Ejecutar scripts al comienzo de una sesión SSH

En algunos casos de uso, puede ser necesario ejecutar comandos automatizados al comienzo de la sesión SSH.

Para dar un ejemplo de uno de estos escenarios, se le puede solicitar al usuario final que utilice una cuenta con acceso restringido para iniciar una sesión SSH. En este caso, se puede escribir un script de escalamiento de privilegios utilizando la función auth-script.

Gracias a esto, incluso si esa cuenta en particular no tiene permitido acceder al dispositivo con el protocolo SSH, el usuario podrá conectarse al dispositivo con las credenciales de otra cuenta en segundo plano (mediante un nombre de usuario global o una credencial de Vault). Como resultado, el usuario podrá utilizar los comandos privilegiados de la cuenta restringida en ese dispositivo a través del protocolo SSH.

Para utilizar esta función, se debe configurar una clave de propiedad authScript en el nivel de Device Group, y el script definido se ejecuta en el dispositivo SSH de destino al comienzo de la sesión SSH del usuario:

En authScript, se pueden utilizar los siguientes dos parámetros para que se puedan usar el nombre de usuario y la contraseña del usuario conectado al dispositivo:

Para este authScript que se ejecuta al conectarse al dispositivo, si el interruptor llamado Mostrar sin la opción authScript en el panel Device Group Options - Miscellaneous está activado, cuando el usuario se conecte al dispositivo con el protocolo SSHv2, habrá una opción para conectarse sin ejecutar el authScript. Incluso si este interruptor está activado para más de un Device Group, solo se mostrará una opción adicional en la pantalla para seleccionar cuando se establezca la conexión.

Las cuentas en Vault también se pueden utilizar en el script siguiendo este formato:

Esto permite que todos los dispositivos del grupo de dispositivos utilicen la contraseña de su propia cuenta de Vault.

Las claves de propiedad de nivel Device Group se aplican a todos los dispositivos que contiene.