新規ユーザーとSSHキー認証を設定します。 Ubuntu18.04でAnsibleを使用する

Ansible Playbookは、単一またはグループのサーバーホストで実行するために送信する一連の命令です。これは、自動化がタスクとして定義され、パッケージのインストール、ファイルの編集などのすべてのジョブがansibleモジュールによって実行される、ansibleプロビジョニングを表します。

このステップでは、新しいユーザーをデプロイし、sshキーをデプロイし、sshサービスを構成するための新しいansibleプレイブックを作成します。

新しいansibleプレイブックを作成する前に、以下のようにssh-keyscanコマンドを使用してすべてのサーバーフィンガープリントをスキャンします。

ssh-keyscan 10.0.15.21 >> ~/.ssh/known_hosts
ssh-keyscan 10.0.15.22 >> ~/.ssh/known_hosts

これらのサーバーのフィンガープリントは、「。ssh/known_hosts」ファイルに保存されます。

注：

サーバーノードが多数ある場合は、ホストリストを保存してから、以下に示すように、bashスクリプトを使用してsshキーの指紋を手動でスキャンできます。

for i in $(cat list-hosts.txt)
do
ssh-keyscan $i >> ~/.ssh/known_hosts
done

次に、vimを使用して「deploy-ssh.yml」という名前のansibleプレイブックを作成します。

vim deploy-ssh.yml

そこにAnsibleプレイブックに従って貼り付けます。

---
 - hosts: all
   vars:
     - provision_password: '$6$w9S3t7x1kRtmG0u$6nVU9KZsC12Q8DYI4FtgKPy.e/cq/jseB/.DViTO1SpUnoCy.dxcOf8hyfitGq5V0yhgXccxzlqm2o.I3SlDJ0'
  gather_facts: no
   remote_user: root
 
   tasks:
 
   - name: Add a new user named provision
     user:
          name=provision
          password={{ provision_password }}
 
   - name: Add provision user to the sudoers
     copy:
          dest: "/etc/sudoers.d/provision"
          content: "provision  ALL=(ALL)  NOPASSWD: ALL"
 
   - name: Deploy SSH Key
     authorized_key: user=provision
                     key="{{ lookup('file', '/home/provision/.ssh/id_rsa.pub') }}"
                     state=present
 
   - name: Disable Password Authentication
     lineinfile:
           dest=/etc/ssh/sshd_config
           regexp='^PasswordAuthentication'
           line="PasswordAuthentication no"
           state=present
           backup=yes
     notify:
       - restart ssh
 
   - name: Disable Root Login
     lineinfile:
           dest=/etc/ssh/sshd_config
           regexp='^PermitRootLogin'
           line="PermitRootLogin no"
           state=present
           backup=yes
     notify:
       - restart ssh
 
   handlers:
   - name: restart ssh
     service:
       name=sshd
       state=restarted

保存して終了します。

プレイブックスクリプトについて：

• 「inventory.ini」ファイルで定義されているすべてのサーバーに適用される「deploy-ssh.yml」プレイブックスクリプトを作成します。
• 新しいユーザーの暗号化されたパスワードを含むansible変数「provision_password」を作成します。
• Ansibleファクトを「no」に設定します。
• タスクの自動化を実行するためのリモートユーザーとして「root」ユーザーを定義します。
• 新しいユーザーを追加するための新しいタスクを作成し、ユーザーをsudoersに追加して、sshキーをアップロードします。
• sshサービスを構成し、ルートログインを無効にし、パスワード認証を無効にするための新しいタスクを作成します。 sshを設定するためのタスクは、「restartssh」ハンドラーをトリガーします。
• sshサービスを再起動するためのハンドラーを作成します。

su - provision
cd ansible01/

ansible-playbook deploy-ssh.yml --ask-pass

ansible webserver -m ping
ansible webserver -m shell -a id

ssh 10.0.15.21
ssh 10.0.15.22