1.7. 使用 RHEL 系统角色配置 OpenSSH 服务器和客户端

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: SSH server configuration
     hosts: managed-node-01.example.com
     tasks:
       - name: Configure sshd to prevent root and password login except from particular subnet
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.sshd
         vars:
           sshd_config:
             PermitRootLogin: no
             PasswordAuthentication: no
             Match:
               - Condition: "Address 192.0.2.0/24"
                 PermitRootLogin: yes
                 PasswordAuthentication: yes

   示例 playbook 中指定的设置包括如下：

   PasswordAuthentication: yes|no

   控制 OpenSSH 服务器(sshd)是否接受来自使用用户名和密码组合的客户端的身份验证。

   Match:

   match 块只允许来自子网 192.0.2.0/24 使用密码的 root 用户登录。

   有关 playbook 中使用的角色变量和 OpenSSH 配置选项的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.sshd/README.md 文件和 sshd_config (5) 手册页。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不能防止错误的、但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

验证

1. 登录到 SSH 服务器：

   $ ssh <username>@<ssh_server>

2. 验证 SSH 服务器上 sshd_config 文件的内容：

   $ cat /etc/ssh/sshd_config.d/00-ansible_system_role.conf
   #
   # Ansible managed
   #
   PasswordAuthentication no
   PermitRootLogin no
   Match Address 192.0.2.0/24
     PasswordAuthentication yes
     PermitRootLogin yes

3. 检查您是否可以以 root 用户身份从 192.0.2.0/24 子网连接到服务器：

   1. 确定您的 IP 地址：

      $ hostname -I
      192.0.2.1

      如果 IP 地址在 192.0.2.1 - 192.0.2.254 范围内，您可以连接到服务器。

   2. 以 root 用户身份连接到服务器：

      $ ssh root@<ssh_server>

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   • 对于运行 RHEL 8 或更早版本的受管节点：

     ---
     - name: Non-exclusive sshd configuration
       hosts: managed-node-01.example.com
       tasks:
         - name: Configure SSHD to accept environment variables
           ansible.builtin.include_role:
             name: redhat.rhel_system_roles.sshd
           vars:
             sshd_config_namespace: <my_application>
             sshd_config:
               # Environment variables to accept
               AcceptEnv:
                 LANG
                 LS_COLORS
                 EDITOR

   • 对于运行 RHEL 9 或更高版本的受管节点：

     - name: Non-exclusive sshd configuration
       hosts: managed-node-01.example.com
       tasks:
         - name: Configure sshd to accept environment variables
           ansible.builtin.include_role:
             name: redhat.rhel_system_roles.sshd
           vars:
             sshd_config_file: /etc/ssh/sshd_config.d/<42-my_application>.conf
             sshd_config:
               # Environment variables to accept
               AcceptEnv:
                 LANG
                 LS_COLORS
                 EDITOR

     示例 playbook 中指定的设置包括以下内容：

     sshd_config_namespace: <my_application>

     角色将您在 playbook 中指定的配置放在给定命名空间下的现有配置文件中的配置片段中。当从不同上下文运行角色时，您需要选择一个不同的命名空间。

     sshd_config_file: /etc/ssh/sshd_config.d/<42-my_application>.conf

     在 sshd_config_file 变量中，定义 sshd 系统角色将配置选项写入其中的 .conf 文件。使用两位前缀，例如 42- 来指定应用配置文件的顺序。

     AcceptEnv:

     控制 OpenSSH 服务器(sshd)将接受来自客户端的哪些环境变量：

     • LANG ：定义语言和区域设置。
     • LS_COLORS ：定义终端中 ls 命令的显示颜色方案。
     • EDITOR: 指定需要打开编辑器的命令行程序的默认文本编辑器。

     有关 playbook 中使用的角色变量和 OpenSSH 配置选项的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.sshd/README.md 文件和 sshd_config (5) 手册页。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不能防止错误的、但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   - name: Deploy SSH configuration for OpenSSH server
     hosts: managed-node-01.example.com
     tasks:
       - name: Overriding the system-wide cryptographic policy
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.sshd
         vars:
           sshd_sysconfig: true
           sshd_sysconfig_override_crypto_policy: true
           sshd_KexAlgorithms: ecdh-sha2-nistp521
           sshd_Ciphers: aes256-ctr
           sshd_MACs: hmac-sha2-512-etm@openssh.com
           sshd_HostKeyAlgorithms: rsa-sha2-512,rsa-sha2-256

   示例 playbook 中指定的设置包括如下：

   sshd_KexAlgorithms

   您可以选择密钥交换算法，例如 ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,diffie-hellman-group14-sha1 或 diffie-hellman-group-exchange-sha256。

   sshd_Ciphers

   您可以选择密码，例如 aes128-ctr、es192-ctr 或 aes256-ctr。

   sshd_MACs

   您可以选择 MAC，例如 hmac-sha2-256、hmac-sha2-512 或 hmac-sha1。

   sshd_HostKeyAlgorithms

   您可以选择一个公钥算法，如 ecdsa-sha2-nistp256,ecdsa-sha2-nistp384,ecdsa-sha2-nistp521 或 ssh-rsa。

   有关 playbook 中使用的所有变量的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.sshd/README.md 文件。

   注意

   在 RHEL 9 受管节点上，系统角色会将配置写入到 /etc/ssh/sshd_config.d/00-ansible_system_role.conf 文件中，其中加密选项会被自动应用。您可以使用 sshd_config_file 变量更改文件。但是，为了确保配置有效，请使用一个按字典顺序位于 /etc/ssh/sshd_config.d/50-redhat.conf 文件之前的文件名，其中包括配置的加密策略。

   在 RHEL 8 受管节点上，您必须通过将 sshd_sysconfig_override_crypto_policy 和 sshd_sysconfig 变量设置为 true 来启用覆盖。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不能防止错误的、但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: SSH client configuration
     hosts: managed-node-01.example.com
     tasks:
       - name: Configure ssh clients
         ansible.builtin.include_role:
           name: redhat.rhel_system_roles.ssh
         vars:
           ssh_user: root
           ssh:
             Compression: true
             GSSAPIAuthentication: no
             ControlMaster: auto
             ControlPath: ~/.ssh/.cm%C
             Host:
               - Condition: example
                 Hostname: server.example.com
                 User: user1
           ssh_ForwardX11: no

   示例 playbook 中指定的设置包括如下：

   ssh_user: root

   使用特定配置在受管节点上配置 root 用户的 SSH 客户端首选项。

   Compression: true

   压缩被启用。

   ControlMaster: auto

   ControlMaster 多路复用设置为 auto。

   Host

   创建别名 example，来以名为 user1 的用户身份连接到 server.example.com 主机。

   ssh_ForwardX11: no

   X11 转发被禁用。

   有关 playbook 中使用的角色变量和 OpenSSH 配置选项的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.ssh/README.md 文件和 ssh_config (5) 手册页。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不能防止错误的、但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml