Identifier un hôte Linux inconnu avant d'y modifier quoi que ce soit

Objectif

Dresser un état précis d'un hôte Linux (distribution, noyau, virtualisation, système d'init, gestionnaire de paquets, contrôle d'accès obligatoire) avant d'exécuter toute commande qui suppose l'un de ces éléments, uniquement avec des commandes en lecture seule.

Prérequis

Une session shell sur l'hôte cible. Aucune étape ci-dessous n'exige de privilèges particuliers, sauf aa-status, qui nécessite sur de nombreux systèmes les droits root pour lire les profils chargés (sestatus fonctionne sans privilèges).

Étapes

1. Lire l'identité de la distribution : cat /etc/os-release. Ce fichier définit les champs lisibles par machine ID= et VERSION_ID=, ainsi que PRETTY_NAME= destiné aux humains. Il est standardisé entre les distributions précisément pour que les scripts n'aient pas à deviner à partir de fichiers propres à chaque version.
2. Lire la version du noyau en cours d'exécution : uname -r. La comparer ensuite avec le paquet de noyau installé le plus récent afin de détecter un écart signalant un redémarrage en attente.
3. Obtenir un récapitulatif en une seule commande sur un hôte systemd : hostnamectl status (ou simplement hostnamectl sur les versions plus anciennes), qui affiche le nom d'hôte et d'autres informations système collectées par systemd-hostnamed.
4. Détecter l'exécution dans une machine virtuelle ou un conteneur : systemd-detect-virt affiche le nom de l'hyperviseur ou de la technologie de conteneur, ou none ; systemd-detect-virt --container et --vm restreignent la vérification à une seule catégorie et renvoient un code de sortie non nul lorsque celle-ci ne s'applique pas. Recouper avec [ -f /.dockerenv ] ou le contenu de /proc/1/cgroup, car tous les environnements d'exécution de conteneurs ne sont pas reconnus de la même façon par toutes les versions des outils.
5. Confirmer le système d'init qui gère réellement l'hôte, au lieu de supposer systemd : readlink /proc/1/exe (ou ps -p 1 -o comm=) ; sur un hôte systemd, le résultat se termine par .../systemd.
6. Identifier le gestionnaire de paquets d'après les outils effectivement présents, et non d'après le seul nom de la distribution (certaines images suppriment les gestionnaires de paquets) : rechercher dpkg, rpm, apk ou pacman avec command -v.
7. Lire l'état du contrôle d'accès obligatoire : sur une distribution avec SELinux activé, sestatus indique l'état de SELinux et le mode courant (enforcing, permissive, disabled) ; sur une distribution avec AppArmor activé, aa-status indique si le module est chargé, combien de profils sont chargés et dans quel mode.

Résultat attendu

Une courte fiche de faits (distribution et version, version du noyau, état de virtualisation ou de conteneur, système d'init, gestionnaire de paquets, framework MAC et son mode) collectée sans modifier l'hôte.

Limites et base de vérification

Basé sur os-release(5), hostnamectl(1), systemd-detect-virt(1), sestatus(8) et aa-status(8). Aucune de ces étapes ne nécessite de retour arrière, puisqu'aucune n'écrit quoi que ce soit. Un hôte sur lequel ni sestatus ni aa-status ne sont installés n'a simplement aucune couche de contrôle d'accès obligatoire active au-delà des permissions discrétionnaires standard, ce qui constitue en soi une information utile.