Quitter root : la décision que personne n’impose et qui rapporte le plus

L’installation vous donne root, tout fonctionne avec, et personne ne vous oblige à créer un autre compte. C’est pourquoi la plupart des installations sont administrées en root pendant des années. Le prix ne tombe pas un jour d’un coup, il s’accumule discrètement à deux endroits.

Premier prix : ce que le journal désigne

Le système enregistre ce qui a été fait, et chaque entrée a un propriétaire. Si tout le monde se connecte en root, le nom dans l’entrée est le même pour tous. L’entrée continue de répondre à « que s’est-il passé » mais cesse de répondre à « qui l’a fait ». Sur une installation à une seule personne cela ne change rien ; le jour où une deuxième personne arrive, l’entrée cesse d’être une preuve.

Deuxième prix : une erreur n’a pas de plancher

Il n’existe aucune opération que root ne puisse pas faire, donc il n’existe aucune couche qui arrêterait un mauvais clic. En travaillant avec un compte taillé à votre mission, une erreur en dehors de votre périmètre n’est tout simplement pas possible. Ce n’est pas une affaire de méfiance, c’est une affaire de sol qui a un fond.

Troisième prix : l’autorité se met à circuler

Une session de navigateur restée ouverte, un mot de passe donné à un script, une connexion enregistrée quelque part : quand on travaille en root, tout cela porte l’autorité complète. L’autorité ne reste plus chez la personne, elle s’accumule dans les traces qu’elle laisse.

Quoi faire

Ne désactivez pas root. C’est la voie de secours et un jour vous en aurez vraiment besoin. Ce qu’il faut faire, c’est lui retirer le travail quotidien : créez-vous un compte administrateur, donnez-lui assez d’autorité pour ce que vous faites réellement chaque jour, puis mettez sur root un mot de passe solide et un deuxième facteur, et rangez-le.

Ce qu’est le travail quotidien se ressemble d’une installation à l’autre : regarder, démarrer et arrêter des machines, prendre des instantanés, sauvegarder, mettre à jour. Changer l’agencement du stockage ou toucher à la structure du cluster, c’est quelques jours par an. Root reste là pour ceux-là.

Le piège de la transition

Vous passez sur le nouveau compte, quelque chose ne marche pas, et le réflexe est de revenir à root. Ce qu’il faut faire à ce moment-là, c’est lire quel privilège manquait, car cette liste est exactement ce que réclame votre travail quotidien. En une semaine la liste se stabilise et vous ne revenez plus.

Ce que fait Atlas

Atlas ne construit pas son propre système de rôles : il demande à Proxmox ce que le compte qui se connecte a le droit de faire et construit l’écran à partir de là. Quitter root ne vous coûte donc rien dans l’interface, cela met seulement votre périmètre au niveau de la réalité. Le journal d’audit nomme aussi le compte à l’origine de la requête, pour celles qui ont abouti comme pour celles qui ont été refusées. Si tout le monde se connecte en root, ce champ dit la même chose pour tous ; le jour où vous passez à des comptes distincts, le même journal se met à répondre.