Wie zu verwenden ansible mit zwei-Faktor-Authentifizierung?

Es ist ein hack, aber man kann tunnel nicht-2fac Ansible SSH-Verbindung durch einen 2fac-fähigen SSH-Verbindung.

Übersicht

Wir richten zwei Benutzer: ansible wird der Benutzer Ansible verwenden. Sollte es authentifiziert werden, in einer Weise, die unterstützt von Ansible (d.h., nicht 2fac). Dieser Benutzer eingeschränkt werden, sodass keine Verbindung von überall aus herstellen, aber 127.0.0.1, so ist es nicht zugänglich von außerhalb der Maschine.

Der zweite Benutzer ansible_tunnel wird offen sein für die Außenwelt, aber authentifiziert werden, von zwei Faktoren ab, und erlaubt nur das Tunneln von SSH-verbindungen auf dem lokalen Rechner.

Müssen Sie konfigurieren können, die 2-Faktor-Authentifizierung nur für einige Benutzer (nicht alle).

Einige Infos über SSH-Tunnel.

Auf dem Zielcomputer aus:

1. Erstellen Sie zwei Benutzer: ansible und ansible_tunnel
2. Setzen Sie Ihren öffentlichen Schlüssel in ~/.ssh/authorized_keys von Benutzern
3. Setzen Sie die shell von ansible_tunnel zu /bin/false oder Sperre den Benutzer - es wird verwendet für das tunneling ausschließlich, nicht die Ausführung von Befehlen

4. Fügen Sie die folgenden /etc/ssh/sshd_config:

   AllowTcpForwarding no
   
   AllowUsers [email protected] ansible_tunnel
   
   Match User ansible_tunnel
     AllowTcpForwarding yes
     PermitOpen 127.0.0.1:22
     ForceCommand echo 'This account can only be used for tunneling SSH sessions'
   

5. - Setup 2-Faktor-Authentifizierung nur für ansible_tunnel
6. Restart sshd

Auf der Maschine läuft Ansible:

1. Vor der Ausführung von Ansible, führen Sie die folgenden (auf der Ansible Maschine, nicht das Ziel):

   ssh -N -L 8022:127.0.0.1:22 ansible_tunnel@<host>
   

   Werden Sie authentifiziert werden mithilfe von zwei Faktoren ab.

2. Sobald der tunnel ist bis (überprüfen Sie mit netstat), laufen Ansible mit ansible_ssh_user=ansible, ansible_ssh_port=8022 und ansible_ssh_host=localhost.

Zusammenfassung

• Nur ansible_tunnel verbinden können, von außen, und es authentifiziert werden mithilfe von zwei Faktoren
• Sobald der tunnel eingerichtet ist, eine Verbindung zu port 8022 auf der lokalen Maschine ist die gleiche wie die Verbindung zum sshd auf der remote-Maschine
• Erlauben wir ansible um eine Verbindung über SSH nur, wenn es fertig ist, über den localhost, also nur verbindungen getunnelt werden dürfen

- Skala

Diese nicht gut skalierbar ist und auch für mehrere server, auf Grund der Notwendigkeit, öffnen Sie einen separaten tunnel für jede Maschine, die erfordert einen manuellen Eingriff. Allerdings, wenn Sie gewählt haben, zu 2-Faktor-Authentifizierung für den Server bist du schon bereit zu tun, einige manuelle Aktion zu jedem server herstellen, und diese Lösung wird nur hinzufügen, ein wenig overhead mit einigen script-Verpackung.

[BEARBEITET, UM HINZUFÜGEN]

Bonus

Für die Bequemlichkeit, können wir die Anmeldung in der Wartung-Konto direkt zu tun, einige manuelle arbeiten, die ohne Umweg über den Prozess der Einrichtung einen tunnel. Wir können konfigurieren, SSH zu verlangen, 2fac-Authentifizierung: in diesem Fall, unter Beibehaltung der Fähigkeit zu verbinden, ohne 2fac durch den tunnel:

# All users must authenticate using two factors
AuthenticationMethods publickey,keyboard-interactive

# Allow both maintenance user and tunnel user with no restrictions
AllowUsers ansible ansible_tunnel

# The maintenance user is allowed to authenticate using a single factor only
# when connecting from a local address - it should be impossible to connect to
# this user using a single factor from the outside (the only way to do that is
# having an existing access to the machine, or use the two-factor tunnel)
Match User ansible Address 127.0.0.1
  AuthenticationMethods publickey