TL; DR;

宅鯖のVMへの認証情報をリポジトリ内に置かなくて済むようにパスワードレス・Hashicorp Vault SSH OTPによる接続ができるようにしました。その際、cloud-init・terraformを用いた自動セットアップや、AnsibleでのOTPを使ったログインなど、IaC awareな方法を用いました

モチベーション

我が家の宅鯖環境では、環境の再現性を高めるために、物理マシン上にKVMによる仮想マシンを構築して、その上でKubernetesクラスタを構築しています。このVMへの接続に用いるユーザーは、VMインストール時にcloud init(正確にはubuntuのauto install)を用いてパスワード作成・SSHアクセスを許可する公開鍵登録を行っているのですが、このやり方だと以下のような問題があります。

認証情報を平文で保存しておりセキュリティ的によろしくない
- プライベートリポジトリなのでそこまで問題ではないが気持ち悪い
認証情報をローテーションする際に、cloud initの設定ファイル変更に加えてマシンでの変更が必要になる
- cloud initはインストール時にしか作用しないため
マシン毎に異なる認証情報を用いようとするとさらに管理が煩雑になる

これらの問題に対して、本来ならPAMを使って外部のパスワードソースと連携するといったアプローチが考えられますが、インターネットからアクセスできないネットワーク上かつユーザーは自分だけなので、とりあえずパスワードレスとします。

ただしそのままだとSSH接続をセキュアに行うことができないので、SSH接続時の認証に関して以下のような方法を検討し、最終的にHashicorp VaultのSSH OTPを導入することにしました。機能だけで見るならTeleportですが宅鯖環境での設計は一筋縄ではいかなさそうである一方、SSH OTPなら機密情報管理用にVaultを既に入れていてミニマルに始められそうだったためです。

公開鍵認証
- メリット
  - 公開鍵を配置するだけで実装可能
- デメリット
  - 自動化の余地はあるが、接続元の追加・削除の際に全マシンに対して変更する必要がある
Hashicorp Vault SSH OTP
- Vaultが生成したOTPを使うことでそのマシンへのログインに限ったSSHパスワードを行える
- メリット
  - エージェントをインストールするだけでマシンへの導入が終わる
- デメリット
  - Hashicorp Vaultをセットアップする必要がある
  - Vaultへの疎通がとれない場合にログインできなくなる
Teleport
- ゼロトラストのアクセス用OSS
- メリット
  - PAMの提供もしており、セキュリティレベルでは最も高い
- デメリット
  - 導入・運用の手間が多い
  - 宅鯖でHA構成を取ろうとするとストレージ・LBの選定が難しい

Hashicorp Vault SSH OTPによるログインの流れは図のようになります。

設定

Vault側の設定

公式ドキュメントの手順に従ってTerraformによる設定を行います。

1
provider "vault" {
2
  address = "Vaultのエンドポイント"
3
  ca_cert_file = "ルート証明書"
4
}
5

6
// ssh secret engineを有効化する
7
resource "vault_mount" "ssh" {
8
  path = "ssh"
9
  type = "ssh"
10
}
11

12
// roleを作成する
13
resource "vault_ssh_secret_backend_role" "virtual-machine-otp" {
14
  name     = "virtual-machine-otp"
15
  backend  = vault_mount.ssh.path
16
  key_type = "otp"
17
  default_user = "localadmin"
18
  cidr_list = "172.16.1.0/24"
19
}

仮想マシン側の設定

公式チュートリアルに従ってcloud-initでのVMセットアップ時に設定を行います。実際にはubuntuのautoinstallという機能の設定ファイルなので、user-data以下にcloud-initの記法で記述します。

1
#cloud-config
2
autoinstall:
3
  version: 1
4
  locale: ja_JP.UTF-8
5
  user-data:
6
    users:
7
      - name: localadmin
8
        # パスワードを指定しないことでパスワードレスにできる
9
        # パスワードレスでsudoができるように設定
10
        sudo: "ALL=(ALL) NOPASSWD:ALL"
11
        shell: /bin/bash
12
    runcmd:
13
      - apt update
14
      - apt install -y unzip
15
      # vault-ssh-helper（エージェント）のインストール
16
      - wget "https://releases.hashicorp.com/vault-ssh-helper/0.2.1/vault-ssh-helper_0.2.1_linux_amd64.zip"
17
      - unzip -q vault-ssh-helper_0.2.1_linux_amd64.zip -d /usr/local/bin
18
      - rm vault-ssh-helper_0.2.1_linux_amd64.zip
19
      - chmod 0755 /usr/local/bin/vault-ssh-helper
20
      - chown "root:root" /usr/local/bin/vault-ssh-helper
21
      - mkdir /etc/vault-ssh-helper.d
22
      # vault-ssh-helperの設定
23
      - |
24
          tee /etc/vault-ssh-helper.d/ca.crt << EOF
25
          ルート証明書の内容を記載
26
          EOF
27

28
      - |
29
          tee /etc/vault-ssh-helper.d/config.hcl <<EOF
30
          vault_addr = "Vaultのエンドポイント"
31
          tls_skip_verify = false
32
          ca_cert = "/etc/vault-ssh-helper.d/ca.crt"
33
          ssh_mount_point = "ssh"
34
          allowed_roles = "*"
35
          EOF
36
      # sshdのPAM設定でvault-ssh-helperを使うように変更する
37
      - sed -r -i "s/(^@include common-auth)/#\1/" /etc/pam.d/sshd
38
      - |
39
          tee -a /etc/pam.d/sshd <<EOF
40
          auth requisite pam_exec.so quiet expose_authtok log=/var/log/vault-ssh.log /usr/local/bin/vault-ssh-helper -config=/etc/vault-ssh-helper.d/config.hcl
41
          auth optional pam_unix.so not_set_pass use_first_pass nodelay
42
          EOF
43
      # sshdの設定でvault-ssh-helperを使うように変更する
44
      - sed -r -i "s/(^UsePAM no)/#\1/" /etc/ssh/sshd_config
45
      - sed -r -i "s/(^KbdInteractiveAuthentication no)/#\1/" /etc/ssh/sshd_config
46
      - sed -r -i "s/(^PasswordAuthentication yes)/#\1/" /etc/ssh/sshd_config
47
      - |
48
          tee -a /etc/ssh/sshd_config <<EOF
49
          # For Hashicorp vault ssh helper
50
          KbdInteractiveAuthentication yes
51
          UsePAM yes
52
          PasswordAuthentication no
53
          EOF
54
      - systemctl restart sshd
55
      - vault-ssh-helper -verify-only -config /etc/vault-ssh-helper.d/config.hcl
56
  timezone: "Asia/Tokyo"
57
  ssh:
58
    install-server: true

この設定を投入してVMを作成すると、自動でSSH OTPのエージェントのインストール・設定が完了します。

1
all:
2
  vars:
3
    ansible_user: localadmin
4
    ansible_password: "{{ lookup('community.hashi_vault.vault_write', 'ssh/creds/virtual-machine-otp', url='Vaultのエンドポイント', ca_cert='ルート証明書のパス', data={'ip': lookup('community.general.dig', inventory_hostname)})['data']['key'] }}"
5

6
  children:
7
    servers:
8
      hosts:
9
        VM1のFQDN:
10
        VM2のFQDN:
11
        ...

今後の改善点

当初実現したかったことは達成でき当面はこれで行こうかと思いますが、パスワードレスにしたゆえにセキュリティ的に少し気持ち悪いという課題は残ります。

Teleportはここらへんをうまく解決してくれそうなので、検証をしていきたいです。

Hashicorp VaultのSSH OTPを利用してUbuntuマシンへのアクセスをセキュアに保つ

TL; DR;

モチベーション

設定

Vault側の設定

仮想マシン側の設定

ログイン

ターミナルからのログイン

Ansibleによるログイン

今後の改善点