Iniciación del sistema interactivo

Un asistente de configuración muestra una breve secuencia de diálogos de texto simples que parecen primitivos pero proporcionan un rápido proceso paso a paso que funciona en cualquier lugar y sólo requiere el desnudo mínimo de dependencias de software - una gran ventaja para aplicaciones sensibles a la seguridad:

Todo el software es potencialmente buggy pero podemos minimizar el riesgo favoreciendo intencionalmente la simplicidad sobre los dulces de ojos elegantes.

Los diálogos de configuración se ejecutan en uno de dos lugares:

1. La consola de arranque en la primera bota sobre los tipos de construcción (por ejemplo, ISO, VM, VMDK) donde la máquina real o virtual suele proporcionar acceso a una consola de sistema interactivo.

2. El primer login de la administración sobre los tipos de construcción que se ejecutan sin cabeza máquinas virtuales (por ejemplo, AWS marketplace, OpenStack, Xen). que no proporcionan la opción de interactuar con el sistema en el momento de arranque.

   Después de la bota, una cerca virtual redirige los intentos de acceder a servicios potencialmente vulnerables a una página web explicando cómo SSH en la máquina por primera vez para inicializar la sistema. Después de la inicialización la cerca virtual baja y todos los servicios se pueden acceder normalmente.

Iniciación del sistema no interactivo

El TurnKey Hub simplifica el despliegue mediante ajustes de inicialización del sistema preverding con valores que el usuario proporciona antes de iniciar una instancia a través de la aplicación web de implementación de cloud del Hub.

Esto significa que cuando el sistema arranca por primera vez no necesita interactuar con el usuario a través de diálogos de texto.

La preverding está bien documentada y puede ser utilizada por otros proveedores de alojamiento o nubes privadas de una manera similar para simplificar el despliegue.

Inithooks objetivos de diseño de paquetes

El paquete inithooks ejecuta scripts de inicialización del sistema que:

• Claves secretas regeneradas (por ejemplo, SSH, certificado SSL predeterminado): Esto no es sólo una buena idea, es necesario evitar el hombre en los ataques medios.
• Establecer contraseñas (por ejemplo, root, base de datos, aplicación): necesario para evitar el riesgo de contraseñas predeterminadas de cableado duro
• Configurar los ajustes de aplicación básicos (por ejemplo, dominio, correo electrónico de administración): especialmente útil cuando se configura la aplicación requeriría la búsqueda del formato de un archivo de configuración.

Además, Inithooks ofrece un mecanismo de preverding diseñado para que sea fácil integrar TurnKey con paneles de control personalizados proporcionados por varias soluciones de virtualización y nube proveedores de alojamiento.

Cómo funciona

Inithooks es lo más genérico y barebones posible, dejando la mayor parte de la funcionalidad hasta los scripts específicos appliance "hook" en sí,

Estos scripts se encuentran en dos subdirectorios bajo /usr/lib/inithooks - cadaboot.d y firstboot.d.

Se ejecutan en orden alfanumérico, lo que significa que un script llamado 1-foo sería ejecutado antes de 2-bar, que en sí mismo sería ejecutado antes de 3-foobar. Por eso los guiones de estos directorios tienen números divertidos al principio.

El script de inicio de inicio inithooks se ejecuta temprano en la inicialización del sistema, en el nivel de ejecución 2 15. Esto permite la configuración del sistema antes de la mayoría de los servicios que comienzan. Esto debe tenerse en cuenta al desarrollar scripts de gancho.

Configurar la contraseña de raíz en un despliegue sin cabeza

En implementaciones sin cabeza el usuario necesita iniciar sesión como root para completar el proceso de inicialización appliance, pero ¿cómo se accede como root?

No es un problema si está usando OpenNode o ProxMox - esos sistemas le incitan a elegir una contraseña de raíz antes de desplegar una imagen TurnKey.

En OpenStack puede iniciar sesión como root con su teclado SSH configurado o recuperar la contraseña de raíz aleatoria del " log del sistema".

Otras soluciones de virtualización / nube privada deben poder utilizar sus scripts de implementación existentes para establecer la contraseña de raíz, como ya lo hacen con Debian y Ubuntu.

Otra opción más avanzada es "preseed" el archivo /etc/inithooks.conf en el sistema de archivos de la apliance antes de arrancarlo por primera vez. Esto le permite aprovechar inithooks para pre-configurar no sólo la contraseña de la raíz, sino también la base de datos y las contraseñas de aplicaciones, correo electrónico de administración, nombre de dominio, etc.

Sin embargo, tenga en cuenta que el uso preverding desactiva la "cerca de la instalación". Si utilizas TurnKey preverding supone que ya has interactuado con el usuario de otra manera (por ejemplo, panel de control web) para obtener los valores de configuración preseedidos.

Preverding

Por defecto, cuando se ejecuta por primera vez un appliance, los scripts de primer arranque le incitarán al usuario de forma interactiva, a través de la consola virtual, a elegir varias contraseñas y Configuración básica de configuración de aplicaciones.

Es posible pasar por alto este proceso de configuración interactivo creando /etc/inithooks.conf en el sistema de archivos appliance y escribiendo variables de configuración inithooks en él antes de la primera bota del sistema. Por ejemplo:

cat>/etc/inithooks.conf<<EOF
export ROOT_PASS=supersecretrootpass
export DB_PASS=supersecretmysqlpass
export APP_EMAIL=admin@example.com
export APP_PASS=webappadminpassword
export SEC_ALERTS=admin@example.com
export SEC_UPDATES=FORCE
export HUB_APIKEY=SKIP
EOF

No te preocupes por dejar contraseñas sensibles ahí: después de la primera bota, inithooks en blanco /etc/inithooks.conf fuera tan importantes contraseñas no se deja accidentalmente en la clara.

Este mecanismo de preverding hace que sea relativamente fácil integrar TurnKey con paneles de control personalizados, soluciones de virtualización, etc.

Cómo crear exactamente /etc/inithooks.conf depende de usted y de las capacidades de la plataforma de virtualización que está utilizando. Por ejemplo, muchas plataformas de virtualización proporcionan una instalación a través de la cual puede ejecutar scripts o añadir archivos al sistema de archivos antes de la primera bota.

Lista de ganchos de inicialización y parámetros de configuración preverding

A continuación se muestra una lista de ganchos interactivos de primer arranque. Todos los ganchos interactivos tienen opciones de preverding para apoyar el despliegue de la nube, alojamiento e integración ISV.

Tenga en cuenta que casi todos los appliances tienen su propia aplicación ganchos específicos de regeneración secreta.

Común a todo appliances:

30rootpass              ROOT_PASS
50auto-apt-archive      AUTO_APT_ARCHIVE        [ SKIP ]
80tklbam                HUB_APIKEY              [ SKIP ]
85secalerts             SEC_ALERTS              [ SKIP ]
92etckeeper             ETCKEEPER_COMMIT        [ SKIP ]
95secupdates            SEC_UPDATES             [ SKIP | FORCE ]

Específico para construir sin cabeza:

29preseed INITFENCE [ SKIP ]

appliance específico:

35mysqlpass                    DB_PASS
35pgsqlpass                    DB_PASS

40ansible                      APP_PASS
40couchdb                      APP_PASS
40espocrm                      APP_PASS
40etherpad                     APP_PASS
40githttp                      APP_PASS
40icesecretset                 APP_PASS
40jenkins                      APP_PASS
40mediawiki                    APP_PASS
40mibew                        APP_PASS
40mongodb                      APP_PASS
40moodle                       APP_PASS
40mumblesupw                   APP_PASS
40observium                    APP_PASS
40odoo                         APP_PASS
40openvas                      APP_PASS
40orangehrm                    APP_PASS
40otrs                         APP_PASS
40phpmumbleadmin               APP_PASS
40plone                        APP_PASS
40sugarcrm                     APP_PASS
40suitecrm                     APP_PASS
40torrentserver                APP_PASS
40trac                         APP_PASS
40typo3                        APP_PASS
40zoneminder                   APP_PASS
40nextcloud                    APP_PASS, APP_DOMAIN
40openldap                     APP_PASS, APP_DOMAIN
40owncloud                     APP_PASS, APP_DOMAIN
40zurmo                        APP_PASS, APP_DOMAIN
40domain-controller            APP_PASS, APP_DOMAIN [, APP_REALM]
40b2evolution                  APP_PASS, APP_EMAIL
40collabtive                   APP_PASS, APP_EMAIL
40concrete5                    APP_PASS, APP_EMAIL
40django                       APP_PASS, APP_EMAIL
40dokuwiki                     APP_PASS, APP_EMAIL
40drupal7                      APP_PASS, APP_EMAIL
40e107                         APP_PASS, APP_EMAIL
40ezplatform                   APP_PASS, APP_EMAIL
40gallery                      APP_PASS, APP_EMAIL
40joomla                       APP_PASS, APP_EMAIL
40kliqqi                       APP_PASS, APP_EMAIL
40limesurvey                   APP_PASS, APP_EMAIL
40mahara                       APP_PASS, APP_EMAIL
40mambo                        APP_PASS, APP_EMAIL
40mantis                       APP_PASS, APP_EMAIL
40mattermost                   APP_PASS, APP_EMAIL
40mayan                        APP_PASS, APP_EMAIL
40moinmoin                     APP_PASS, APP_EMAIL
40omeka                        APP_PASS, APP_EMAIL
40oscommerce                   APP_PASS, APP_EMAIL
40phpbb                        APP_PASS, APP_EMAIL
40processmaker                 APP_PASS, APP_EMAIL
40redmine                      APP_PASS, APP_EMAIL
40roundup                      APP_PASS, APP_EMAIL
40silverstripe                 APP_PASS, APP_EMAIL
40simpleinvoices               APP_PASS, APP_EMAIL
40sitracker                    APP_PASS, APP_EMAIL
40twiki                        APP_PASS, APP_EMAIL
40ushahidi                     APP_PASS, APP_EMAIL
40vanilla                      APP_PASS, APP_EMAIL
40vtiger                       APP_PASS, APP_EMAIL
40wordpress                    APP_PASS, APP_EMAIL
40xoops                        APP_PASS, APP_EMAIL
40canvas                       APP_PASS, APP_EMAIL, APP_DOMAIN
40drupal8                      APP_PASS, APP_EMAIL, APP_DOMAIN
40elgg                         APP_PASS, APP_EMAIL, APP_DOMAIN
40gitlab                       APP_PASS, APP_EMAIL, APP_DOMAIN
40gnusocial                    APP_PASS, APP_EMAIL, APP_DOMAIN
40icescrum                     APP_PASS, APP_EMAIL, APP_DOMAIN
40phplist                      APP_PASS, APP_EMAIL, APP_DOMAIN
40piwik                        APP_PASS, APP_EMAIL, APP_DOMAIN
40prestashop                   APP_PASS, APP_EMAIL, APP_DOMAIN
40punbb                        APP_PASS, APP_EMAIL, APP_DOMAIN
40simplemachines               APP_PASS, APP_EMAIL, APP_DOMAIN
40zencart                      APP_PASS, APP_EMAIL, APP_DOMAIN
40magento                      APP_PASS, APP_EMAIL, APP_DOMAIN [, APP_PRIVKEY, APP_PUBKEY]
40bugzilla                     APP_PASS, APP_EMAIL [, APP_OUTMAIL]
40foodsoft                     APP_PASS, APP_EMAIL [, APP_VARIANT]
40ghost                        APP_PASS, APP_EMAIL, APP_DOMAIN [, APP_UNAME]

Si no está presidido, se le pedirá al usuario de forma interactiva. Las opciones SKIP y FORCE deben ser autoexplicativas. Tenga en cuenta que secupdates se salta automáticamente cuando se encuentra en modo de demostración en vivo.

Notas sobre el desarrollo

Así que estás creando un nuevo appliance y quieres añadir ganchos de inicialización. ¡Increíble! Aquí hay algunos ejemplos para conseguir que vayas.

/usr/lib/inithooks/firstboot.d/20regen-joomla-secrets

#!/bin/bash -e
# regenerate joomla secret key and mysql password

. /etc/default/inithooks

updateconf() {
    CONF=/var/www/joomla/configuration.php
    sed -i "s/var $1 = \(.*\)/var $1 = '$2';/" $CONF
}

updateconf '\$secret' $(mcookie)$(mcookie)

PASSWORD=$(mcookie)
updateconf '\$password' $PASSWORD

$INITHOOKS_PATH/bin/mysqlconf.py --user=joomla --pass="$PASSWORD"

/usr/lib/inithooks/firstboot.d/30rootpass

#!/bin/bash -e
# set root password

. /etc/default/inithooks

[ -e $INITHOOKS_CONF ] && . $INITHOOKS_CONF
$INITHOOKS_PATH/bin/setpasspass.py root --pass="$ROOTPASS"

/usr/lib/inithooks/bin/setpass.py

#!/usr/bin/python
# Copyright (c) 2010 Alon Swartz <alon@turnkeylinux.org>
"""Set account password

Arguments:
    username      username of account to set password for

Options:
    -p --pass=    if not provided, will ask interactively
"""

import sys
import getopt
import subprocess
from subprocess import PIPE

from dialog_wrapper import Dialog

def fatal(s):
    print >> sys.stderr, "Error:", s
    sys.exit(1)

def usage(e=None):
    if e:
        print >> sys.stderr, "Error:", e
    print >> sys.stderr, "Syntax: %s <username> [options]" % sys.argv[0]
    print >> sys.stderr, __doc__
    sys.exit(1)

def main():
    try:
        opts, args = getopt.gnu_getopt(sys.argv[1:], "hp:", ['help', 'pass='])
    except getopt.GetoptError, e:
        usage(e)

    if len(args) != 1:
        usage()

    username = args[0]
    password = ""
    for opt, val in opts:
        if opt in ('-h', '--help'):
            usage()
        elif opt in ('-p', '--pass'):
            password = val

    if not password:
        d = Dialog('TurnKey GNU/Linux - First boot configuration')
        password = d.get_password(
            "%s Password" % username.capitalize(),
            "Please enter new password for the %s account." % username)

    command = ["chpasswd"]
    input = ":".join([username, password])

    p = subprocess.Popen(command, stdin=PIPE, shell=False)
    p.stdin.write(input)
    p.stdin.close()
    err = p.wait()
    if err:
        fatal(err)

if __name__ == "__main__":
    main()