Rundeck（四）安全配置

news2024/10/7 12:29:34

自动化运维工具rundeck

GitHub - rundeck 是java开发的开源自动化服务，具有 Web 控制台、命令行工具和 WebAPI。它使您可以轻松地跨一组节点运行自动化任务，适合运维自动化管理、自动发布管理、运维数据分析等

网站：https://www.rundeck.com
最新文档：Rundeck | Process Automation Documentation
新手引导：Rundeck | tutorial
最佳实践：Rudeck | howto

系统环境

#环境要求：
    https://docs.rundeck.com/docs/administration/install/system-requirements.html

测试环境：
    openjdk version "11.0.22"
    CentOS Linux release 7.4.1708 (Core) 
    rundeck-5.2.0.20240410-1
    Database:mysql Server

内置的认证模块

jaas-loginmodule.conf --加载---> realm.properties
realm.properties 文件定义了用户/密码、权限以及acl策略的管理
realm.properties 文件是自动加载的不需要重启服务
配置文档： Authenticating Users

内置的role

内置的role 有：
普通用户(默认)
超级管理员role: admin
系统管理员role: ops_admin
应用管理员 role: app_admin

认证模式

sso 单点认证需要企业版本支持
这里讨论jaas模块和Preauthenticated预认证模块

jaas模块

支持ldap、PAM
realm.properties 是动态加载的;
jaas-loginmodule.conf 控制是否热加载，函数功能测试与官方文档说明有出入
realm.properties配置文件格式：
<username>: <password>[,<rolename> ...]

#// rundeck-config.properties
#安全参数
#rundeck.security.jaasRolePrefix：添加到通过JAAS 身份验证确定的每个角色的前缀字符串。默认值：无。
#rundeck.security.requiredRole: roleName。如果设置此属性，则所有用户都必须是指定角色的成员。
#rundeck.login.localLogin.enabled：  false为禁止本地用户登录

添加其他用户

密码尽量避免使用明文，推荐使用bcrypt加密, 配置有见有说明可以使用哪些加密方式,
工具自带了生产密码的方法, md5类型不是密码直接md5加密

[root@tserver121 bootstrap]# su - rundeck
-bash-4.2$ cd /var/lib/rundeck/bootstrap/
-bash-4.2$ java -jar rundeck-5.2.0-20240410.war  --encryptpwd Jetty
Required values are marked with: * 
Username (Optional, but necessary for Crypt encoding):
readonly     <-----username
*Value To Encrypt (The text you want to encrypt):
*********    <-----password

==ENCRYPTED OUTPUT==
bcrypt: BCRYPT:$2a$10$ohiX0erHSnGlpJk7lTWJx.MX5BSAQNLhrgr1SDmfd5RTO3yS7MZY6
obfuscate: OBF:1ua11u2y1qhg1wgk1ltu1w9j19pz1nc81ndi19qf1w871lq41wfe1qju1u2c1u9h
md5: MD5:47d96eab402994bbdab1a691e0118501
crypt: CRYPT:re/1M9PpjIm4k

配置文件中realm.properties添加
readonly: MD5:47d96eab402994bbdab1a691e0118501,user

新添加的readonly普通用户权限

LDAP

第 1 步：设置 LDAP 登录模块配置文件

创建/etc/rundeck/jaas-ldap.conf 文件

步骤2：指定登录模块

#// /etc/rundeck/profile
#添加
JAAS_LOGIN=true
LOGIN_MODULE=ldap
JAAS_CONF=/etc/rundeck/jaas-ldap.conf

第 3 步：重新启动 rundeckd 与尝试登录 Authenticating Users

Preauthenticated预认证模块

预认证的好处是，多个系统集成在一个平台之后只要平台认证过后之后，各个系统之间就通过认证了。
类似于有一个代理提前将你的身份进行验证，比sso简单

undeck.security.authorization.preauthenticated.enabled=true
rundeck.security.authorization.preauthenticated.attributeName=REMOTE_USER_GROUPS
rundeck.security.authorization.preauthenticated.delimiter=,
rundeck.security.authorization.preauthenticated.userNameHeader=X-Forwarded-Uuid
rundeck.security.authorization.preauthenticated.userRolesHeader=X-Forwarded-Roles

#sync user info headers
rundeck.security.authorization.preauthenticated.userSyncEnabled=true
#these are the default headers for passing user details
rundeck.security.authorization.preauthenticated.userFirstNameHeader=X-Forwarded-User-FirstName
rundeck.security.authorization.preauthenticated.userLastNameHeader=X-Forwarded-User-LastName
rundeck.security.authorization.preauthenticated.userEmailHeader=X-Forwarded-User-Email