Foire Aux Questions de l'Adullact

Quelles sont les nouveautés dans S2LOW v1.0.7.1?

Le dispositif de télétransmission de l'ADULLACT passe en V1.0.7.1.

Correction des bugs dans la partie 'Administration :

statistiques erronées pour les administrateurs de groupe,
enregistrement correct des codes postaux commençant par un '0',
problèmes liés à la gestion des droits,
l'administrateur du groupe connaît tous les SIRENS qu'il peut administrer.

Correction des bugs dans le module Actes :

Possibilité d'ajouter une pièce jointe sans perdre les pièces jointes déjà saisies,
toutes les applets (signature des actes et gestion par lot) ont été correctement signées,
rétablissement de l'envoi des notifications par mail,
certains fichiers pdf n'étaient pas acceptés par l'antivirus S2LOW,
rapidité de réaction de la plate-forme.

Ajout du Module Mail Sécurisé

Faire une demande d'un certificat serveur pour S²LOW

S²LOW utilise pour sécuriser les informations qui transitent sur le réseau un certificat serveur SSL X509. Nous allons détailler à travers ce billet comment générer un certificat SSL signé par une autorité de certification reconnue par le MINEFI.

Informations nécessaires pour fabriquer un CSR

Le pays ou se trouve le serveur (ex: Fr)
La région ou le département où se trouve le serveur (ex: LR ou Herault)
La vile où se trouve le serveur (ex: Montpellier)
L'organisation qui émet la demande (ex:entreprise, association, collectivité...)
Le service dont le serveur dépend (ex: Service informatique)
L'URL du site (Common Name, ex: mon_nom.mon_site.fr)
L'@mail du contact

Générer le fichier CSR (Certificat Sign Request)

Pour Linux

Vous devez avoir installé au préalable le paquet openssl.

#openssl genrsa -des3 2048 > nom_mon_site.key

Cette commande génère la clé privée de votre certificat, ne jamais publier cette clé. Si votre clé privée est perdue ou endommagée, vous ne pourrez plus utiliser votre certificat SSL. Une pass_phrase vous est demandée, choisissez un mot de passe, il protège votre clé. Mémorisez le, il vous sera demandé lors de la configuration de S²LOW pour Apache2.

#openssl req -new -key nom_mon_site.key > nom_mon_site.csr

Cette commande génère une demande de certificat, elle est obtenue à partir de votre clé privée. Vous devez fournir les informations relatives à l'identité de votre site web. C'est le contenu de ce fichier que nous allons faire signer par l'autorité de certification Certinomis.
Nous vous invitons à lire les informations livrées par Certinomis pour vous aider à remplir votre CSR.

Une fois le CSR créé, nous vous invitons à suivre le formulaire d'inscription de notre partenaire Certinomis. Le nom du certificat est de type SSL.

Pré-requis pour une installation de S²LOW internalisée.

Vous trouverez ci-dessous la liste des Pré-requis pour une installation de S²LOW internalisée... Pour le serveur :

1Go de Ram (2Go Recommandé)
Un espace disque de 40Go + Espace disque en fonction du nombre d'actes à traiter/stocker
CPU 2Ghz mono coeur <= 20 utilisateurs, pour une utilisation supérieure à 20 utilisaterus augmenter sensiblement la RAM et le CPU

ADULLACT recommande un serveur GNU/Linux Ubuntu 6.06 LTS.
Pour l'installation, le serveur doit-être connecté à Internet afin de récupérer et installer les derniers paquets disponibles.
Sur une base Ubuntu Server, les principales briques logicielles qui seront installées:

PostgreSql
Le JDK Sun JAVA
Apache2, mod_ssl
Tomcat
Postfix
Snort
Clamav
Amavisd-new

Voir aussi comment commander un certificat SSl serveur.

Pour les postes utilisateurs :

L'application S²LOW nécessite l'utilisation exclusive d'un navigateur WEB. L'utilisateur peut utiliser n'importe quel navigateur. L'ADULLACT préconise les navigateurs conformes W3C.
La JVM 1.6 (ou supérieur) doit être installée sur les postes clients afin de pouvoir télétransmettre des actes en traitement par lot.
Voir aussi le billet sur le démarrage de S²LOW

Pour l'environnement système :

Pour l'utilisation, les ports 80/tcp (http) et 443/tcp (https) doivent être ouverts en sortie sur le firewall entre les postes clients et le serveur.

Pour l'installation, la configuration à distance et la maintenance, un accès SSH au serveur internalisé est fortement recommandée. Cela implique une ouverture du port 22/tcp en entrée sur le firewall. Il est recommandé de prendre contact avec l'équipe technique ADULLACT afin d'affiner les règles de filtrage.

Comment résoudre les problémes d'installation d'applications basées sur cakePHP ?

L'installation des applications comme GTT, Web-Delib, WebSubvention peut parfois s'avérer difficile. Vous trouverez ci-dessous comment éviter les pièges souvent rencontrés... 1) La configuration de la base de données :
La configuration de la base de données se fait dans le fichier suivant : {Répertoire_installation}/{nom_application}/app/config/database.php

2) Le répertoire tmp/ :
Penser à donner les droits d'écriture à ce répertoire sans quoi les caches de pages ne pourront pas ce générer.
Il y a deux façon de faire cela :

chmod -R 777 {Répertoire_installation}/{nom_application}/tmp

OU alors on donne les droits d'écriture uniquement à apache. Cela pourrait ressembler sur une debian à :

chown -R www-data: {Répertoire_installa}/{nom_appli}/tmp

3) La ré-écriture d'url :
Pour permettre le framework cakePhp de faire de la redirection d'url, il est indispensable que le module rewrite soit activé dans votre configuration apache.
Décommentez ( ou ajouter si elle n'existe pas ) la ligne suivante :

LoadModule rewrite_module {répertoire_modules_apache}/mod_rewrite.so

Il faut également vérifier la directive AllowOverride soit égale à All dans la balise directory de votre DocumentRoot.
Sous debian, cela pourrait ressembler à quelque chose comme cela :
<Directory /var/www/>
   Options Indexes FollowSymLinks MultiViews
    AllowOverride All
    Order allow,deny
     allow from all
</Directory>

4) short_open_tag :
short_open_tag est une directive définie dans le php.ini
Définit si les balises courtes d'ouverture de PHP ( ) sont autorisées ou non.
Dans le cas de nos applications, nous vous conseillons de passer cette directive à ON.

5) Configuration de l'envoi des mails :
Dans certains cas, les applications peuvent envoyer des mails.
Les variables à configurer comme l'host SMTP, le login de connexion au serveur smtp, etc... se situent dans le fichier :
{Répertoire_installation}/{nom_application}/app/controllers/components/email.php

6) Maccro DEBUG :
Par défaut, les applications sont livrés en mode production.
Cela signifie que, pour des raisons de sécurités, les erreurs seront systématiquement cachées.
Si le problème persiste, vous pouvez les afficher en modifiant le fichier :
{Répertoire_installation}/{nom_application}/app/config/core.php
Il suffira de remplacer la ligne :
    define('DEBUG', 0);
par :
    define('DEBUG', 1);

Quelles sont les nouveautés dans S2LOW v1.0.4?

Le dispositif de télétransmission de l'ADULLACT passe en V1.0.4. Suite à des retours actifs des collectivités uilisatrices de la plateforme de télétransmission S²LOW, les améliorations suivantes ont été apportées :

Diffusion automatique des notifications par mails (Accusé de réception de la préfecture)
Suivi des documents sources (l'acte envoyé)
Possibilité de joindre des pièces durant la gestion par lot

Concernant la diffusion des mails, on doit noter la différence entre l'adresse mail métier, les adresses mail de diffusion par défaut et les adresses mail de diffusion d'information.

adresses electroniques métier:

technique

adresses electroniques de diffusion par défaut:

adresses electroniques de diffusion d'informations:

Pré-requis pour une installation du parapheur électronique.

Vous trouverez ci-dessous la liste des Pré-requis pour une installation du parapheur électronique. Pour le serveur, les pré-requis matériels sont :

512 Mo de Ram (1Go Recommandé)
Un espace disque de 40Go + Espace disque en fonction du nombre de dossiers à archiver
CPU 1Ghz mono coeur <= 20 utilisateurs, pour une utilisation supérieure à 20 utilisateurs augmenter sensiblement la RAM et le CPU

ADULLACT recommande un serveur GNU/Linux.
L'installation a été validée sur la plateforme Ubuntu 8.04 server LTS, mais le parapheur électronique peut également être installé sous d'autres systèmes d'exploitation: Debian (en cours de validation sur Debian Etch), Fedora/CentOS/RedHat ES, Mandriva Server,... sous réserve que les pré-requis logiciels ci-dessous soient respectés, et sous réserve de validation par les équipes techniques de l'Adullact.
Pour l'installation, le serveur doit-être connecté à Internet afin de récupérer et installer les derniers paquets disponibles.

Les pré-requis logiciels sont:

MySQL 5
OpenOffice.org 2.4 et ImageMagick
Sun JDK JAVA6
Apache2, agrémenté des modules complémentaires mod_jk, mod_ssl
et bien entendu Alfresco (version 2.1) sur Tomcat

L'installation sur serveur Microsoft Windows est aussi théoriquement possible, mais non validée à ce jour par l'équipe technique Adullact.

Pour les postes utilisateurs :

Le parapheur électronique nécessite l'utilisation exclusive d'un navigateur WEB.
L'utilisateur peut utiliser n'importe quel navigateur.
L'ADULLACT préconise les navigateurs conformes W3C.
La JVM 1.5 (ou supérieur) doit être installée sur les postes clients afin de pouvoir signer numériquement les dossiers.

Pour l'environnement système :

Si un annuaire de type LDAP est déjà en place, l'organisation de l'annuaire doit être communiquée afin de créer le lien avec le parapheur et faire en sorte que les utilisateurs inscrits dans le LDAP soient connus du parapheur électronique.
Les ports HTTP (TCP 80) et HTTPS (TCP 443) doivent être ouverts entre le serveur et les postes clients. L'usage de certains proxies peut gêner le bon fonctionnement des applets Java de signature électronique.

Qualité de l'hébergement des services ADULLACT

Quel est le niveau de qualité de l'hébergement des services ADULLACT? Les services concernés sont :

la "forge", (GFORGE),
la "plate-forme de marché public" (METROPOLIS),
le "dispositif de teletransmission" (S2LOW).

Les services de l'association sont hébergés au CITIC74. Une convention a été passée entre le CITIC74 et l'ADULLACT. L'association bénéficit donc des performances et de la qualité des services du CITIC74 et cela contractuellement.

bande passante : le débit alloué à l'ADULLACT est de 100Mb/s. Ce débit n'est utilisé qu'à 15% à ce jour, avec de rares pointes à 30% et ce malgré l'activité intense des services considérés.
taux de disponibilité : le CITIC74 annonce un taux de disponibilité de 99,996% (*) pour sa ligne spécialisée, soit l'équivalent de quelques heures d'interruption par an seulement. Les machines sont toutes redondées et bénéficient de technologie de virtualisation des systèmes (XEN): cela permet entre autre de garantir la parfaite synchronisation entre les machines redondées et le passage de l'une à l'autre en quelque milisecondes en cas de défaillance matérielle.
sauvegardes : toutes les données des services ADULLACT sont sauvegardés sur des disques sécurisés du CITIC74, puis doublement stockés sur bandes, à la fois au CITIC74 et par l'association.
délai d'intervention de l'hébergeur : en cas de problème sérieux (reboot manuel, ...), le personnel du CITIC74 est capable d'intervenir dans l'heure ouvrée, mais en général dans la minute qui suis la demande d'intervention.
firewall : le CITIC74 gère les firewalls pour tous les hébergements du département Haute-Savoie. ADULLACT bébéficie de la qualité de ce service public. ADULLACT opére ses propres limitations d'accès en plus et selon les services.
surveillance : ADULLACT utilise des outils libres reconnus pour leur fiabilité (nagios) pour surveiller tous les services en ligne. Des messages d'alerte sont envoyés automatiquement dès qu'un service émet des signes de faiblesse. Ce service de surveillance est lui même hébergé ailleurs afin de séparer les éléments surveillés et l'outil de surveillance.

Certificats électroniques et dispositifs de teletransmission

Tout ce que vous avez toujours voulu savoir sur les certificats électroniques et les dispositifs de teletransmission Question posée: peut on utiliser des certificats "gratuits" (on parle aussi de certificats "auto-signés" ou certifiacts "proprietaires" ou "dédiés"...) pour se connecter sur un dispositif de teletransmission et teletransmettre des documents vers le controle de legalité.

L'association ADULLACT s'est penchée sur ce problème afin d'aider ses adhérents (et toutes les collectivités) à s'y retrouver dans l'imbroglio d'informations plus ou moins contradictoires, pour ne pas parler de désinformation.

L'ADULLACT a étudié plusieurs options pour permettre aux collectivités de diminuer le coût à investir afin de permettre à leurs agents de teletransmettre, vers ACTES aujourd'hui, HELIOS demain, etc...

la collectivité est elle autorisée à fabriquer elle meme les certificats pour ses agents?
l'opérateur du dispositif de teletransmission est-il habilité à fabriquer lui même des certificats dédiés à son dispositif, pour les collectivités utilisant son dispositif?
existe-t-il une solution gratuite pour obtenir des certificats certifiés?

Pour répondre à ces questions, l'ADULLACT a rencontré les responsables du projet ACTES au MIAT. Après concertations avec d'autres acteurs officiels (MINEFI et projet Helios, DGME...) la réponse du MIAT a été très claire: non à toutes les questions!

Et de rappeler que TOUS les opérateurs offrant une plateforme habilitée à teletransmettre avec le ministère se sont engagés contractuellement sur un protocole d'authentification très précis.
Ce protocole est abordé dans le cahier des charges du MIAT (annexe2, exigence 3.6, paragraphe 5.2) puis confirmé et précisé dans la convention type de raccordement que chaque opérateur signe avec le MIAT. Cette convention précise (paragraphe 5):

L'opérateur devra veiller à ce que l'authentification des collectivités repose sur l'utilisation de certificats conformes aux spécifications du paragraphe5.2 de l'annexe2 du cahier des charges d'homologation. Tout autre certificat ne doit pas être accepté. L'opérateur met à jour le paramétrage de son dispositif afin de s'en assurer.

En résumé: quelque soit la solution technique retenue (S²LOW ou autres...), un agent appelé à teletransmettre doit impérativement se connecter au dispositif avec un certificat à identification forte (dit classe 3 cad imposant l'achat auprès d'une des entités certifiées par le MINEFI : CFF, BNP, CERTINOMIS, CHAMBERSIGN...). A cette heure, il n'y a donc aucune option permettant de teletransmettre avec des certificats gratuits!

toutefois... fort des remarques que l'ADULLACT lui a faites, le MIAT a proposé de rédiger une demande officielle auprès des services compétents du MINEFI, afin de permettre l'obtention gratuite de certificats pour les collectivités le demandant, au même titre que cela a été promis au MEDEF pour les petites entreprises.
Nous n'avons pas d'information supplémentaire sur ce dernier point à ce jour (12 avril 2007).

On notera une autre possibilité pour télétransmettre via un dispositif de télétransmission sans certificat certifié: via un serveur de login internalisé dans la collectivité.
Par exemple, le parapheur electronique permet de se connecter via un simple login/motdepasse (ldap) au sein de la collectivité, et le dossier, une fois validé au sein du parapheur peut être envoyé au dispositif (S2LOW ou un autre...) via un seul et unique certificat certifié. N'hésitez pas à nous contacter pour en savoir plus...

Pour en savoir plus sur les certificats certifiés par le MINEFI.

Prérequis pour une journée "Découverte de CakePHP"

Que faut-il installer sur un poste de travail pour participer à une journée de découverte du framework de développement d'applications web CakePHP ?
Pour organiser ou participer à une telle journée, vous aurez à préparer votre poste de travail en y installant les logiciels suivants :

Un environnement d'exécution Java (JRE), téléchargeable depuis java.com.
La dernière version de PHPEclipse, l'environnement de développement Eclipse pour PHP. L'outil est téléchargeable depuis cette page.
Le navigateur Firefox. Voir la page de téléchargement sur le site de Mozilla Europe.
Un environnement d'exécution web. Vous pouvez utiliser Wamp ou Xampp..

Pré-requis pour la mise en production de S²LOW (ACTES)

Pré-requis demandés aux utilisateurs du module ACTES de la plate-forme nationale mutualisée www.s2low.org et mode opératoire de démarrage.

Pré-requis et informations à fournir avant de démarrer S2LOW

Avant de pouvoir télé-transmettre, une collectivité doit fournir un certain nombre d'informations pour permettre son enregistrement sur la plate-forme S²LOW:
Ces informations sont dictées par le cahier des charges des dispositifs de télétransmission des actes soumis au contrôle de légalité du ministere (MIAT)

+ Collectivité:

- le nom

- le n° SIREN

- la référence de la convention de raccordement

- le type de collectivité (commune...)

- adresse mail d'un responsable de la collectivité (référent s2low)

- adresse, code postal, ville

- département/arrondissement

- n° tél

- n° fax + Administrateur de la collectivité:

- Certificat logiciel (norme X.509).

- Nom

- Prénom

- adresse mail

- Téléphone
+ Pour chaque utilisateur:

- Nom

- Prénom

- adresse mail

Mode opératoire du démarrage

Vous avez maintenant commandé S2LOW avec son hébergement ADULLACT (www.s2low.org) et le jour du démarrage et de la formation arrive.
Le jour de la formation, les postes utilisateurs doivent être autorisés à se connecter en sortie sur les ports 80 (http) et 443 (https).
La collectivité sera créée sur le dispositif S2LOW, ainsi que son (ou ses) administrateurs et les premiers utilisateurs. Pour cela, les certificats des administrateurs et utilisateurs seront utilisés (leurs clefs publiques sont renseignées dans S2LOW).
Note importante:
Conformément au cahier des charges des dispositifs de télétransmission des actes soumis au contrôle de légalité du ministere (MIAT), lors du raccordement d'une collectivité à la plate-forme S²LOW, celle-ci doit impérativement fournir à ADULLACT une copie de la convention locale de raccordement établie entre la préfecture et la collectivité.

Ce n'est qu'après reception de la copie de ce document que la collectivité créée sera activée. Entre temps, l'administrateur aura pris soin de créer d'éventuels autres utilisateurs. Tous les utilisateurs enregistrés seront aptes à télétransmettre immédiatement après activation.

Pour les postes utilisateurs

S2LOW nécessite l'utilisation exclusive d'un navigateur WEB. L'utilisateur peut utiliser n'importe quel navigateur. L'ADULLACT préconise les navigateurs conformes W3C.
La JVM 1.5 (Java Virtual Machine) ou supérieure doit être installée sur les postes clients.

Pour les certificats

Les certificats X.509 des agents appellés à teletransmettre et délivrés par une autorité de certification agréée sont seulement utilisés pour la connexion sur la plateforme S²LOW. Tous les types de certificats (logiciel, matériel USB, carte à puce...) sont acceptés par S2LOW pour se connecter. ADULLACT recommande l'achat de certificats "logiciels", moins onéreux. Toutefois, l'applet de signature intégrée dans S2LOW ne supporte que les certificats "logiciels".

ADULLACT est accompagné par l'association des Chambres de Commerce et d'Industrie (CHAMBERSIGN) pour fournir des certificats fiducio aux collectivités. Cet accord permet également aux collectivités de distribuer elles même les certificats pour leurs agents et leurs élus: Autorité d'Enregistrement Déléguée (AED). Merci de nous contacter pour en savoir plus.

Concernant l'installation des certificats:

L'utilisateur de Mozilla-firefox peut consulter le fichier d'aide ADULLACT Manipulation de certificat logiciel fiducio.
L'utilisateur d'InternetExplorer peut consulter le document de Chambersign Installer un certificat logiciel fiducio (chapitre 4, p23).

Plus d'information sur les certificats électroniques...