cesnet.yubikeys

Роль Ansible Galaxy cesnet.yubikeys, которая настраивает двухфакторную аутентификацию для sudo с использованием аппаратных USB-токенов Yubikey.

Добавляет модуль PAM для sudo, который обращается к серверам Yubico для проверки введенного одноразового кода.

Используйте "--tags config", чтобы выполнить только настройку.

Требования

Переменные роли

• yubikey_id и yubikey_key - уникальные значения, полученные с https://upgrade.yubico.com/getapikey/
• yubikey_users - соответствие между именами пользователей и хешами с именем, кодом yubikey и ssh ключом, см. пример ниже
• yubikey_lognames - список имен пользователей, используемых из хешей yubikey_users, по умолчанию пустой
• sudo_root_lognames - список имен пользователей, которые могут выполнять sudo до root, по умолчанию пустой
• other_sudo_user - другое имя пользователя, отличное от root, под которым выбранные пользователи могут выполнять sudo, по умолчанию "perun"
• sudo_other_lognames - список имен пользователей, которые могут выполнять sudo для другого пользователя, определенного с помощью other_sudo_user

Пример Плейбука

В следующем примере определено 4 пользователя, но только 3 из них будут созданы. Пользователи tesla и einstein смогут выполнять sudo до root, пользователь volta сможет выполнять sudo до пользователя cthulhu.

- хосты: все
  роли:
    - роль: cesnet.yubikeys
      vars:
        yubikey_id: "48695"
        yubikey_key: "jGAqANjXDwthsKp0dnboFGmZ5ag="
        yubikey_lognames: [ 'tesla', 'einstein', 'volta' ]
        # список имен пользователей, которые могут выполнять sudo до root
        sudo_root_lognames: "{{ yubikey_lognames }}"
        # другое имя пользователя, отличное от root, под которым выбранные пользователи могут выполнять sudo
        other_sudo_user: "cthulhu"
        # список имен пользователей, которые могут выполнять sudo для другого пользователя, определенного с помощью other_sudo_user
        sudo_other_lognames: ['volta' ]
        
        # список пользователей
        ## logname - имя пользователя в Unix
        ## name - полное имя, которое будет помещено в /etc/passwd
        ## yubikeys - список идентификаторов yubikey (первые 12 символов любого кода, сгенерированного yubikey пользователя, будет помещен в /etc/yubico/authorized_yubikeys)
        ## sshkeys - список публичных частей ssh ключей, которые будут помещены в $HOME/.ssh/authorized_keys
        yubikey_users:
          tesla:
            name: Никола Тесла
            yubikeys: 
              - ccccccefghij
            sshkeys: 
              - ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDe9Rb2N5aq5qYAi8OCeQKlpOBJi/Ll2tlxqiD7Gan7wJrFBbrZIj8a5tOpHKTm61ldihxG7hnXkyEvbAX5vx/6lLagKaLFL3ysh3iH3ZxiXFYXfLklqrrCK2kuwdCIasMF4kJYzS/goLEGeqBkeJN8SvTj2THvzWcvsTZXIgXygzqiiSKlJao2v62EZv3Pi0eP8KhLrdYW2EcePBOKclLGYxdAX0k9KMJHJRecQhS2BtDLDL1rGoCCrw3Pd8689xovzYKC/ATnTZ89slA9HlrKyQjkjVeBX7WbRsjrgYKEDeqWZbdzjT9Nhg/Ftewbqh2V6p8OFQTftKUOmmPXlwAr
          einstein:
            name: Альберт Эйнштейн
            yubikeys: 
              - ccccccghijkl
            sshkeys: 
              - ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDQiusTXxPGdXXzhHyU9wEb1i5PAdN/qBX8lVw90/yZo6LKBl+fO2QuRTQUxxRgk05puXYwWMF4IheoVBmWFzwClyH/Ox88Yq+WM4nGxIpzvoyUZQ0rRM7a0LfaLvDsJpkoMOr53LFfQtdTY7ZiKXsaTI1EmhHXVmfgFXDTu4IE2EBGUrKPj28+yD/5UuyybA/TfZJ6wW51M0QAaQy3n2xWY+K+aFfTJv2vQin2cIjIPMWfUoUCR2eYNbtZ/uHwXgJxK1W3PeeJhLjW8RXdfLiSOA3+8X5NCHGBs5BLdvieQjB0SYb0NqCc7scAlJV14MGlWdBYuczV2gvn2mnT4q3F
          volta:
            name: Алессандро Вольта
            yubikeys: 
              - ccccccfghijk
            sshkeys: 
              - ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCnkDzzBfCAgjxv4lZKZ744lPiIRbGhfnQFbSEmeU7ZlRn5zPK2r7Ur+T7I89YHly1nEVPoQ0O8elA7eDaHZ2jIUyYXbzVrYr+7dNSvoO+tqXoG1r5VuZM8jv9m55IFClV0NONqbrgDLRl771ZVqdMah10xPA9X5hv5O17LlDYWyP0j5tJ6M1Ua3t1oI+Gsx28xicJYuLSA5ixpb0b5vftlSvdz7OCC1ojKdTESV3dGifgmJ+B4OZu3ha/Ti6K+pIOYHNtg/yriI6AZNZyLG/L/x5EtE28XRBOr2auXuIlBwK1IWI9MtoSB6L8WjhHl+7WPQej50eL9keK22diIJen9
          gauss:
            name: Карл Фридрих Гаусс
            yubikeys: 
              - cccccclkjihg
            sshkeys: 
              - ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDgdleNFp+4o849ZNts1cluRtE8VPJCDgo9dllcScw/z3alhhmxXT8oQWG0XXzx3r0rfzfDIC0Lqw5xPEsX8yDLl4SeQzHyHycwM5773IBuN5EYrul+34aGHHawqFIksKpbS3ADMwHEd25tzHr1SzAX2vLt3a6RqFhfaW6YnVcMU3ZFOZGfyLmsFjCsIJ2XsIVhzhX8s13vy2jwC2uQ+rTzMMtIgXkx/UQ1mjr9dj/XtDNT3bPwvjVd7/N0BT6PL0H4hNH4jBAby9mRYGfON/LNTLyrUD280w4A5Zu1JGPl+VBxMjN83m1l5k9i5w6vDLU/7TRzAXATINlLIYwWH+1J

В следующем примере установлен модуль PAM, но пользователи не создаются. Используйте это, если пользователи управляются системой Perun.

- хосты: все
  роли:
    - роль: cesnet.yubikeys
      vars:
        yubikey_id: "48695"
        yubikey_key: "jGAqANjXDwthsKp0dnboFGmZ5ag="