Das Entfernen von SSH-Schlüsseln mit Puppet ist nicht ausdrücklich erlaubt

Ich benutze Puppet, um SSH-Schlüssel zu verteilen:

ssh_authorized_key { "alice@foo.com":
   ensure => present,
   key => 'xxxx',
   type => 'ssh-rsa',
   user => 'deploy',
}

Die Datei ~ / .ssh / authorized_keys enthält schließlich eine Mischung von Schlüsseln aus mehreren Klassen. Dies ist das gewünschte Ergebnis. Wenn jedoch ein Schlüssel manuell zu $ ​​HOME / .ssh / authorized_keys hinzugefügt wird, belässt Puppet ihn an Ort und Stelle. Gibt es eine Möglichkeit, Schlüssel, die nicht explizit in einem Manifest definiert wurden, immer zu entfernen?

Ich habe Puppet Version 2.7.1.

Ab Puppet 3.6 ist es nun möglich, nicht verwaltete SSH-autorisierte Schlüssel über den userTyp zu löschen . Beispielsweise,

user { 'nick':
  ensure         => present,
  purge_ssh_keys => true,
}

Anstatt ssh_authorized_keyRessourcen zu verwenden, habe ich beschlossen, eine authorized_keysRessource zu definieren , die eine Liste aller SSH-Schlüssel für einen einzelnen Benutzer enthält. Das Define sieht so aus:

define authorized_keys ($sshkeys, $ensure = "present", $home = '') {
    # This line allows default homedir based on $title variable.
    # If $home is empty, the default is used.
    $homedir = $home ? {'' => "/home/${title}", default => $home}
    file {
        "${homedir}/.ssh":
            ensure  => "directory",
            owner   => $title,
            group   => $title,
            mode    => 700,
            require => User[$title];
        "${homedir}/.ssh/authorized_keys":
            ensure  => $ensure,
            owner   => $ensure ? {'present' => $title, default => undef },
            group   => $ensure ? {'present' => $title, default => undef },
            mode    => 600,
            require => File["${homedir}/.ssh"],
            content => template("authorized_keys.erb");
    }
}

$ssh_keysParameter nimmt alle notwendigen Schlüssel als Liste. Die authorized_keys.erbVorlage sieht folgendermaßen aus:

# NOTICE: This file is autogenerated by Puppet and should not be modified
<% sshkeys.each do |key| -%>
<%= key %>
<% end -%>

Verwendung

user {'mikko':
    ...
}
authorized_keys {'mikko':
    sshkeys => [
        'ssh-rsa XXXXXXYYYYYYYYYZZZZZZZZZ mikko@domain.tld',
        'ssh-rsa XXXXXXZZZZZZZZZHHHHHHHHH mikko@other-host.tld',
    ],
}

Das bedingte Hinzufügen von SSH-Schlüsseln (zum Beispiel in verschiedenen Klassen) ist dank des Puppet- +>Operators ebenfalls einfach :

Authorized_keys <| title == 'mikko' |> {
    sshkeys +> 'ssh-rsa ASDFASDFASDFASDF mikko@somewhere-else.tld'
}

Mit dieser Methode hat der Benutzer niemals Schlüssel, die in der Puppet-Konfiguration nicht explizit angegeben sind. Die Schlüsselzeichenfolge wird unverändert in authorized_keys verwendet, sodass das Hinzufügen von Optionen und Einschränkungen trivial ist.

Ich würde mich freuen zu hören, wenn andere diese Methode erfolgreich angewendet haben!

Sie sollten in der Lage sein, dies unter Verwendung des Ressourcen- Metatyps zu tun . Z.B

resources { 'ssh_authorized_key': noop => true, purge => true, }

Die Einstellung noop => true,verhindert das Entfernen. Stattdessen meldet Marionette, was entfernt werden würde. Wenn es das ist, was Sie wollen, entfernen Sie die noop- Anweisung.

Die ideale Syntax für die Ausführung von Vorgängen mit nicht verwalteten Ressourcen wird derzeit diskutiert .

EDIT: Wie in den Kommentaren erwähnt, funktioniert diese Antwort nicht.

Auf Puppet Forge wurde ein Modul unter der Apache-Lizenz, Version 2.0, veröffentlicht, das diese Fähigkeit bietet.

Es basiert jedoch auf Puppet concat anstelle von Vorlagen.

https://github.com/nightfly19/puppet-ssh_keys/tree/master/manifests

Anstatt ein Array von Schlüsseln als Parameter zu übergeben, definieren Sie separate Einträge für jeden Schlüssel.

Anderer Ansatz als bei Mikko, aber gleiches Nettoergebnis.