2.2. Configuration des serveurs OpenSSH à l'aide du rôle de système sshd

Procédure

1. Copiez l'exemple de playbook pour le rôle de système sshd:

   # cp /usr/share/doc/rhel-system-roles/sshd/example-root-login-playbook.yml path/custom-playbook.yml

2. Ouvrez le playbook copié en utilisant un éditeur de texte, par exemple :

   # vim path/custom-playbook.yml
   
   ---
   - hosts: all
     tasks:
     - name: Configure sshd to prevent root and password login except from particular subnet
       include_role:
         name: rhel-system-roles.sshd
       vars:
         sshd:
           # root login and password login is enabled only from a particular subnet
           PermitRootLogin: no
           PasswordAuthentication: no
           Match:
           - Condition: "Address 192.0.2.0/24"
             PermitRootLogin: yes
             PasswordAuthentication: yes

   Le playbook configure le nœud géré en tant que serveur SSH configuré de telle sorte que :

   • et le login de l'utilisateur root est désactivé
   • et root n'est possible qu'à partir du sous-réseau 192.0.2.0/24

   Vous pouvez modifier les variables en fonction de vos préférences. Pour plus de détails, voir Variables de rôle du système du serveur SSH.

3. Facultatif : Vérifier la syntaxe du playbook.

   # ansible-playbook --syntax-check path/custom-playbook.yml

4. Exécutez le playbook sur votre fichier d'inventaire :

   # ansible-playbook -i inventory_file path/custom-playbook.yml
   
   ...
   
   PLAY RECAP
   **************************************************
   
   localhost : ok=12 changed=2 unreachable=0 failed=0
   skipped=10 rescued=0 ignored=0

Vérification

1. Connectez-vous au serveur SSH :

   $ ssh user1@10.1.1.1

   Où ?

   • user1 est un utilisateur du serveur SSH.
   • 10.1.1.1 est l'adresse IP du serveur SSH.

2. Vérifiez le contenu du fichier sshd_config sur le serveur SSH :

   $ cat /etc/ssh/sshd_config.d/00-ansible_system_role.conf
   #
   # Ansible managed
   #
   PasswordAuthentication no
   PermitRootLogin no
   Match Address 192.0.2.0/24
     PasswordAuthentication yes
     PermitRootLogin yes

3. Vérifiez que vous pouvez vous connecter au serveur en tant que root depuis le sous-réseau 192.0.2.0/24:

   1. Déterminez votre adresse IP :

      $ hostname -I
      192.0.2.1

      Si l'adresse IP se situe dans la plage 192.0.2.1 - 192.0.2.254, vous pouvez vous connecter au serveur.

   2. Se connecter au serveur en tant que root:

      $ ssh root@10.1.1.1