第 3 章 受管节点配置

流程

1. 创建文件 /etc/sudoers.d/ansible，并包含以下内容：

   # Rules for the ansible service account
   ansible ALL=(ALL) NOPASSWD: ALL

   Copy to Clipboard Toggle word wrap

2. 对文件设置限制权限：

   sudo chmod 600 /etc/sudoers.d/ansible'

3. 验证该文件是否使用正确的语法：

   sudo visudo -cf /etc/sudoers.d/ansible

流程

1. 创建文件 /etc/sshd/sshd_config.d/60-ansible.conf，并包含以下内容：

   # sshd config applied to the ansible service account
   Match User ansible
   	PasswordAuthentication no
   Match all

   Copy to Clipboard Toggle word wrap

2. 验证该文件是否使用正确的语法：

   sudo sshd -t

3. 重启 SSH 守护进程

   sudo systemctl restart sshd.service

流程

1. 使用自动化控制器和执行节点的 FQDN，使用控制器节点和执行节点的 FQDN 将以下内容添加到 /etc/security/access.conf 文件中：

   # allow the ansible service account to log in from local sources and
   # the hybrid controller or execution nodes, and deny all other sources
   +:ansible:LOCAL controller1.example.com controller2.example.com en1.example.com
   -:ansible:ALL

   Copy to Clipboard Toggle word wrap

2. 在当前 authselect 配置集中启用 with-pamaccess 功能。RHEL 默认包括的所有 authselect 配置集都有此功能。

   sudo authselect enable-feature with-pamaccess

流程

1. 编辑文件 /etc/fapolicyd/fapolicyd.conf，并设置 "permissive = 1"。
2. 运行 systemctl restart fapolicyd.service 重启 fapolicy 服务。

流程

1. 使用以下内容创建文件 /etc/fapolicy/rules.d/50-ansible.rules ：

   allow perm=any uid=ansible trust=1 : dir=/home/ansible/.ansible/tmp/

2. 重启 fapolicyd 服务：

   sudo systemctl restart fapolicyd.service