Rôle Ansible Serveur SSH

Description

:grey_exclamation: Avant d'utiliser ce rôle, sachez que tous mes rôles Ansible sont entièrement écrits et adaptés à mon infrastructure informatique. Même s'ils sont aussi génériques que possible, ils ne répondront pas forcément à vos besoins. Je vous conseille de bien analyser ce qu'ils font et d'évaluer leur capacité à être installés en toute sécurité sur vos serveurs.

Ce rôle permet de configurer un serveur SSH.

Exigences

Nécessite Ansible >= 2.4

Dépendances

Famille d'OS

Ce rôle est disponible pour Debian et CentOS

Fonctionnalités

À ce jour, le rôle peut être utilisé pour :

• installer sshd
• configurer sshd
• filtrer les moduli initiaux pour supprimer les faibles nombres premiers
• faits locaux

Variables du rôle

Toutes les variables qui peuvent être remplacées sont stockées dans le fichier defaults/main.yml ainsi que dans le tableau ci-dessous. Pour voir les valeurs par défaut, veuillez vous référer à ce fichier.

La plupart des variables concernent les paramètres de configuration de sshd. Veuillez vous référer à la page de manuel pour plus d'informations.

Correspondances

Vous pouvez configurer les correspondances disponibles en utilisant la variable ssh_server__match_list_global/group/host. Cette variable prend une liste de dictionnaires. Chaque dictionnaire doit avoir la forme suivante :

ssh_server__match_list_global
  - match: "critères de correspondance"
    options:                                     # options qui s'appliquent si "match" correspond
      - AllowUsers test                          # une option de chaîne simple
      # un dictionnaire avec des options conditionnées par version
      # selon la version actuelle de sshd, la version la plus élevée gagne et ses options sont appliquées
      - 8.2: AuthorizedKeysCommand /bin/true     # (version chaîne)
        7.6:                                     # (version liste)
          - AuthenticationMethods publickey
          - AllowUsers root
    state: absent               # état optionnel (par défaut présent)

Les critères de correspondance disponibles et les options que vous pouvez appliquer dépendent de votre version actuelle de sshd.

Un exemple de groupe uniquement autorisé à exécuter sftp est donné. Si vous souhaitez l'activer, vous pouvez utiliser ce bloc dans l'inventaire :

ssh_server__match_list_global:
  - '{{ ssh_server__match_group_sftponly }}'

Faits

Par défaut, les faits locaux sont installés et exposent les variables suivantes :

ansible_local.ssh_server:
  version_full: '7.9p1'
  version_major: '7'

Exemple

Playbook

Utilisez-le dans un playbook comme suit :

- hosts: all
  roles:
    - turgon37.ssh_server

Inventaire

Pour utiliser ce rôle, créez ou mettez à jour votre playbook selon l'exemple suivant :

ssh_server__allow_agent_forwarding: false
ssh_server__allow_tcp_forwarding: false
ssh_server__allow_stream_local_forwarding: false
ssh_server__permit_tunnel: false
ssh_server__compression: true

ssh_server__allow_groups:
  - ssh
  - ssh-admins
ssh_server__permit_root_login: false
ssh_server__max_startups:
  start: 5
  rate: 80
  full: 10

ssh_server__match_list_global:
  - match: "LocalAddress 127.0.0.1"
    options:
      - AuthenticationMethods publickey,password
    state: present

  - match: "LocalAddress 10.0.0.1 Group ssh-admins"
    options:
    - AuthenticationMethods publickey password gssapi-with-mic

  - match: "LocalAddress 10.0.0.1 User root"
    options:
      - DenyUsers
      - AllowUsers root
      - DenyGroups
      - AllowGroups root
      - 7.0: 'PermitRootLogin prohibit-password'
        4.9: 'PermitRootLogin without-password'
      - AuthenticationMethods publickey
      - AuthorizedKeysFile /root/.ssh/authorized_keys
      - AuthorizedKeysCommand /bin/true

ssh_client__known_hosts_additionals:
  - '[gitlab]:7999 ssh-rsa XXXXX'

Exemple de configuration FreeIPA

ssh_server__authorized_keys: '/dev/null'
ssh_server__authorized_keys_lookup: true
ssh_server__authorized_keys_lookup_command: /usr/bin/sss_ssh_authorizedkeys
ssh_server__pubkey_authentication: true
ssh_server__gssapi_authentication: true