Ansible Rolle SSH Server

Beschreibung

:grey_exclamation: Bevor du diese Rolle verwendest, sei dir bewusst, dass alle meine Ansible-Rollen speziell auf meine IT-Infrastruktur zugeschnitten sind. Auch wenn sie so allgemein wie möglich sind, werden sie möglicherweise nicht alle deine Anforderungen erfüllen. Ich empfehle, diese sorgfältig zu analysieren und ihre Fähigkeit zur sicheren Installation auf deinen Servern zu bewerten.

Diese Rolle ermöglicht die Konfiguration eines SSH-Servers.

Anforderungen

Erfordert Ansible >= 2.4

Abhängigkeiten

Betriebssystem-Familie

Diese Rolle ist für Debian und CentOS verfügbar.

Funktionen

Diese Rolle kann verwendet werden, um:

• sshd zu installieren
• sshd zu konfigurieren
• die initialen Moduli zu filtern, um schwache Primzahlen zu entfernen
• Lokale Fakten

Rollenvariablen

Alle Variablen, die überschrieben werden können, sind in der Datei defaults/main.yml sowie in der folgenden Tabelle gespeichert. Für Standardwerte siehe diese Datei.

Die meisten Variablen beziehen sich auf die reinen sshd Konfigurationsparameter. Sieh dir die Informationen in der Man-Seite an.

Matches

Du kannst die verfügbaren Matches mit den Variablen ssh_server__match_list_global/group/host konfigurieren. Diese Variablen nehmen Listen von Dictionnaires an. Jedes Dictionary muss folgendes Format haben:

ssh_server__match_list_global
  - match: "Match-Kriterien"
    options:                                     # Optionen, die gelten, wenn "match" übereinstimmt
      - AllowUsers test                          # eine einfache String-Option
      # ein Dictionary mit versionsabhängigen Optionen
      # abhängig von der aktuellen sshd-Version gilt die höhere Versionsbedingung und ihre Optionen werden angewendet
      - 8.2: AuthorizedKeysCommand /bin/true     # (String-Version)
        7.6:                                     # (Listen-Version)
          - AuthenticationMethods publickey
          - AllowUsers root
    state: absent               # optionale Zustand (standardmäßig auf vorhanden)

Die verfügbaren Match-Kriterien und Optionen, die du anwenden kannst, hängen von deiner aktuellen sshd-Version ab.

Ein Beispiel einer Gruppe, die nur SFTP ausführen darf, wird gegeben. Wenn du dies aktivieren möchtest, kannst du diesen Block im Inventory verwenden:

ssh_server__match_list_global:
  - '{{ ssh_server__match_group_sftponly }}'

Fakten

Standardmäßig werden die lokalen Fakten installiert und exponieren die folgenden Variablen:

ansible_local.ssh_server:
  version_full: '7.9p1'
  version_major: '7'

Beispiel

Playbook

Verwende es in einem Playbook wie folgt:

- hosts: all
  roles:
    - turgon37.ssh_server

Inventory

Um diese Rolle zu verwenden, erstelle oder aktualisiere dein Playbook gemäß folgendem Beispiel:

ssh_server__allow_agent_forwarding: false
ssh_server__allow_tcp_forwarding: false
ssh_server__allow_stream_local_forwarding: false
ssh_server__permit_tunnel: false
ssh_server__compression: true

ssh_server__allow_groups:
  - ssh
  - ssh-admins
ssh_server__permit_root_login: false
ssh_server__max_startups:
  start: 5
  rate: 80
  full: 10

ssh_server__match_list_global:
  - match: "LocalAddress 127.0.0.1"
    options:
      - AuthenticationMethods publickey,password
    state: present

  - match: "LocalAddress 10.0.0.1 Group ssh-admins"
    options:
    - AuthenticationMethods publickey password gssapi-with-mic

  - match: "LocalAddress 10.0.0.1 User root"
    options:
      - DenyUsers
      - AllowUsers root
      - DenyGroups
      - AllowGroups root
      - 7.0: 'PermitRootLogin prohibit-password'
        4.9: 'PermitRootLogin without-password'
      - AuthenticationMethods publickey
      - AuthorizedKeysFile /root/.ssh/authorized_keys
      - AuthorizedKeysCommand /bin/true

ssh_client__known_hosts_additionals:
  - '[gitlab]:7999 ssh-rsa XXXXX'

Beispiel einer FreeIPA-Konfiguration

ssh_server__authorized_keys: '/dev/null'
ssh_server__authorized_keys_lookup: true
ssh_server__authorized_keys_lookup_command: /usr/bin/sss_ssh_authorizedkeys
ssh_server__pubkey_authentication: true
ssh_server__gssapi_authentication: true