1.8. 配置与 ssh 系统角色的安全通信

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: SSH server configuration
     hosts: managed-node-01.example.com
     tasks:
       - name: Configure sshd to prevent root and password login except from particular subnet
         ansible.builtin.include_role:
           name: rhel-system-roles.sshd
         vars:
           sshd:
             PermitRootLogin: no
             PasswordAuthentication: no
             Match:
               - Condition: "Address 192.0.2.0/24"
                 PermitRootLogin: yes
                 PasswordAuthentication: yes

   playbook 将受管节点配置为 SSH 服务器，以便：

   • 禁用密码和 root 用户登录
   • 只对子网 192.0.2.0/24 启用密码和 root 用户登录

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

验证

1. 登录到 SSH 服务器：

   $ ssh <username>@<ssh_server>

2. 验证 SSH 服务器中的 sshd_config 文件的内容：

   $ cat /etc/ssh/sshd_config
   ...
   PasswordAuthentication no
   PermitRootLogin no
   ...
   Match Address 192.0.2.0/24
     PasswordAuthentication yes
     PermitRootLogin yes
   ...

3. 检查您是否可以以 root 用户身份从 192.0.2.0/24 子网连接到服务器：

   1. 确定您的 IP 地址：

      $ hostname -I
      192.0.2.1

      如果 IP 地址在 192.0.2.1 - 192.0.2.254 范围内，您可以连接到服务器。

   2. 以 root 用户身份连接到服务器：

      $ ssh root@<ssh_server>

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: SSH client configuration
     hosts: managed-node-01.example.com
     tasks:
       - name: "Configure ssh clients"
         ansible.builtin.include_role:
           name: rhel-system-roles.ssh
         vars:
           ssh_user: root
           ssh:
             Compression: true
             GSSAPIAuthentication: no
             ControlMaster: auto
             ControlPath: ~/.ssh/.cm%C
             Host:
               - Condition: example
                 Hostname: server.example.com
                 User: user1
           ssh_ForwardX11: no

   此 playbook 使用以下配置在受管节点上配置 root 用户的 SSH 客户端首选项：

   • 压缩已启用。
   • ControlMaster 多路复用设置为 auto。
   • 连接到 server. example.com 主机的示例别名是 user1。
   • 创建 示例 主机别名，它代表使用 user1 用户名连接到 server.example.com 主机。
   • X11 转发被禁用。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   • 对于运行 RHEL 8 或更早版本的受管节点：

     ---
     - name: Non-exclusive sshd configuration
       hosts: managed-node-01.example.com
       tasks:
         - name: <Configure SSHD to accept some useful environment variables>
           ansible.builtin.include_role:
             name: rhel-system-roles.sshd
           vars:
             sshd_config_namespace: <my-application>
             sshd:
               # Environment variables to accept
               AcceptEnv:
                 LANG
                 LS_COLORS
                 EDITOR

   • 对于运行 RHEL 9 或更高版本的受管节点：

     - name: Non-exclusive sshd configuration
       hosts: managed-node-01.example.com
       tasks:
         - name: <Configure sshd to accept some useful environment variables>
           ansible.builtin.include_role:
             name: rhel-system-roles.sshd
           vars:
             sshd_config_file: /etc/ssh/sshd_config.d/<42-my-application>.conf
             sshd:
               # Environment variables to accept
               AcceptEnv:
                 LANG
                 LS_COLORS
                 EDITOR

     在 sshd_config_file 变量中，定义 sshd 系统角色在其中写入配置选项的 .conf 文件。使用两位前缀，例如 42- 来指定应用配置文件的顺序。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml