Cisco ACI を Ansible 2.8.5 で設定する
今回は Cisco ACI の設定を Ansible で自動化する手順をメモしておきます。 尚、サンプルとして理解しやすいよう、Playbook は「ひとつの機能毎に分割」しています。
Blog¶
Cisco ACI で取得可能なスナップショットは「50」世代まで
Cisco ACI のスナップショット機能に関して、以前に以下のメモを書きました。
スナップショット機能は実装当初から使いやすい機能で、最新のバージョンに至るまで殆ど変更の無い、完成された機能だと思います。 今回はスナップショット機能について改めてまとめておきます。
Cisco ACI へログインする C# サンプルプログラム
C# で ACI へログインするサンプルを書いてみました。 ACI 4.2(2e) で検証しましたが、ACI 側のバージョンに依存する部分はありません。 .NET Framework は 4.7.2 を使いました。 サンプルとしての分かりやすさを優先すべく、出来るだけコンパクトに書いていますが、本格的に利用するには以下のような改善が必要だと思います。
- 以下をハードコードせず、引数や外部ファイルから指定出来るようにする
- APIC のアドレス
- ユーザ名
- パスワード
- 例外処理を追加する
- Json をべた書きせず、クラス化する
- HttpClient のタイムアウト時間等、必要なパラメータをチューニングする
実際にはレスポンスから token を抜き出し、以降の処理で使います… というアプリケーションを書くことになると思います。
WSL のディレクトリをエクスプローラで開く
通常、エクスプローラから WSL のディレクトリを開くことは出来ません。 しかし、WSL のプロンプトから explorer.exe . を実行することで、WSL で作業中のディレクトリをエクスプローラで開くことが出来ます。
頻繁に利用するのであれば explorer.exe . のエイリアスを作成しておいても良いかも知れません。 エイリアスの名前はお好みですが、explorer で定義すると exp～ で始まる他のコマンドが多い為、expl[tab] のように 4 文字入力しないとタブ補完が効きません。
Cisco ACI で追加されてきた機能一覧
これまでリリースされた Cisco ACI の Release Notes のうち、各バージョンで実装された新機能を一覧にしてみました。
Cisco ACI でユーザのローカル認証時に OTP (ワンタイムパスワード) を利用する
Cisco ACI ではユーザをローカル認証する際、OTP (ワンタイムパスワード) を利用することが出来ます (※ リモートユーザでは試したことがありません… リモートユーザでも出来るのかも？)。 今回は OTP の設定方法をメモしておきます。 今回は ACI 4.2(2e) を利用しました。
尚、OTP は ACI 3.0(1) からサポートされた機能のようです。
| Feature | Description |
|---|---|
| Local User Authentication using OTP | OTP is a one-time password that is valid for only one session. Once OTP is enabled, Cisco APIC generates a random human readable 16 binary octets that are base32 OTP Key. |
Cisco ACI におけるパスワードチェック設定
Cisco ACI にはパスワードの強度等を強制出来る Password Strength Check という設定があります。 この設定を有効化することで、ローカルユーザのパスワードを指定した強度以上に強制することが出来ます。
Cisco ACI で Forwarding Scale Profile Policy を設定してリソース最大値を調整する
Cisco ACI では保持出来る MAC アドレスエントリーや IPv4/IPv6 ルート数などの最大値を Forwarding Scale Profile によって調整することが出来ます。 今回は Forwarding Scale Profile についてメモします。 尚、表示例や説明は ACI 4.2(2e) を対象にしています。
sudo で UID に「-1」または「4294967295」を指定すると root 権限でコマンド実行出来る脆弱性
sudo コマンドで UID に「-1」または「4294967295」を指定すると root 権限でコマンド実行出来る脆弱性が発見されたそうです。
- Potential bypass of Runas user restrictions
- CVE-2019-14287
- sudoの脆弱性情報(Important: CVE-2019-14287)と新バージョン(1.8.28)
- sudoでUIDに4294967295を指定すると途中からuid = 0と解釈される特権昇格の脆弱性
実際に脆弱性を試してみます。
Cisco ACI へ Python3 でログインするサンプル (urllib.request 版)
以前に Cisco ACI へログインして認証トークンを取得する Python スクリプトのサンプルというメモを書きました。 ここでは requests モジュールを使った Python スクリプトを書いたのですが、これを urllib.request を使って書き直したサンプルをメモしておきます。 Python 3.7.3 で動作確認しました。 ACI 4.2(2e) で確認していますが、ACI 側のバージョンには依存していないはずです。