Automation in the context of multifactor authentication/fr: Difference between revisions

<languages />

Les flux de travail qui établissent sans intervention humaine des connexions à nos grappes ne peuvent pas utiliser un deuxième facteur. Avec l'authentification multifacteur obligatoire, vous devez demander l'accès à un des nœuds spéciaux qui sont réservés pour les flux automatisés. Un deuxième facteur ne sera pas requis, mais sachez que les fonctionnalités de ces nœuds sont limitées par rapport à celles des nœuds de connexion réguliers en termes de type d'authentification requise et aussi des types d'actions à exécuter.

= Mesures de sécurité accrues =

== Accès sur demande seulement ==

Pour avoir accès aux nœuds spéciaux d'automatisation, écrivez au [[Technical support/fr|soutien technique]]. Décrivez le type d'automatisation, listez les commandes qui seront exécutées ainsi que les outils ou les bibliothèques pour gérer l'automatisation.

== Accès via certaines clés SSH avec contraintes ==

=== <code>restrict</code> ===

Cette contrainte désactive la redirection de port (<i>port forwarding</i>), la redirection d'agent (<i>agent forwarding</i>) et la redirection X11. Le pseudo télétype (PTY) est aussi désactivé, puisqu'il bloquerait la plupart des flux interactifs. Nous posons ces conditions parce que les nœuds spéciaux ne doivent pas être utilisés pour les processus interactifs ou de longue durée; dans ces cas, il faut utiliser les nœuds réguliers.  

=== <code>from="pattern-list"</code> ===

Cette contrainte fait en sorte que la clé ne peut être utilisée qu'à partir d'adresses IP qui respectent le <i>pattern</i> et non par d'autres ordinateurs. La liste des <i>patterns</i> doit être uniquement composée d'adresses IP qui spécifient la classe du réseau, le réseau et le sous-réseau, soit les trois premiers éléments de l'adresse. Par exemple, <code>x.y.*.*</code> ne serait pas acceptée, mais <code>x.y.z.*</code> le serait. Prenez note que l'adresse IP doit être une adresse <b>publique</b>; ainsi, <code>10.0.0.0 – 10.255.255.255</code>, <code>172.16.0.0 – 172.31.255.255</code> et <code>192.168.0.0 – 192.168.255.255</code> seraient incorrectes. Pour connaître votre adresse IP publique, allez sur le site [https://whatismyipaddress.com/ What Is My IP Address?] ou lancez la commande <code>curl ifconfig.me</code> de l'interpréteur (<i>shell</i>).

=== <code>command="COMMAND"</code> ===

<div lang="en" dir="ltr" class="mw-content-ltr">

This seems to be more probably in Windows environment.  

If this is the case you have to make sure that the IP address mask you put in the <code>restrict,from=</code> field of the key

<div lang="en" dir="ltr" class="mw-content-ltr">

The possible problem is that if you put the IPv4 address mask, '''199.241.166.*''' into the CCDB SSH key, and  

</div>  

<div lang="en" dir="ltr" class="mw-content-ltr">

  ssh -i ~/.ssh/automation_key -vvv username@robot.graham.alliancecan.ca "ls -l"

</div>  

<div lang="en" dir="ltr" class="mw-content-ltr">

using the <code>~/.ssh/automation_key</code> SSH key.

Then it prints the list of files in your home directory on Graham to screen.

<div lang="en" dir="ltr" class="mw-content-ltr">

Look for the '''Connecting to...''' message there.

If it says something like this:

<div lang="en" dir="ltr" class="mw-content-ltr">

If the message is similar to  

  debug1: Connecting to robot.graham.alliancecan.ca [2620:123:7002:4::5] port 22.

<div lang="en" dir="ltr" class="mw-content-ltr">

: <code>ssh -i ~/.ssh/automation_key -vvv username@199.241.166.5 "ls -l"</code>

: instead, to force SSH to use the IPv4 addresses.

<div lang="en" dir="ltr" class="mw-content-ltr">

<source lang=python>

# ====================================================================================================

# ====================================================================================================

</source>

executes the <code>ls -l</code> command to get the list of files.

Then prints the list to the screen.