AdminSysGNULinux

Voir :

• https://access.redhat.com/solutions/6974919
• https://access.redhat.com/solutions/6978590

Voir aussi :

• https://stackoverflow.com/questions/41755543/ansible-galaxy-and-git-clone-from-bitbucket-org
• https://stackoverflow.com/questions/49737069/using-credentials-for-ansible-galaxy-with-private-gitlab-repo-in-a-jenkins-job

requirements.yml

---

- name: test_jb
  src: https://bitbucket.acme.local/scm/jean/ansible-role-test_jb.git
  scm: git               # <--- Add this line to fix HTTP Error 501 !
  version: master

ansible-galaxy role install -r requirements.yml
- downloading role from https://bitbucket.acme.local/scm/jean/ansible-role-test_jb.git
[ERROR]: failed to download the file: <urlopen error [SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: unable to get local issuer certificate (_ssl.c:1147)>
[WARNING]: - test_jb was NOT installed successfully.
ERROR! - you can use --ignore-errors to skip failed roles and finish processing the list.

STATUS : NOK

need ignore-certs to download roles with ansible-galaxy https://github.com/geerlingguy/ansible-for-kubernetes/issues/62

Erreur :

urlopen error [SSL: CERTIFICATE_VERIFY_FAILED]
certificate verify failed: unable to get local issuer certificate (_ssl.c:1123)>

~/.ansible.cfg

[galaxy]
ignore_certs = yes

Effet : aucun

STATUS : NOK

https://docs.ansible.com/ansible/latest/reference_appendices/config.html

export ANSIBLE_GALAXY_IGNORE=yes
export GALAXY_IGNORE_CERTS=yes

Effet : aucun

STATUS : NOK

echo "cacert=/runner/ca.crt" > ~/.curlrc

Effet : ça fonctionne pour curl et git mais aucun effet pour ansible-galaxy

STATUS : OK

https://ansible.readthedocs.io/projects/awx-operator/en/latest/user-guide/advanced-configuration/trusting-a-custom-certificate-authority.html

Syntaxe

kubectl create secret generic NAME [--type=string] [--from-file=[key=]source] [--from-literal=key1=value1] [--dry-run=server|client|none]

kubectl create secret generic awx-custom-certs --from-file=bundle-ca.crt=/etc/ssl/certs/ca-bundle.crt

kubectl edit AWX

spec:
  bundle_cacert_secret: awx-custom-certs

STATUS : NOK

https://virtualhobbit.com/2020/06/19/adding-internal-ca-ssl-chains-to-ansible-awx/

curl -k -w %{certs} https://www.acme.fr > cacert.pem

mv chain.pem /etc/pki/ca-trust/source/anchors/
/etc/pki/ca-trust/source/anchors/
update-ca-trust extract

Effet : C'est étrange, ça fonctionne pour wget mais pas pour curl ni pour ansible-galaxy. C'est comme si libcurl ne parvenait pas à choisir le certificat approprié.

STATUS : A confirmer

Voir :

• https://github.com/ansible/ansible/issues/77731

Add the ca cert to /etc/ansible on the system you are running ansible-galaxy from. The file should use a .crt or .pem

Testé en mettant le certificat dans ~/.ansible/ : aucun effet

STATUS : NOK

git config --global http.sslCAInfo ~/ca.crt

ansible-galaxy ignore http.sslCAInfo

Effet : ça fonctionne pour git mais pas pour ansible-galaxy Ça semble ne concerner que la commande gît, mais pas Python (ansible-galaxy)

STATUS : OK pour HTTPS mais KO pour l'authentification

Pas nécessaire si K8S bundle_cacert_secret

Settings / Extra Environment Variable

{
  "GIT_SSL_NO_VERIFY": "true"
}

ansible-galaxy.sh

#! /bin/bash
 
set -euo pipefail
 
declare -a all_args
 
arg_append() {
    all_args=(${all_args[@]} $1)
}
 
while [ "${1-}" != "" ]; do
    case $1 in
    install)
        arg_append install
        arg_append "-c"
        ;;
    *)
        arg_append "$@"
        ;;
    esac
    shift
done
 
exec /usr/local/bin/ansible-galaxy1 "${all_args[@]}"

execution-environment.yml

---

version: 3

images:
  base_image:
    name: quay.io/ansible/awx-ee:24.6.1

additional_build_files:
  - src: files/ansible-galaxy.sh
    dest: files/

additional_build_steps:
  prepend_base:
    - RUN cp -p /usr/local/bin/ansible-galaxy /usr/local/bin/ansible-galaxy.orig
    - RUN mv /usr/local/bin/ansible-galaxy /usr/local/bin/ansible-galaxy1
    - ADD _build/files/ansible-galaxy.sh /usr/local/bin/ansible-galaxy

options:
  user: '1000'

Comme l'authentification de fonctionne pas, testons : requirements.yml

---

- name: test_jb
  #src: https://bitbucket.acme.local/scm/jean/ansible-role-test_jb.git
  src: https://jean:password@bitbucket.acme.local/scm/jean/ansible-role-test_jb.git
  version: master

Note : le mot de passe doit être en URL encoding si il contient des caractères spéciaux

[ERROR]: failed to download the file: HTTP Error 501:\n[WARNING]: - test_jb was NOT installed successfully.\nERROR! - you can use --ignore-errors to skip failed roles and finish processing the list.",

Effet : Ça ne fonctionne toujours pas, mais pour une autre raison. On a avancé le schmilblick. Le script wrapper fait joue bien son rôle.

A faire :

• Déterminer pourquoi libcurl ne fonctionne pas après l'ajout du certificat dans le magasin du système de l'OS. Le certificat est-il bien une CA ?
• Test/audit TLS du bitbucket
• S'assurer que ansible-galaxy ne se connecte pas sur un dépôt public
• Analyser l'erreur HTTP 501 “(Method) Not Implemented”. Quelle est la “method” HTTP appelée ?
• Vérifier que la version de Git est Git >= 1.6.6 Voir : https://confluence.atlassian.com/stashkb/git-commands-return-error-code-501-282988872.html
• Décapsuler TLS séparément avec proxytunnel ou socat
• Regarder comment AWX utilise le credential pour Git (project_update.yml)
• Le serveur ne renvoie pas la chaine complète de certificats (CA + intermédiaire + certificat serveur). Mais seulement un unique certificat qui n'est pas la CA mais seulement. Voir pb_openssl_error_loading_extension_section_v3_ca et aussi le Key Usage RedHat - Pb curl NSS error -8102 SEC_ERROR_INADEQUATE_KEY_USAGE

Note : vu qu'après avoir corrigé (en bidouillant) le problème de TLS nous tombons sur un 2em problème il y a de fortes probabilités que notre approche ne soit pas la bonne. Nous ne sommes certainement pas les premiers à tenter de faire fonctionner ansible-galaxy avec Bitbucket en HTTPS avec des certificats auto signés.

Idéalement la CA devrait être déployée est fonctionnelle sur l'ensemble des OS.

Il faut ajouter : scm: git

requirements.yml

---

- name: test_jb
  src: https://bitbucket.acme.local/scm/jean/ansible-role-test_jb.git
  scm: git
  version: master

Avec la nouvelle PKI et en définissant le secret bundle_cacert_secret (méthode K8S) ça fonctionne. Avec ajout du certificat dans /etc/ansible/