Tâches post‑installation

Renforcement de la sécurité et performance ..

Renforcement et optimisation après installation

Paramètres optionnels que vous pouvez appliquer après l'installation pour durcir Tomcat/Pentaho et ajuster le comportement :

Masquer l'en-tête Server de Tomcat

Par défaut, Tomcat envoie un Server en-tête exposant des informations de version. Vous pouvez le remplacer pour réduire la fuite d'informations.

1. Modifiez le connecteur Tomcat dans server.xml.

sudo nano /opt/pentaho/server/pentaho-server/tomcat/conf/server.xml

1. Ajoutez ou mettez à jour l'attribut server sur le connecteur HTTP et (si utilisé) le connecteur AJP, puis enregistrez.

<Connector port="8080" protocol="HTTP/1.1"
           connectionTimeout="20000"
           server=" "
           redirectPort="8443" />

1. Redémarrez le serveur Pentaho.

sudo systemctl restart pentaho-server

Java Security Manager (déprécié/supprimé)

Le Java Security Manager hérité est déprécié et n'est pas disponible sur les versions LTS Java modernes (y compris Java 21). Ne pas utiliser -security avec Tomcat sur Java 21. Privilégiez le renforcement au niveau du système d'exploitation, des utilisateurs au moindre privilège, le périmètre réseau, et des politiques de conteneur/AppArmor/SELinux selon le besoin.

Changer le chemin de contexte de l'application web

Modifiez le chemin de contexte si vous ne souhaitez pas que l'application soit accessible à /pentaho.

1. Arrêtez le serveur Pentaho.

cd /opt/pentaho/server/pentaho-server
sudo ./stop-pentaho.sh

1. Éditez context.xml.

sudo nano /opt/pentaho/server/pentaho-server/tomcat/webapps/pentaho/META-INF/context.xml

1. Mettez à jour le chemin de contexte.

<Context path="/company" docBase="webapps/company/" />

1. Renommez le dossier webapp pour qu'il corresponde au nouveau nom de contexte.

sudo mv /opt/pentaho/server/pentaho-server/tomcat/webapps/pentaho \
        /opt/pentaho/server/pentaho-server/tomcat/webapps/company

1. Mettez à jour la redirection dans ROOT/index.jsp.

sudo nano /opt/pentaho/server/pentaho-server/tomcat/webapps/ROOT/index.jsp

Changez le meta refresh en :

<meta http-equiv="refresh" content="0;URL=/company">

1. Mettez à jour l'URL du serveur.

sudo nano /opt/pentaho/server/pentaho-server/pentaho-solutions/system/server.properties

fully-qualified-server-url=http://localhost:8080/company/

1. Démarrez le serveur et testez.

sudo ./start-pentaho.sh

Les mises à niveau peuvent écraser les webapps déployées. Réappliquez les personnalisations après les mises à jour, ou utilisez plutôt un mappage de chemin via un reverse proxy.

Passer à HTTPS

Le port par défaut est 8080.

1. Arrêtez le serveur Pentaho.

cd /opt/pentaho/server/pentaho-server
sudo ./stop-pentaho.sh

1. Changez le port du connecteur.

sudo nano /opt/pentaho/server/pentaho-server/tomcat/conf/server.xml

<Connector URIEncoding="UTF-8"
      port="8443"
      protocol="org.apache.coyote.http11.Http11NioProtocol"
      maxThreads="150"
      SSLEnabled="true"
      scheme="https"
      secure="true"
      clientAuth="false"
      sslProtocol="TLS"
      keystoreType="PKCS12"
      keystoreFile="/opt/pentaho/pentaho-server/tomcat/ssl/keystore.p12"
      keystorePass="changeit"
    />

1. Mettez à jour l'URL du serveur.

sudo nano /opt/pentaho/server/pentaho-server/pentaho-solutions/system/server.properties

fully-qualified-server-url=http://localhost:8090/pentaho/

1. Démarrez le serveur et vérifiez.

sudo ./start-pentaho.sh
curl -I http://localhost:8090/pentaho/ | head -n 1

Changer le port HTTP par défaut

Le port par défaut est 8080.

1. Arrêtez le serveur Pentaho.

cd /opt/pentaho/server/pentaho-server
sudo ./stop-pentaho.sh

1. Changez le port du connecteur.

sudo nano /opt/pentaho/server/pentaho-server/tomcat/conf/server.xml

<Connector URIEncoding="UTF-8"
           port="8090" protocol="HTTP/1.1"
           connectionTimeout="20000"
           redirectPort="8443"
           relaxedPathChars="[]|"
           relaxedQueryChars="^{}[]|&amp;"
           maxHttpHeaderSize="65536" />

1. Mettez à jour l'URL du serveur.

sudo nano /opt/pentaho/server/pentaho-server/pentaho-solutions/system/server.properties

fully-qualified-server-url=http://localhost:8090/pentaho/

1. Démarrez le serveur et vérifiez.

sudo ./start-pentaho.sh
curl -I http://localhost:8090/pentaho/ | head -n 1

Durcir ou désactiver le port d'arrêt de Tomcat

Par défaut Tomcat écoute sur un port d'arrêt local (8005) pour la commande SHUTDOWN .

• Désactivez le port en définissant port="-1", ou

• Changez à la fois le port et la commande d'arrêt pour des valeurs imprévisibles.

1. Modifier le <Server> élément dans server.xml.

sudo nano /opt/pentaho/server/pentaho-server/tomcat/conf/server.xml

Exemples :

<Server port="-1" shutdown="SHUTDOWN">

ou

<Server port="18005" shutdown="My$tr0ngShutCmd">

1. Redémarrez le serveur Pentaho.

sudo systemctl restart pentaho-server

Pages d'erreur personnalisées (404, 403, 500)

Définissez des pages d'erreur au niveau de l'application pour éviter d'exposer les valeurs par défaut.

1. Créez une page d'erreur dans votre webapp.

sudo tee /opt/pentaho/server/pentaho-server/tomcat/webapps/pentaho/error.jsp >/dev/null <<'EOF'
<html>
<head>
  <title>Error</title>
</head>
<body>
  <h1>Something went wrong</h1>
  <p>Please contact your administrator.</p>
</body>
</html>
EOF

1. Ajoutez des mappages d'erreur dans la webapp web.xml.

sudo nano /opt/pentaho/server/pentaho-server/tomcat/webapps/pentaho/WEB-INF/web.xml

<error-page>
  <error-code>404</error-code>
  <location>/error.jsp</location>
</error-page>
<error-page>
  <error-code>403</error-code>
  <location>/error.jsp</location>
</error-page>
<error-page>
  <error-code>500</error-code>
  <location>/error.jsp</location>
</error-page>

1. Redémarrez le serveur et testez.

Durée d'expiration de la session

Définissez un délai d'expiration global des sessions pour l'application.

1. Modifiez la webapp web.xml.

sudo nano /opt/pentaho/server/pentaho-server/tomcat/webapps/pentaho/WEB-INF/web.xml

<session-config>
  <session-timeout>20</session-timeout>
</session-config>

Augmenter le temps d'attente au démarrage de Karaf

Si le démarrage du serveur expire pendant que Karaf installe des fonctionnalités, augmentez le temps d'attente.

1. Arrêtez le serveur.

sudo systemctl stop pentaho-server

1. Éditez server.properties.

sudo nano /opt/pentaho/server/pentaho-server/pentaho-solutions/system/server.properties

Décommentez ou ajoutez :

# Time (ms) to wait for Karaf to install features before timing out
karafWaitForBoot=180000

1. Démarrez le serveur.

sudo systemctl start pentaho-server

Supprimer les données d'exemple du serveur

Retirez les exemples d'évaluation avant de passer en production.

1. Arrêtez le serveur.

sudo systemctl stop pentaho-server

1. Supprimez le samples.zip du contenu par défaut (le chemin peut varier selon la version).

sudo rm -f /opt/pentaho/server/pentaho-server/pentaho-solutions/system/default-content/samples.zip || true

1. Modifiez la webapp web.xml et supprimez les définitions d'exemples HSQLDB et le SystemStatusFilter (uniquement pour dev).

sudo nano /opt/pentaho/server/pentaho-server/tomcat/webapps/pentaho/WEB-INF/web.xml

Supprimez les blocs similaires à :

<context-param>
  <param-name>hsqldb-databases</param-name>
  <param-value>sampledata@../../data/hsqldb/sampledata</param-value>
</context-param>

<listener>
  <listener-class>org.pentaho.platform.web.http.context.HsqldbStartupListener</listener-class>
</listener>

<filter>
  <filter-name>SystemStatusFilter</filter-name>
  <filter-class>com.pentaho.ui.servlet.SystemStatusFilter</filter-class>
</filter>

1. Supprimez éventuellement le dossier data/ si seul du contenu d'exemple a été utilisé (vérifiez votre environnement avant de supprimer).

sudo rm -rf /opt/pentaho/server/pentaho-server/data || true

1. Démarrez le serveur et supprimez les dossiers d'exemple via PUC (Browse Files → Public → Move to Trash).

sudo systemctl start pentaho-server

Masquer les widgets de la perspective Accueil

Masquez Getting Started et d'autres widgets depuis la page d'accueil de PUC.

1. Arrêtez le serveur.

sudo systemctl stop pentaho-server

1. Modifiez la configuration de la perspective Home.

sudo nano /opt/pentaho/server/pentaho-server/tomcat/webapps/pentaho/mantle/home/properties/config.properties

Ajoutez ou mettez à jour :

disabled-widgets=getting-started,recents,favorites

1. Démarrez le serveur et connectez-vous pour vérifier.

sudo systemctl start pentaho-server

Désactiver l'autocomplétion sur la page de connexion (avancé)

La modification des JSP fournies par le fournisseur peut être écrasée lors d'une mise à niveau. Privilégiez le SSO ou le contrôle via reverse proxy. Si nécessaire, modifiez le JSP de connexion.

1. Arrêtez le serveur.

sudo systemctl stop pentaho-server

1. Éditez PUCLogin.jsp.

sudo nano /opt/pentaho/server/pentaho-server/tomcat/webapps/pentaho/jsp/PUCLogin.jsp

1. Désactivez l'autocomplétion pour les champs utilisateur/mot de passe.

<input id="j_username" name="j_username" type="text" autocomplete="off">
<input id="j_password" name="j_password" type="password" autocomplete="off">

1. Démarrez le serveur.

sudo systemctl start pentaho-server

Augmenter les limites d'upload CSV

Ajustez les limites d'upload et (optionnellement) la base de données de staging.

1. Éditez pentaho.xml.

sudo nano /opt/pentaho/server/pentaho-server/pentaho-solutions/system/pentaho.xml

<file-upload-defaults>
  <relative-path>/system/metadata/csvfiles/</relative-path>
  <max-file-limit>10000000</max-file-limit>
  <max-folder-limit>500000000</max-folder-limit>
</file-upload-defaults>

1. Changez la base de données de staging pour les fichiers CSV (optionnel) dans data-access/settings.xml.

sudo nano /opt/pentaho/server/pentaho-server/pentaho-solutions/system/data-access/settings.xml

<!-- settings for Agile Data Access -->
<data-access-staging-jndi>hibernate</data-access-staging-jndi>

1. Dans PUC, allez dans Tools → Refresh System Settings, puis redémarrez PUC (ou le serveur) pour appliquer.

---