Écriture de filtres Jinja et mécanisme de lookup

1. Retour sur les filtres Jinja

Dans le chapitre introduisant la notion de rôle, vous avez abordé rapidement les filtres Jinja. Vous avez vu que vous étiez en mesure de réaliser certaines opérations, comme par exemple des conversions de chaînes de caractères (entiers, booléens ou chiffres à virgule).

Vous pouvez également vous en servir pour tout un tas d’autres opérations :

Un point important à retenir concernant les filtres est qu’ils sont lancés sur la machine Ansible. Chaque filtre est lancé dans le contexte associé à la machine sur laquelle vous êtes en train de travailler.

2. Quelques exemples d’utilisation des filtres Jinja

Avant d’aller plus loin et d’écrire vos propres filtres, vous allez revoir certains des filtres existants.

$ ansible -m debug -a msg="{{'123'|int}}" localhost 

localhost | SUCCESS => {  
   "msg": "112"  
} 

1. Quelques mots sur le stockage des mots de passe

Un grand classique de l’administration système est de créer des utilisateurs systèmes. Ces utilisateurs peuvent avoir éventuellement un mot de passe associé. Ces mots de passe sont « salés ».

Ce terme désigne le fait de rajouter une séquence aléatoire en début de mot de passe et d’utiliser cette séquence supplémentaire pour générer la somme de hachage. 

Pourquoi réaliser cette opération ? Pour des raisons de sécurité. En effet, les algorithmes de type md5 ou sha1 sont stables et génèrent toujours la même somme pour une chaîne donnée. Cette propriété permet d’ailleurs la signature de fichiers.

Le problème de cette stabilité est que vous pouvez vous servir de tables de correspondance inverse pour obtenir le mot de passe en clair. Il s’agit des rainbow tables.

Un moyen simple de s’en convaincre est de prendre la somme md5 de la chaîne test (098f6bcd4621d373cade4e832627b4f6) et de l’entrer dans le moteur de recherche Google. Vous vous rendrez rapidement compte que cette somme a déjà été réalisée et que vous pouvez donc rapidement obtenir...

1. Origine du besoin

Dans ce qui va suivre, vous allez aborder une technique permettant de générer des mots de passe. Ces mots de passe devront respecter les conditions suivantes :

Si vous devez changer le mot de passe tous les mois, vous aurez à modifier l’inventaire. Afin d’éviter d’avoir à le faire vous allez aborder une technique de génération de mots de passe pseudo-aléatoires.

Ces derniers doivent répondre à certains critères :

2. Principe de fonctionnement du générateur de mots de passe

Il est tout à fait possible de tirer un mot de passe pseudo-aléatoire et de s’assurer que ce dernier ne change pas d’un coup sur l’autre. Il suffit de s’appuyer sur une graine identique d’un appel à l’autre.

Néanmoins, la graine doit changer tous les mois. Vous vous appuierez donc sur deux éléments :

1. Principe de fonctionnement

Vous avez vu comment fonctionnent les filtres Jinja et comment vous en servir dans Ansible. Vous allez maintenant voir comment réaliser des appels de type lookup/query. Vous verrez ensuite comment écrire vos propres lookups.

La différence de comportement entre les instructions lookup et query se fait sur le contenu renvoyé :

Dans le cas d’une boucle (loop), privilégiez l’instruction query.

2. Présentation des lookups Ansible natifs

lookup('file', 'nom-fichier') 

Contenu du fichier test-lookup-file.txt 

$ ansible -m debug \ 
  -a msg="{{ lookup('file', 'test-lookup-file.txt') }}" localhost 

localhost | SUCCESS => {  
   "msg": "Contenu du fichier test-lookup-file.txt"  
} 

1. Contexte

Vous avez vu avec Ansible comment utiliser le résultat d’un plugin de lookup dans une boucle. Malheureusement, vous ne trouverez pas toujours une solution prête à l’emploi et vous serez peut-être amené à écrire votre propre solution.

Vous allez prendre l’exemple suivant : récupérer des informations en provenance du logiciel KeePassX sous Linux.

2. Dépendance Python

Avant d’aller plus loin, il va falloir installer la bibliothèque pykeepass. Cette installation se fait à l’aide de la commande suivante :

$ pip3 install pykeepass 

3. Récupération du mot de passe

La récupération d’un mot de passe KeePass va se faire en deux étapes :

Pour cela, vous aurez besoin de l’objet PyKeePass et de la bibliothèque pykeepass. Ci-dessous, l’instruction correspondant à cet import :

from pykeepass import PyKeePass 

L’ouverture de la base KeePass se fait à l’aide de l’instruction PyKeePass(nom_fichier, password=mot_de_passe). L’objet renvoyé sera affecté à la variable db.

La recherche de l’entrée correspondant à l’utilisateur se fait à l’aide de la méthode find_entries_by_username avec en paramètre le nom de l’utilisateur recherché.

Pour faciliter la mise au point et la lisibilité, le programme passera par une méthode get_passwords. Cette fonction prendra en paramètres les informations...