28.7. Utiliser Ansible pour configurer une console web afin de permettre à un utilisateur authentifié par une carte à puce de se connecter en SSH à un hôte distant sans avoir à s'authentifier à nouveau

Procédure

1. Naviguez jusqu'à votre répertoire ~/MyPlaybooks/ répertoire :

   $ cd ~/MyPlaybooks/

2. Créez un playbook web-console-smart-card-ssh.yml avec le contenu suivant :

   1. Créer une tâche qui assure la présence d'une cible de délégation :

      ---
      - name: Playbook to create a constrained delegation target
        hosts: ipaserver
      
        vars_files:
        - /home/user_name/MyPlaybooks/secret.yml
        tasks:
        - name: Ensure servicedelegationtarget web-console-delegation-target is present
          ipaservicedelegationtarget:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-target

   2. Ajouter une tâche qui ajoute l'hôte cible à la cible de délégation :

        - name: Ensure servicedelegationtarget web-console-delegation-target member principal host/remote.idm.example.com@IDM.EXAMPLE.COM is present
          ipaservicedelegationtarget:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-target
            principal: host/remote.idm.example.com@IDM.EXAMPLE.COM
            action: member

   3. Ajouter une tâche qui assure la présence d'une règle de délégation :

        - name: Ensure servicedelegationrule delegation-rule is present
          ipaservicedelegationrule:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-rule

   4. Ajoutez une tâche qui garantit que le principal Kerberos du service client de la console Web est un membre de la règle de délégation contrainte :

        - name: Ensure the Kerberos principal of the web console client service is added to the servicedelegationrule web-console-delegation-rule
          ipaservicedelegationrule:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-rule
            principal: HTTP/myhost.idm.example.com
            action: member

   5. Ajouter une tâche qui garantit que la règle de délégation contrainte est associée à la cible de délégation web-console-delegation-target :

        - name: Ensure a constrained delegation rule is associated with a specific delegation target
          ipaservicedelegationrule:
            ipaadmin_password: "{{ ipaadmin_password }}"
            name: web-console-delegation-rule
            target: web-console-delegation-target
            action: member

3. Enregistrer le fichier.

4. Exécutez le playbook Ansible. Spécifiez le fichier du livre de jeu, le fichier contenant le mot de passe protégeant le fichier secret.yml et le fichier d'inventaire :

   $ ansible-playbook --vault-password-file=password_file -v -i inventory web-console-smart-card-ssh.yml

5. Activer l'authentification Kerberos sur remote.idm.example.com:

   1. SSH à remote.idm.example.com comme root.
   2. Ouvrez le fichier /etc/ssh/sshd_config pour le modifier.
   3. Activez GSSAPIAuthentication en décommentant la ligne GSSAPIAuthentication no et en la remplaçant par GSSAPIAuthentication yes.