Настройка двухфакторной аутентификации Ansible AWX

В статье описывается настройка Ansible AWX для защиты пользовательского входа в систему двухфакторной аутентификацией.

Возможные способы аутентификации:

• Мобильное приложение Multifactor
• Telegram
• Звонок (нужно принять вызов и нажать #)

Для настройки второго фактора аутентификации вам потребуется установить и настроить MULTIFACTOR LDAP Adapter.

Схема работы

1. Пользователь подключается к Ansible AWX, вводит логин и пароль на странице входа;
2. LDAP клиент Ansible AWX по протоколу LDAP подключается к компоненту MULTIFACTOR LDAP Adapter;
3. Компонент проверяет логин и пароль пользователя в Active Directory или OpenLDAP и запрашивает второй фактор аутентификации;
4. Пользователь подтверждает запрос доступа выбранным способом аутентификации.

Перед началом работы

Убедитесь, что на сервере с Ansible AWX открыты порт 389 TCP (LDAP) и 636 TCP (LDAPS) для отправки запросов компоненту MMULTIFACTOR LDAP Adapter.

Настройка MULTIFACTOR

1. Зайдите в систему управления MULTIFACTOR, далее в раздел "Ресурсы" и создайте новое LDAP приложение;
2. После создания вам будут доступны два параметра: NAS Identifier и Shared Secret, они потребуются для последующих шагов;
3. Загрузите и установите MULTIFACTOR LDAP Adapter.

Настройка Ansible AWX

Зайдите в панель управления Ansible AWX с правами администратора.

В разделе Settings > Authentication > LDAP settings нажмите Edit.

• LDAP Server URI: адрес и порт компонента MULTIFACTOR LDAP Adapter в формате ldap-url

• LDAP Bind Password: пароль сервисного пользователя

• LDAP Group Type: Выберите "ActiveDirectoryGroupType" для Active Directory

• LDAP Bind DN: учётная запись сервисного пользователя (например, CN=binduser,DC=domain,DC=com)

• LDAP User SearchLDAP-запрос для поиска пользователей

  [
  "CN=Users,DC=domain,DC=local",
  "SCOPE_SUBTREE",
  "(sAMAccountName=%(user)s)"
]

    

  [
  "DC=domain,DC=local",
  "SCOPE_SUBTREE",
  "(objectClass=group)"
]

    

  {
  "first_name": "givenName",
  "last_name": "sn",
  "email": "email"
}

    

  {
"LDAP Organization": {
 "remove_users": false,
 "users": true,
 "remove_admins": false
}

    

}

Нажмите Save.

Смотрите также:

• Ansible Tower Administration Guide – Setting up LDAP Authentication;
• Настройка двухфакторной аутентификации VMware vCenter Server;
• Настройка двухфакторной аутентификации Zabbix.