NixOS chez Hebeko

Une distribution Linux déclarative

NixOS est une distribution Linux libre. Sur Debian ou Ubuntu, l'administrateur installe des paquets et modifie des fichiers machine par machine, et l'état réel d'un serveur finit par s'écarter de sa documentation. Sur NixOS, il décrit l'état voulu dans des fichiers texte (logiciels, services, comptes, réseau) et NixOS construit le système à partir de cette description.

Chaque construction crée une nouvelle génération du système. Les précédentes restent disponibles, et le menu de démarrage permet de revenir à l'une d'elles si une mise à jour pose problème.

Les logiciels viennent de nixpkgs, le dépôt de paquets de Nix. C'est le plus grand toutes distributions confondues, avec environ 119 000 paquets selon Repology.

Notre article Comprendre NixOS compare cette approche à Debian, Ubuntu et RHEL. Flakes Nix présente la façon la plus répandue d'organiser une configuration.

Pourquoi NixOS en entreprise

Pour une entreprise ou une administration, la configuration de chaque serveur tient dans un dépôt Git. Elle sert de documentation, et un autre prestataire peut reprendre l'infrastructure à partir de ces fichiers.

L'exemple ci-dessous décrit un petit serveur web.

{ config, pkgs, ... }:
{
  services.nginx.enable = true;
  services.nginx.virtualHosts."intranet.example.fr" = {
    enableACME = true;
    forceSSL = true;
    root = "/srv/intranet";
  };
  security.acme.acceptTerms = true;
  security.acme.defaults.email = "admin@example.fr";

  users.users.camille = {
    isNormalUser = true;
    extraGroups = [ "wheel" ];
  };

  system.autoUpgrade.enable = true;
}

Usages courants

NixOS s'utilise sur des serveurs comme sur des postes de travail.

Le déroulé d'un projet

Le passage à NixOS se fait par étapes, sans arrêter ce qui fonctionne.

1. Audit : inventaire des serveurs, des services et de leurs dépendances, puis choix d'un premier service à migrer.
2. Pilote : ce service passe sous NixOS, avec toute sa configuration dans un dépôt Git. L'ancien serveur reste en place jusqu'à la validation.
3. Extension : les autres serveurs suivent, avec des modules communs pour les comptes, la supervision, les sauvegardes et le durcissement.
4. Transfert : formation et documentation de vos équipes, qui modifient ensuite la configuration elles-mêmes.

Sécurix et Bureautix

Sécurix est une distribution NixOS développée par la DINUM pour des postes sécurisés d'administration système, de bureautique et de développement. Bureautix en est la déclinaison d'exemple pour les postes bureautiques, avec un inventaire des machines, un installeur et des réglages prévus pour une DSI.

Le projet vise d'abord les informations non protégées, puis éventuellement le niveau Diffusion Restreinte. Il suit les recommandations de l'ANSSI avec un noyau durci, le démarrage sécurisé et un disque chiffré qui se déverrouille avec une clé FIDO2. La connexion se fait aussi par clé de sécurité, et le mot de passe n'est qu'un mode de secours. Grâce à NixOS, le même modèle se décline selon les besoins, par exemple un poste partagé entre plusieurs agents ou un poste limité à l'intranet.

Les prochaines étapes annoncées par la DINUM portent sur un durcissement complémentaire, l'envoi des journaux vers un puits de traces, l'enrôlement automatique des nouveaux postes et la rotation des clés Secure Boot.

Nos ingénieurs contribuent activement au projet. Nous voulons continuer à contribuer en amont, en particulier sur l'installation par le réseau et la gestion du parc, et accompagner les administrations qui adoptent Sécurix, du premier pilote jusqu'au déploiement.

Sécurix est publié sous licence MIT. Il reste en alpha, et ses développeurs ne proposent pas encore de support. Nous pouvons en conduire un pilote avec vous.

NixWall

NixWall est un pare-feu développé par nos équipes sur NixOS. Il est entièrement libre, sous licence AGPL-3.0, et son code est public sur GitHub.

L'objectif est un pare-feu reproductible. Toute sa configuration tient dans des fichiers, et deux machines construites à partir des mêmes fichiers sont identiques. NixOS garde chaque état précédent du système, et une modification qui coupe le réseau s'annule en revenant à la génération d'avant.

NixWall profite aussi de nixpkgs, le dépôt présenté plus haut. Les logiciels qu'il utilise y sont mis à jour en continu.

Le projet est en alpha et n'est pas encore prêt pour la production. À terme, NixWall se pilotera depuis une interface web, qui passera par son API pour modifier la configuration.