Wie ignoriere ich die ansible SSH-Authentizitätsprüfung?

Gibt es eine Möglichkeit, die von Ansible durchgeführte SSH-Authentizitätsprüfung zu ignorieren? Wenn ich zum Beispiel gerade einen neuen Server eingerichtet habe, muss ich diese Frage mit Ja beantworten:

GATHERING FACTS ***************************************************************
The authenticity of host 'xxx.xxx.xxx.xxx (xxx.xxx.xxx.xxx)' can't be established.
RSA key fingerprint is xx:yy:zz:....
Are you sure you want to continue connecting (yes/no)?

Ich weiß, dass dies im Allgemeinen eine schlechte Idee ist, aber ich baue dies in ein Skript ein, das zuerst einen neuen virtuellen Server bei meinem Cloud-Anbieter erstellt und dann automatisch mein ansible Playbook aufruft, um ihn zu konfigurieren. Ich möchte jegliche menschliche Intervention während der Skriptausführung vermeiden.

Zwei Optionen - die erste, wie Sie in Ihrer eigenen Antwort gesagt haben, besteht darin, die Umgebungsvariable ANSIBLE_HOST_KEY_CHECKINGauf False zu setzen.

Die zweite Möglichkeit, es festzulegen, besteht darin, es in einer ansible.cfg-Datei abzulegen. Dies ist eine sehr nützliche Option, da Sie diese entweder global (auf System- oder Benutzerebene, in /etc/ansible/ansible.cfgoder ~/.ansible.cfg) oder in einer Konfigurationsdatei im selben Verzeichnis festlegen können als das Playbook, das Sie ausführen.

Erstellen Sie dazu eine ansible.cfgDatei an einem dieser Speicherorte und fügen Sie Folgendes hinzu:

[defaults]
host_key_checking = False

Sie können dort auch viele andere praktische Standardeinstellungen festlegen, z. B. ob zu Beginn eines Spiels Fakten gesammelt werden sollen oder nicht, ob an mehreren Stellen deklarierte Hashes zusammengeführt oder durch andere ersetzt werden sollen usw. Hier in den Ansible-Dokumenten finden Sie eine große Liste von Optionen .

Bearbeiten: ein Hinweis zur Sicherheit.

Die SSH-Hostschlüsselüberprüfung ist eine sinnvolle Sicherheitsschicht für persistente Hosts. Wenn Sie mehrmals eine Verbindung zu demselben Computer herstellen, ist es hilfreich, den Hostschlüssel lokal zu akzeptieren.

Bei längerlebigen EC2-Instanzen ist es sinnvoll, den Hostschlüssel mit einer Aufgabe zu akzeptieren, die bei der ersten Erstellung der Instanz nur einmal ausgeführt wird :

  - name: Write the new ec2 instance host key to known hosts
    connection: local
    shell: "ssh-keyscan -H {{ inventory_hostname }} >> ~/.ssh/known_hosts"

Es gibt keinen Sicherheitswert für die Überprüfung von Hostschlüsseln in Instanzen, die Sie dynamisch aufstehen und direkt nach der Ausführung des Playbooks entfernen. Es gibt jedoch einen Sicherheitswert für die Überprüfung von Hostschlüsseln auf persistente Computer. Daher sollten Sie die Überprüfung des Hostschlüssels je nach logischer Umgebung unterschiedlich verwalten.

• Lassen Sie die Überprüfung standardmäßig aktiviert (in ~/.ansible.cfg).
• ./ansible.cfgDeaktivieren Sie die Hostschlüsselprüfung im Arbeitsverzeichnis für Playbooks, die Sie für kurzlebige Instanzen ausführen ( neben dem Playbook für Komponententests gegen vagabundierende VMs, Automatisierung für kurzlebige ec2-Instanzen).

Ich habe die Antwort gefunden, Sie müssen die Umgebungsvariable ANSIBLE_HOST_KEY_CHECKINGauf setzen False. Beispielsweise:

ANSIBLE_HOST_KEY_CHECKING=False ansible-playbook ...

vorwärts zu nikobelia

Für diejenigen, die Jenkins zum Ausführen des Playbooks verwenden, habe ich meinem Jenkins-Job vor dem Ausführen des Ansible-Playbooks die Umgebungsvariable ANSIBLE_HOST_KEY_CHECKING = False hinzugefügt. Beispiel:

export ANSIBLE_HOST_KEY_CHECKING=False
ansible-playbook 'playbook.yml' \
--extra-vars="some vars..." \
--tags="tags_name..." -vv

Ändern host_key_checkingan falsefür alle Hosts ist eine sehr schlechte Idee.

Das einzige Mal, wenn Sie es ignorieren möchten, ist der "erste Kontakt", den diese beiden Aufgaben ausführen:

    - name: Check SSH known_hosts for {{ inventory_hostname }}
      local_action: shell ssh-keygen -F {{ inventory_hostname }}
      register: checkForKnownHostsEntry
      failed_when: false
      changed_when: false
      ignore_errors: yes
    - name: Add {{ inventory_hostname }} to SSH known hosts automatically
      when: checkForKnownHostsEntry.rc == 1
      changed_when: checkForKnownHostsEntry.rc == 1
      set_fact:
        ansible_ssh_common_args: '-o StrictHostKeyChecking=no'

Daher deaktivieren wir die Hostschlüsselprüfung nur, wenn wir den Hostschlüssel nicht in unserer known_hostsDatei haben.

Sie können es als Befehlszeilenargument übergeben, während Sie das Playbook ausführen:

ansible-playbook play.yml --ssh-common-args='-o StrictHostKeyChecking=no'

Wenn Sie nicht wollen , ändern ansible.cfgoder die playbook.ymldann können Sie nur eine Umgebungsvariable gesetzt:

export ANSIBLE_HOST_KEY_CHECKING=False

Verwenden Sie den Parameter validate_certs, um die SSH-Validierung zu ignorieren

- ec2_ami:
    instance_id: i-0661fa8b45a7531a7
    wait: yes
    name: ansible
    validate_certs: false
    tags:
      Name: ansible
      Service: TestService

Auf diese Weise wird der SSH-Validierungsprozess ignoriert

Ich weiß, dass die Frage beantwortet wurde und auch richtig ist, wollte aber nur das ansible Dokument verknüpfen, in dem klar erklärt wird, wann und warum die jeweilige Prüfung hinzugefügt werden sollte: Host-Key-Prüfung

Die meisten Probleme treten auf, wenn Sie dem dynamischen Inventar (über das Modul add_host) im Playbook einen neuen Host hinzufügen möchten. Ich möchte die Überprüfung des Fingerabdruck-Hosts nicht dauerhaft deaktivieren, daher sind Lösungen wie das Deaktivieren in einer globalen Konfigurationsdatei für mich nicht in Ordnung. Das Exportieren von var wie ANSIBLE_HOST_KEY_CHECKINGvor dem Ausführen von Playbook ist eine weitere Aufgabe, die vor dem Ausführen ausgeführt werden muss.

Es ist besser, eine lokale Konfigurationsdatei in demselben Verzeichnis hinzuzufügen, in dem sich das Playbook befindet. Erstellen Sie eine Datei mit dem Namen ansible.cfgund fügen Sie folgenden Text ein:

[defaults]
host_key_checking = False

Sie müssen nicht daran denken, etwas in env vars hinzuzufügen oder ansible-playbookOptionen hinzuzufügen . Es ist einfach, diese Datei auf ansible git repo zu stellen.