Lab : préparer le serveur de Signalements

#!/usr/bin/env python3
"""Signalements, version de laboratoire : répond à GET /sante."""
import json
import os
from http.server import BaseHTTPRequestHandler, HTTPServer


class Gestionnaire(BaseHTTPRequestHandler):
    def do_GET(self):
        if self.path == "/sante":
            code, corps = 200, {"etat": "ok", "version": os.environ.get("APP_VERSION", "inconnue")}
        else:
            code, corps = 404, {"erreur": "introuvable"}
        donnees = json.dumps(corps).encode()
        self.send_response(code)
        self.send_header("Content-Type", "application/json")
        self.send_header("Content-Length", str(len(donnees)))
        self.end_headers()
        self.wfile.write(donnees)


HTTPServer(("127.0.0.1", 8000), Gestionnaire).serve_forever()

#!/usr/bin/env bash
# Vérifie les propriétés attendues du lab « préparer le serveur de Signalements ».
# Usage : sudo bash verifier-lab.sh
# Chaque contrôle affiche OK ou ÉCHEC ; le code de sortie est le nombre d'échecs.
set -uo pipefail
export LC_ALL=C.UTF-8
echecs=0

controle() {   # controle "libellé" commande...
  local libelle=$1; shift
  if "$@" > /dev/null 2>&1; then
    echo "OK     $libelle"
  else
    echo "ÉCHEC  $libelle"
    echecs=$((echecs + 1))
  fi
}

droits() {   # droits chemin "mode propriétaire:groupe"
  [ "$(stat -c '%a %U:%G' "$1")" = "$2" ]
}

[ "$(id -u)" -eq 0 ] || { echo "Lancez ce script avec sudo." >&2; exit 1; }

controle "aucune mise à jour de sécurité en attente" \
  bash -c '! apt-get -s upgrade | grep -q "^Inst .*-security"'
controle "les mises à jour automatiques sont activées" \
  bash -c 'eval "$(apt-config shell V APT::Periodic::Unattended-Upgrade)"; [ "${V:-0}" = 1 ]'

controle "le compte système signalements existe (UID < 1000, sans shell)" \
  bash -c 'getent passwd signalements | awk -F: '\''$3 < 1000 && $7 ~ /(nologin|false)$/ {ok=1} END {exit !ok}'\'''
controle "aucun répertoire personnel n'a été créé pour signalements" \
  bash -c 'h=$(getent passwd signalements | cut -d: -f6); [ ! -d "$h" ] || [ "$h" = /nonexistent ]'

controle "/opt/signalements : 755 root:root" droits /opt/signalements "755 root:root"
controle "/opt/signalements/app.py : 644 root:root" droits /opt/signalements/app.py "644 root:root"
controle "/etc/signalements : 750 root:signalements" droits /etc/signalements "750 root:signalements"
controle "/etc/signalements/env : 640 root:signalements" droits /etc/signalements/env "640 root:signalements"
controle "env définit APP_VERSION=1.0.0" grep -qx 'APP_VERSION=1.0.0' /etc/signalements/env
controle "aucun fichier modifiable par tous" \
  bash -c '[ -z "$(find /opt/signalements /etc/signalements -perm -o+w)" ]'

controle "signalements.service est actif" systemctl is-active --quiet signalements
controle "signalements.service est activé au démarrage" systemctl is-enabled --quiet signalements
controle "le service tourne sous le compte signalements" \
  bash -c '[ "$(ps -o user= -p "$(systemctl show -p MainPID --value signalements)")" = signalements ]'
controle "le service lit /etc/signalements/env" \
  bash -c 'systemctl show -p EnvironmentFiles --value signalements | grep -q "^/etc/signalements/env "'
controle "le service redémarre en cas d'échec" \
  bash -c 'r=$(systemctl show -p Restart --value signalements); [ "$r" = on-failure ] || [ "$r" = always ]'
controle "GET /sante répond 200 avec la bonne version" \
  bash -c 'curl -fsS http://127.0.0.1:8000/sante | grep -q "\"version\": \"1.0.0\""'
controle "le port 8000 n'écoute que sur 127.0.0.1" \
  bash -c '[ "$(ss -Hltn "sport = :8000" | awk "{print \$4}" | sort -u)" = "127.0.0.1:8000" ]'

controle "dominique est dans signalements-dev" \
  bash -c 'id -nG dominique | tr " " "\n" | grep -qx signalements-dev'
controle "dominique n'est pas dans sudo" \
  bash -c '! id -nG dominique | tr " " "\n" | grep -qx sudo'
controle "dominique lit les journaux (groupe systemd-journal)" \
  bash -c 'id -nG dominique | tr " " "\n" | grep -qx systemd-journal'
controle "dominique peut redémarrer le service" \
  bash -c 'sudo -l -U dominique | grep -q "/usr/bin/systemctl restart signalements"'
controle "dominique n'a aucun droit sudo général" \
  bash -c '! sudo -l -U dominique | grep -qE "\(ALL( : ALL)?\) (NOPASSWD: )?ALL$"'
controle "la configuration de sudo est valide" visudo -c -q

controle "/srv/equipe : 2770 root:signalements-dev" droits /srv/equipe "2770 root:signalements-dev"
controle "le journal est persistant" test -d /var/log/journal

echo
echo "$echecs échec(s)"
exit "$echecs"