Wie generiere ich Host-SSH-Schlüssel über ansible?

Ich versuche, SSH-Hostschlüssel auf einer Handvoll Remote-Servern über ansible (und ssh-keygen) neu zu generieren , aber die Dateien scheinen nicht angezeigt zu werden. Das Playbook läuft in Ordnung, aber die Dateien auf der Fernbedienung werden nicht geändert.

Ich muss auf das echo -eHackery zurückgreifen, da auf diesen Fernbedienungen Ubuntu 14.04 ausgeführt wird und nicht die richtige Version der python-pexpectverfügbaren (laut ansible) vorhanden ist.

Was vermisse ich? Mein Playbook und meine Ausgabe sind unten:

Spielbuch

---
- hosts: all
  become: true
  gather_facts: false

  tasks:
    - name: Generate /etc/ssh/ RSA host key
      command : echo -e 'y\n'|ssh-keygen -q -t rsa -f /etc/ssh/ssh_host_rsa_key -C "" -N ""
      register: output
    - debug: var=output.stdout_lines

    - name: Generate /etc/ssh/ DSA host key
      command : echo -e 'y\n'|ssh-keygen -q -t dsa -f /etc/ssh/ssh_host_dsa_key -C "" -N ""
      register: output
    - debug: var=output.stdout_lines

    - name: Generate /etc/ssh/ ECDSA host key
      command : echo -e 'y\n'|ssh-keygen -q -t ecdsa -f /etc/ssh/ssh_host_ecdsa_key -C "" -N ""
      register: output
    - debug: var=output.stdout_lines

Ausgabe

$ ansible-playbook ./playbooks/ssh-hostkeys.yml -l myhost.mydom.com, 
SUDO password: 

PLAY [all] **********************************************************************************************

TASK [Generate /etc/ssh/ RSA host key] ******************************************************************
changed: [myhost.mydom.com]

TASK [debug] ********************************************************************************************
ok: [myhost.mydom.com] => {
    "output.stdout_lines": [
        "y", 
        "|ssh-keygen -q -t rsa -f /etc/ssh/ssh_host_rsa_key -C  -N "
    ]
}

TASK [Generate /etc/ssh/ DSA host key] ******************************************************************
changed: [myhost.mydom.com]

TASK [debug] ********************************************************************************************
ok: [myhost.mydom.com] => {
    "output.stdout_lines": [
        "y", 
        "|ssh-keygen -q -t dsa -f /etc/ssh/ssh_host_dsa_key -C  -N "
    ]
}

TASK [Generate /etc/ssh/ ECDSA host key] ****************************************************************
changed: [myhost.mydom.com]

TASK [debug] ********************************************************************************************
ok: [myhost.mydom.com] => {
    "output.stdout_lines": [
        "y", 
        "|ssh-keygen -q -t ecdsa -f /etc/ssh/ssh_host_ecdsa_key -C  -N "
    ]
}

PLAY RECAP **********************************************************************************************
myhost.mydom.com : ok=6    changed=3    unreachable=0    failed=0  

Soweit ich weiß, ist der einzige Grund, warum Sie ein 'y' an ssh-keygen weiterleiten müssten, wenn Ihr Befehl eine vorhandene Datei ersetzt. Meiner Meinung nach ist dies kein guter Weg, um etwas mit einem Konfigurationsmanagement-Tool zu tun.

Sie sollten Ihre Aufgaben anpassen, um sie idempotent zu machen. Insbesondere wenn Sie das creates: filenamezu Ihrem Befehl hinzufügen , werden die neuen Schlüssel nur erstellt, wenn sie noch nicht vorhanden sind, anstatt jedes Mal ersetzt zu werden, wenn Sie dieses Playbook ausführen.

---
- hosts: all
  become: true
  gather_facts: false

  tasks:
  - name: Generate /etc/ssh/ RSA host key
    command : ssh-keygen -q -t rsa -f /etc/ssh/ssh_host_rsa_key -C "" -N ""
    args:
      creates: /etc/ssh/ssh_host_rsa_key

  - name: Generate /etc/ssh/ DSA host key
    command : ssh-keygen -q -t dsa -f /etc/ssh/ssh_host_dsa_key -C "" -N ""
    args:
      creates: /etc/ssh/ssh_host_dsa_key

  - name: Generate /etc/ssh/ ECDSA host key
    command : ssh-keygen -q -t ecdsa -f /etc/ssh/ssh_host_ecdsa_key -C "" -N ""
    args:
      creates: /etc/ssh/ssh_host_ecdsa_key

Wenn Sie diese Schlüssel aus irgendeinem Grund ersetzen möchten, z. B. wenn sie zu alt sind oder etwas anderes, möchten Sie möglicherweise eine weitere Aufgabe hinzufügen, um sie zu entfernen. Hier ist ein einfaches Löschen

- file:
    state: absent:
    path: "{{item}}"
  loop:
  - /etc/ssh/ssh_host_rsa_key
  - /etc/ssh/ssh_host_dsa_key
  - /etc/ssh/ssh_host_ecdsa_key

Wenn Sie Dateien löschen möchten, die vor einer bestimmten Zeit erstellt wurden, können Sie das stat-Modul verwenden, um Details zu diesen Dateien abzurufen, und whenBedingungen einrichten, um sie selektiv zu entfernen, wenn sie älter als ein bestimmtes Datum oder etwas anderes sind.

Das ansible- commandModul leitet keine Befehle durch eine Shell . Dies bedeutet, dass Sie keine Shell-Operatoren wie die Pipe verwenden können. Aus diesem Grund wird das Pipe-Symbol in der Ausgabe angezeigt. Was ansible betrifft, hat es den Befehl echomit dem gesamten Rest der Zeile als Argumente für ausgeführt echo.

Wenn Sie die von einer Shell verarbeitete Befehlszeile benötigen, verwenden Sieshell anstelle von command.

Und es sollte einen besseren Weg geben, SSH-Hostschlüssel neu zu generieren, aber ich kann momentan keinen finden ...

Verwenden Sie für diese Aufgabe das Spezialmodul:

- name: Generate an OpenSSH keypair with the default values (4096 bits, rsa)
  openssh_keypair:
    path: /home/youruser/.ssh/id_rsa
    owner: youruser
    group: youruser

- name: Fix owner of the generated pub key
  file:
    path: /home/youruser/.ssh/id_rsa.pub
    owner: youruser
    group: youruser

Entschuldigung, aber das konnte ich nicht "erstellt" in einer Aufgabe verwenden. Ich habe den folgenden Fehler erhalten:

ERROR! 'creates' is not a valid attribute for a Task

konsequent benutze ich die folgenden aufgaben:

- name: remove existing ssh_host keys
  file: path={{ item }} state=absent
  with_items:
    - "/etc/ssh/ssh_host_rsa_key"
    - "/etc/ssh/ssh_host_dsa_key"
    - "/etc/ssh/ssh_host_ecdsa_key"

- name: Generate /etc/ssh/ RSA host key
  command : ssh-keygen -q -t rsa -f /etc/ssh/ssh_host_rsa_key -C "" -N ""

- name: Generate /etc/ssh/ DSA host key
  command : ssh-keygen -q -t dsa -f /etc/ssh/ssh_host_dsa_key -C "" -N ""

- name: Generate /etc/ssh/ ECDSA host key
  command : ssh-keygen -q -t ecdsa -f /etc/ssh/ssh_host_ecdsa_key -C "" -N ""

@Zoredache hat die richtige Antwort, schlägt jedoch für neuere Versionen von Ansible fehl (von @MaxiReglisse notiert). Verwenden Sie stattdessen den folgenden Code:

---
- hosts: all
  become: true
  gather_facts: false

  tasks:
  - name: Generate /etc/ssh/ RSA host key
    command : ssh-keygen -q -t rsa -f /etc/ssh/ssh_host_rsa_key -C "" -N ""
    args:
      creates: /etc/ssh/ssh_host_rsa_key

Eine weitere Option ist die Verwendung des Benutzermoduls . Positiv ist, dass Sie eine idempotente Aufgabe bekommen. Hier ist ein Beispiel zum Generieren von SSH-Schlüsseln auf localhost:

- name: Generate ssh keys
  local_action:
    module: "user"
    name: "{{ lookup('env','USER') }}"
    generate_ssh_key: true
    ssh_key_type: "{{ item.0 }}"
    ssh_key_bits: "{{ item.1 }}"
    ssh_key_file: "{{ playbook_dir }}/{{ item.0 }}_{{ item.1 }}_key"
  with_together:
  - [ 'rsa', 'dsa' ]
  - [ 2048, 1024 ]
  loop_control:
    label: "{{ item.0 }}_{{ item.1 }}_key"

- name: Copy generated ssh keys to remote machine
  copy:
    src: "{{ playbook_dir }}/{{ item.0 }}_{{ item.1 }}_key"
    dest: "/etc/ssh/ssh_host_{{ item.0 }}_key{{ item.1 }}"
  with_nested:
  - [ 'rsa', 'dsa' ]
  - [ '', '.pub' ]
  notify:
  - Restart sshd
  loop_control:
    label: "/etc/ssh/ssh_host_{{ item.0 }}_key{{ item.1 }}"

Verwenden Sie das Modul openssh_keypair und authorized_key, um die Schlüssel gleichzeitig zu erstellen und bereitzustellen, ohne sie auf Ihrem ansible Host zu speichern.

- openssh_keypair:
    group: root
    owner: root
    path: /some/path/in/your/server
    register: ssh_key

- name: Store public key into origin
  delegate_to: central_server_name
  authorized_key:
     key: "{{ssh_key.public_key}}"
     comment: "{{ansible_hostname}}"
     user: any_user_on_central