Escritura de filtros Jinja y mecanismo de lookup

1. De vuelta a los filtros Jinja

En el capítulo que introducía la noción de rol, descubrió los filtros Jinja. Se vio que se podían realizar algunas operaciones, como por ejemplo, conversiones de cadenas de caracteres (enteros, booleanos o decimales).

También se pueden utilizar para otras muchas operaciones:

Un aspecto importante con respecto a los filtros es que se ejecutan en la máquina Ansible. Cada filtro se ejecuta en el contexto asociado a la máquina en la que está trabajando.

2. Algunos ejemplos de uso de los filtros Jinja

Antes de ir más lejos y escribir sus propios filtros, verá en detalle algunos filtros que ya existen.

$ ansible -m debug -a msg="{{'123'|int}}" localhost 

localhost | SUCCESS => { 
   "msg": "112" 
} 

$ ansible -m debug -a msg="{{'2'|int + 1}}" localhost 

1. Algunos detalles sobre el almacenamiento  de las contraseñas

Un gran clásico de la administración de sistemas es la creación de usuarios. Estos usuarios pueden tener una contraseña asociada a su cuenta. Esas contraseñas presentan “granos de sal”.

Este término designa el hecho de añadir una secuencia aleatorio al principio de la contraseña y de utilizar esta secuencia suplementaria para generar la suma de hash.

¿Por qué se realiza esta operación? Por razones de seguridad. Los algoritmos de tipo md5 o sha1 son estables y generan la misma suma para cada cadena. Esta propiedad permite, por otro lado, hacer la firma de los archivos.

El problema de esta estabilidad es que, gracias al uso de tablas de correspondencia inversa llamadas rainbow tables, se podrían obtener las contraseñas.

Una manera simple de convencerse es tomar la suma md5 de la cadena test (098f6bcd4621d373cade4e832627b4f6) y ponerla en el motor de búsqueda de Google. Se dará cuenta rápidamente de que esta suma ya ha sido realizada y de que encontrará rápidamente la secuencia original (en este caso, test).

El hecho de añadir un valor aleatorio además de la contraseña en la entrada del algoritmo, le protege de este tipo de ataque. Fíjese que, para distinguir el algoritmo de origen de la versión con el grano de sal, el algoritmo lleva como prefijo una ‘s’ (de sal). De esta manera, md5 con grano de sal se convierte en smd5, sha1 en ssha1, etc.

2. Reentrada en una contraseña

Eso ha sido la teoría. Ahora verá la práctica con un caso concreto: hay un usuario admin al que usted quiere gestionar la contraseña en la máquina. Para ello, puede usar el módulo user con los campos siguientes:

1. Origen de la necesidad

En las siguientes líneas, abordará una técnica que le permitirá generar contraseñas. Estas contraseñas respetarán las condiciones siguientes:

Si tiene que cambiar la contraseña cada mes, debería modificar el inventario. Para evitar esto, debe abordar la técnica de generación de contraseñas pseudo-aleatorias.

Estas deben responder a algunos criterios:

2. Principio de funcionamiento del generador  de contraseñas

Es posible elegir una contraseña pseudo-aleatorio y hacer que esta no cambie. Para ello tiene que apoyarse en un grano de sal idéntico entre dos ejecuciones.

Sin embargo, el grano debe cambiar cada mes. Usará estos dos elementos:

1. Principio de funcionamiento

Ya ha visto cómo funcionan los filtros Jinja y cómo usarlos en Ansible. Ahora verá cómo realizar llamadas de tipo lookup/query. Después abordará la escritura de sus propios lookups.

La diferencia de comportamiento entre las instrucciones lookup y query se hace en lo que respecta al resultado:

En el caso de un bucle(loop), use más bien la instrucción query.

2. Presentación de los lookups nativos de Ansible

lookup('file', 'nombre-archivo') 

Contenido del archivo test-lookup-file.txt 

$ ansible -m debug \ 
  -a msg="{{ lookup('file', 'test-lookup-file.txt') }}" localhost 

localhost | SUCCESS => { ...

1. Contexto

Ya vio cómo usar con Ansible el resultado de un plugin de lookup en un bucle. Desgraciadamente, no encontrará siempre una solución llave en mano para ser usada y quizás tendrá que crear usted mismo esta solución.

Tomará el ejemplo siguiente: obtener datos del programa KeePassX en Linux.

2. Dependencia Python

Antes de continuar tendrá que instalar la biblioteca pykeepass. Esta instalación se hará con el comando siguiente:

$ pip3 install pykeepass 

3. Obtención de la contraseña

La obtención de la contraseña se hará en dos etapas:

Para ello, necesitará el objeto PyKeePass de la biblioteca pykeepass. He aquí la instrucción que corresponda a esta importación:

from pykeepass import PyKeePass 

La apertura de la base KeePass se hace con la instrucción PyKeePass(nombre_archivo, password=contraseña). El objeto enviado será asignado a la variable db.

La búsqueda de la entrada correspondiente al usuario se hará usando el método find_entries_by_username con el parámetro del nombre del usuario buscado.

Para facilitar la puesta a punto y la legibilidad, el programa usará el método get_passwords. Esta función tomará como parámetros los siguientes datos: 

Esta opción enviará una tabla con, para cada cadena encontrada, una pareja clave/valor constituida por el nombre de usuario y la contraseña asociada.

He aquí la implementación del método get_passwords correspondiente...