Utiliser un tunnel SSH

Pour bénéficier du chiffrement le plus efficace entre Looker et votre base de données, vous pouvez créer un tunnel SSH vers un serveur de tunnel ou vers le serveur de base de données lui-même.

Étape 1 : Choisir l'hôte sur lequel mettre fin au tunnel

La première étape de la configuration de l'accès du tunnel SSH pour votre base de données consiste à choisir l'hôte qui sera utilisé pour mettre fin au tunnel. Le tunnel peut être arrêté sur l'hôte de la base de données lui-même ou sur un hôte distinct (le serveur du tunnel).

Utiliser le serveur de base de données

Lorsque vous n'utilisez pas de serveur tunnel, Looker se connecte directement à votre serveur de base de données via un tunnel SSH sur l'Internet public. La suppression sur la base de données présente l'avantage d'être simple. Comme il y a moins d'hôtes impliqués, il n'y a pas de machines supplémentaires ni leurs coûts associés. Cette option n'est peut-être pas réalisable si votre serveur de base de données se trouve sur un réseau protégé sans accès direct via Internet.

Utiliser un serveur tunnel

Lorsque vous utilisez un serveur tunnel, Looker se connecte à votre serveur de base de données via un serveur tunnel distinct sur un réseau restreint. La suppression du tunnel sur un serveur distinct présente l'avantage de rendre votre serveur de base de données inaccessible depuis Internet. Si le serveur de tunnel est compromis, il est à une étape du serveur de base de données. Nous vous recommandons de supprimer tous les logiciels et utilisateurs non essentiels du serveur de tunnel, et de le surveiller de près à l'aide d'outils tels qu'un système de détection d'intrusion (IDS).

Le serveur du tunnel peut être un hôte Unix ou Linux qui :

1. Est accessible sur Internet via SSH
2. Peut accéder à la base de données

Étape 2 : Créez une liste d'autorisation d'adresses IP

La deuxième étape consiste à autoriser le trafic réseau à atteindre le serveur du tunnel ou l'hôte de la base de données via SSH, généralement sur le port TCP 22.

Autorisez le trafic réseau provenant de chacune des adresses IP listées ici pour la région où votre instance Looker est hébergée. Par défaut, il s'agit des États-Unis.

Instances hébergées sur Google Cloud

Les instances hébergées par Looker sont hébergées sur Google Cloud par défaut. En ce qui concerne les instances hébergées sur Google Cloud, ajoutez les adresses IP qui correspondent à votre région à la liste blanche.

Instances hébergées sur Amazon Elastic Kubernetes Service (Amazon EKS)

Instances hébergées sur Microsoft Azure

Hébergement hérité

Étape 3 : Tunnel SSH

Si l'onglet "Serveurs SSH" est activé, suivez les instructions de cette page pour ajouter les informations de configuration de votre serveur SSH dans Looker.

Sur la page Connexions de la section Admin de Looker, sélectionnez l'onglet Serveur SSH.

Sélectionnez ensuite Ajouter un serveur. Looker affiche la page Ajouter un serveur SSH :

1. Saisissez un nom pour la configuration du serveur SSH.
2. Sélectionnez Télécharger la clé pour télécharger la clé publique dans un fichier texte. Veillez à enregistrer ce fichier, car vous devrez ajouter plus tard la clé publique au fichier de clés autorisées de votre serveur SSH.
3. Saisissez le nom d'utilisateur que Looker utilisera pour se connecter au serveur SSH.
4. Saisissez l'adresse IP ou le nom d'hôte du serveur SSH.
5. Saisissez le numéro de port utilisé pour vous connecter au serveur SSH.

Étape 4 : Préparez l'hôte du tunnel

Ajoutez la clé publique à votre fichier authorized_keys.

Pour authentifier la session de tunnel SSH, Looker nécessite une clé publique unique (Looker n'accepte pas la connexion avec un mot de passe). Si l'onglet "Serveurs SSH" est activé sur votre instance, vous pouvez télécharger la clé publique dans un fichier texte en sélectionnant le bouton Télécharger la clé lorsque vous saisissez les informations de configuration SSH. Si vous configurez votre tunnel SSH avec l'aide d'un analyste Looker, celui-ci vous fournira une clé publique unique.

Vous devrez préparer votre hôte (le serveur de base de données ou le serveur de tunnel) en créant un utilisateur looker et en ajoutant la clé publique Looker au fichier .ssh/authorized_keys Looker. Voici comment procéder :

1. Dans votre ligne de commande, créez un groupe appelé looker :

   sudo groupadd looker
   

2. Créez l'utilisateur looker et son répertoire personnel :

   sudo useradd -m  -g looker  looker
   

3. Passez à l'utilisateur looker :

   sudo su - looker
   

4. Créez le répertoire .ssh :

   mkdir ~/.ssh
   

5. Définissez les autorisations :

   chmod 700 ~/.ssh
   

6. Accédez au répertoire .ssh :

   cd ~/.ssh
   

7. Créez le fichier authorized_keys :

   touch authorized_keys
   

8. Définissez les autorisations :

   chmod 600 authorized_keys
   

À l'aide de l'éditeur de texte de votre choix, ajoutez la clé SSH fournie par votre analyste Looker au fichier authorized_keys. La clé doit tenir sur une seule ligne. Dans certains cas, lorsque vous récupérez la clé depuis votre adresse e-mail, des sauts de ligne sont insérés par votre client de messagerie. Si vous ne les supprimez pas, il sera impossible d'établir le tunnel SSH.

Ajoutez ssh-rsa à votre fichier sshd_config.

OpenSSH a désactivé ssh-rsa par défaut, ce qui peut entraîner des erreurs lors de la configuration d'un tunnel SSH. Pour résoudre ce problème, ajoutez ssh-rsa à la liste des algorithmes acceptés de votre serveur. Voici comment procéder :

1. Modifiez votre fichier sshd_config. Il se trouve généralement à l'adresse ~/etc/ssh/sshd_config.

2. Ajoutez le code ci-dessous à votre fichier sshd_config :

      HostKeyAlgorithms +ssh-rsa
      PubKeyAcceptedAlgorithms +ssh-rsa
   

Paramètre MTU Redshift

Les utilisateurs d'Amazon Redshift doivent définir le client Redshift et le serveur SSH sur une MTU de 1 500.

Remarques sur la sécurité des tunnels

Lorsqu'un tunnel SSH est arrêté sur le serveur de base de données, la connexion depuis Looker apparaît comme une connexion locale sur le serveur de base de données. Par conséquent, il déjoue les mécanismes de sécurité basés sur la connexion intégrés aux plates-formes de base de données telles que MySQL. Par exemple, il est très courant que l'accès local soit accordé à l'utilisateur root sans mot de passe.

Par défaut, l'ouverture de l'accès SSH permet également le transfert de n'importe quel port, ce qui contourne tous les pare-feu entre Looker et l'hôte de base de données qui met fin au tunnel SSH. Ce risque de sécurité peut être considéré comme inacceptable. Ce transfert de port et la possibilité de se connecter à votre serveur de tunnel peuvent être contrôlés en configurant correctement l'entrée .ssh/authorized_keys pour la clé publique Looker.

Par exemple, le texte suivant peut être ajouté au début de la clé SSH Looker dans votre fichier authorized_keys. Notez que ce texte DOIT être personnalisé pour votre environnement.

no-pty,no-X11-forwarding,permitopen="localhost:3306",permitopen="localhost:3307",
command="/bin/echo Login Not Permitted"

Pour obtenir des exemples et des informations détaillées, consultez la documentation Linux sur man ssh et man authorized_keys.

Étapes suivantes

Si l'onglet "Serveurs SSH" est activé sur votre instance, revenez à la page "Ajouter un serveur SSH", puis sélectionnez Tester et demander l'empreinte pour vérifier votre connexion au serveur SSH. Looker affiche un écran avec la nouvelle configuration SSH et des options permettant de télécharger ou d'afficher la clé publique, ainsi que d'afficher l'empreinte unique de la configuration du serveur SSH.

Ensuite, sur la page Paramètres de connexion de votre base de données :

1. Activez l'option Serveur SSH et sélectionnez la configuration de votre serveur SSH dans la liste déroulante.
2. Dans les champs Hôte distant et Port, saisissez l'adresse IP ou le nom d'hôte, ainsi que le numéro de port de votre base de données.

Si vous configurez votre tunnel SSH avec l'aide d'un analyste Looker, prévenez-le lorsque vous êtes prêt à le tester. Une fois qu'il aura confirmé que le tunnel est établi, il vous fournira le numéro de port pour le côté Looker du tunnel SSH.

Ensuite, sur la page Paramètres de connexion de votre base de données :

1. Saisissez localhost dans le champ Hôte distant.
2. Dans le champ Port, saisissez le numéro de port du côté Looker du tunnel SSH fourni par votre analyste Looker.

3. Désactivez l'option Vérifier le certificat SSL sur la page Connexions de votre base de données.

   Les certificats SSL ne sont pas compatibles avec la configuration d'un tunnel SSH vers votre base de données depuis Looker. En revanche, la clé SSH que vous avez ajoutée à l'étape 4 assure la sécurité de l'établissement de la connexion entre Looker et votre base de données.