Authentifier les utilisateurs exécutant des modules Ansible sur des équipements Junos

Vous pouvez définir explicitement les paramètres de connexion et d’authentification des modules qui gèrent les équipements Junos. Si vous ne définissez pas de paramètre, le module utilise une valeur par défaut dans certains cas. Le Tableau 1 présente les valeurs par défaut et la priorité des variables pour les paramètres de connexion communs aux modules de la juniper.device collection. Pour plus d’informations sur les arguments acceptés pour les modules individuels, consultez la documentation de référence de l’API pour ce module.

Lors de l’exécution de modules Juniper Networks, l’argument host est toujours requis pour une connexion. Toutefois, il n’est pas nécessaire de spécifier explicitement l’hôte, car la valeur par défaut est {{ inventory_hostname }}.

Vous pouvez exécuter des modules Juniper Networks à l’aide de n’importe quel compte utilisateur ayant accès à l’équipement Junos géré. Lorsque vous exécutez les modules, les privilèges d’accès au compte d’utilisateur Junos OS sont appliqués et la classe configurée pour le compte d’utilisateur Junos OS détermine les autorisations. Si vous ne spécifiez pas d’utilisateur, celui-ci est défini selon l’algorithme décrit user dans le Tableau 1. Consultez la documentation Ansible pour connaître la priorité utilisée pour définir remote_user, qui peut être défini de plusieurs façons, notamment :

• -u ou --user sur la ligne de commande

• ANSIBLE_REMOTE_USER variable d’environnement

• remote_user Paramètre de configuration

Vous pouvez définir des paramètres de connexion et d’authentification vars: pour les juniper.device modules de la section de la pièce. Cela s’ajoute à leur définition comme vous le feriez normalement via d’autres variables, par exemple, dans le fichier de configuration SSH, dans le fichier d’inventaire Ansible, en tant qu’arguments de ligne de commande ou en tant qu’arguments de module. La vars: section vous permet de définir des paramètres de connexion communs à un emplacement unique que tous les modules du jeu peuvent utiliser pour se connecter à un hôte. De plus, certaines connexions Ansible nécessitent l’utilisation de la vars: section lorsque vous définissez les paramètres dans la lecture, comme décrit ici.

Les juniper.device modules prennent en charge les types de connexions Ansible suivants :

• connexions locales, qui sont définies à l’aide de connection: local

• connexions persistantes, qui sont définies à l’aide de connection: juniper.device.pyez

Pour les connexions locales et persistantes, Ansible exécute les modules localement sur le nœud de contrôle. Lorsque vous utilisez connection: local, Ansible établit une connexion distincte avec l’hôte pour chaque tâche du jeu qui nécessite une connexion. En revanche, lorsque vous utilisez connection: juniper.device.pyez, Ansible établit une connexion unique et persistante à un hôte, qui persiste pendant l’exécution de toutes les tâches du jeu.

Vous utilisez les mêmes paramètres de connexion et d’authentification pour les connexions persistantes que pour les connexions locales, et les valeurs de paramètre par défaut décrites dans Présentation des valeurs par défaut des modules Juniper Networks s’appliquent aux deux types de connexions. Pour les connexions locales, vous pouvez définir les paramètres de connexion et d’authentification soit dans la vars: section, soit en tant qu’arguments de module. Si vous définissez les paramètres aux deux endroits, les arguments du module sont prioritaires. Toutefois, lorsque vous définissez des paramètres dans une lecture pour les connexions persistantes, vous devez définir les paramètres dans la vars: section. Avec les connexions persistantes, il n’y a qu’une seule connexion pour toutes les tâches, et vous devez donc définir les paramètres globalement afin qu’ils s’appliquent à toutes les tâches de ce jeu.

Le playbook suivant exécute deux juniper.device modules sur chaque hôte du groupe d’inventaire. Le jeu définit la connexion Ansible comme juniper.device.pyez, qui établit une connexion à chaque hôte qui persiste pendant l’exécution de toutes les tâches du jeu. Les paramètres d’authentification de la connexion persistante sont définis dans la section du vars: jeu. Les user variables de référence et passwd values définies dans le fichier de vault-vars.yaml coffre-fort.

---
- name: Get Device Facts
  hosts: dc1
  connection: juniper.device.pyez
  gather_facts: no

  vars:
    user: "{{ admin_username }}"
    passwd: "{{ admin_password }}"

  vars_files:
    - vault-vars.yaml

  tasks:
    - name: Retrieve facts from Junos devices
      juniper.device.facts:
        savedir: "{{ playbook_dir }}"

    - name: Get hardware inventory
      juniper.device.command:
        commands: "show chassis hardware"
        dest_dir: "{{ playbook_dir }}"

Pour authentifier un utilisateur exécutant des modules Ansible, vous pouvez demander les informations d’identification de l’utilisateur lors de l’exécution du playbook. Par exemple, vous pouvez définir une invite interactive dans le playbook, ou vous pouvez exécuter le playbook avec l’option -k de ligne de commande ou --ask-pass pour demander le mot de passe. Lorsque des clés SSH sont utilisées, le mot de passe fourni est utilisé comme phrase secrète pour déverrouiller la clé SSH privée. Lorsque l’authentification par mot de passe est utilisée, le mot de passe fourni est utilisé comme mot de passe de l’appareil.

Pour définir une invite interactive dans le playbook afin d’obtenir le mot de passe ou la phrase secrète de la clé SSH de l’utilisateur :

Vous pouvez créer un coffre-fort Ansible qui stocke en toute sécurité les mots de passe enregistrés et d’autres valeurs sensibles de connexion et d’authentification dans un fichier de données chiffré par le coffre-fort. Votre playbook peut ensuite référencer ces variables à l’emplacement approprié pour votre ensemble de modules et votre type de connexion Ansible, par exemple, dans la section du jeu ou en tant qu’arguments de vars: module.

Pour créer et utiliser un fichier de coffre-fort Ansible contenant les variables requises, y compris les mots de passe :

Les modules Ansible de Juniper Networks peuvent se connecter aux équipements Junos via un serveur de console. Pour les connexions SSH via un serveur de console, vous devez fournir les informations d’identification d’authentification du serveur de consoles et du périphérique Junos. Vous pouvez utiliser un mot de passe de périphérique ou un fichier de clé SSH protégé par mot de passe pour l’authentification du serveur de console.

Pour vous connecter à un équipement Junos par le biais d’un serveur de consoles, vous devez fournir les paramètres suivants dans votre playbook, s’il n’existe pas de valeur par défaut ou si la valeur par défaut n’est pas appropriée :

• host: nom d’hôte ou adresse IP du serveur de consoles

• user et passwd—identifiants de connexion Junos OS

• cs_user—Nom d’utilisateur du serveur de consoles

• cs_passwd: mot de passe de l’équipement ou mot de passe du fichier de clé SSH requis pour s’authentifier auprès du serveur de consoles

Dans l’exemple suivant, les informations d’identification de l’utilisateur Junos OS et de l’utilisateur du serveur de console sont définies dans un fichier de coffre-fort Ansible. Les variables du coffre-fort sont ensuite référencées dans le playbook. Dans ce cas, l’argument cs_passwd est la phrase secrète de la clé SSH spécifiée dans l’argument ssh_private_key_file .

---
- name: Get Device Facts
  hosts: dc1_con
  connection: local
  gather_facts: no

  vars_files:
    - vault-vars.yaml

  vars:
    host: "{{ inventory_hostname }}"
    user: "{{ junos_username }}"
    passwd: "{{ junos_password }}"
    cs_user: "{{ cs_username }}"
    cs_passwd: "{{ cs_key_password }}"
    ssh_private_key_file: "/home/user/.ssh/id_rsa_dc"

  tasks:
    - name: Retrieve facts from Junos devices
      juniper.device.facts:  
        savedir: "{{ playbook_dir }}"