La planification se lit dans cinq champs : minute, heure, jour du mois, mois, jour de la semaine.

# m  h  jm mois js   commande
  0  6  *  *   *     /opt/scripts/espace-disque.sh
  0  2  *  *   0     /opt/scripts/sauvegarde-complete.sh
  0  2  *  *   1-6   /opt/scripts/sauvegarde-differentielle.sh
 */15 * *  *   *     /opt/scripts/verifie-services.sh

Rendre un script digne de confiance

Un script qui modifie l'annuaire ou supprime des fichiers mérite trois garanties. Aucune n'est optionnelle.

Exercices type

La méthode

1. Écris la règle avant le script. Nommage, cas particuliers, ce qui se passe si l'objet existe déjà.
2. Éprouve la logique sur des données de test qui contiennent les cas tordus : accents, homonymes, noms trop longs.
3. Commence par une simulation sur un périmètre réduit, et relis la sortie ligne à ligne.
4. Journalise chaque action avec sa date, son auteur et son résultat.
5. Rends le script idempotent : il doit pouvoir être relancé sans dégât.
6. Automatise la détection, fais valider la destruction.
7. Range le script quelque part de partagé et versionné. Un script sur le poste d'un technicien n'est pas une procédure d'entreprise.

En résumé

• L'automatisation apporte surtout la reproductibilité : une procédure écrite dans un script ne dérive pas.
• PowerShell manipule des objets, pas du texte. Cmdlets en Verbe-Nom, composées par le pipeline.
• Le module Active Directory couvre tout le cycle de vie : New-ADUser, Get-ADUser, Add-ADGroupMember, Disable-ADAccount.
• Une règle de nommage doit gérer les accents, les homonymes et la longueur maximale.
• Sous Linux, bash et cron en cinq champs : minute, heure, jour du mois, mois, jour de la semaine.
• Trois garanties : simulation, journalisation, idempotence.
• Un script se trompe plus vite et plus largement qu'un humain. Il se teste en conséquence.

Et ensuite ? Il reste une question à laquelle rien de tout cela ne répond : comment prouver qu'un serveur est bien celui qu'il prétend être, et comment protéger ce qui circule entre deux sites ? Le dernier chapitre traite des certificats, de TLS et des accès distants.