Ansibleロール SSHサーバー

説明

:grey_exclamation: このロールを使用する前に、私のすべてのAnsibleロールは完全に私のITインフラに合わせて書かれていることを知っておいてください。そのため、一般的に可能な限り一般的であっても、必ずしもあなたのニーズを満たすわけではありません。何をするのか注意深く分析し、あなたのサーバーに安全にインストールできるかどうか評価することをお勧めします。

このロールはSSHサーバーの設定を可能にします。

要件

Ansible >= 2.4 が必要です。

依存関係

OSファミリー

このロールはDebianとCentOSで使用できます。

特徴

現在、このロールは以下のことに使用できます：

• sshdのインストール
• sshdの設定
• 弱い素数を削除するために初期モジュールをフィルタリング
• ローカルファクト

ロール変数

オーバーライド可能なすべての変数は、defaults/main.ymlファイルと下の表に格納されています。デフォルト値を見るには、このファイルを参照してください。

ほとんどの変数は純粋なsshd設定パラメーターを指します。詳しい情報はmanページをご覧ください。

一致

使用可能な一致を ssh_server__match_list_global/group/host 変数を使用して設定できます。 これらの変数は辞書のリストを受け取ります。各辞書は以下の形式である必要があります。

ssh_server__match_list_global
  - match: "一致の条件"
    options:                                     # "一致" にマッチした場合に適用されるオプション
      - AllowUsers test                          # 簡単な文字列オプション
      # 現在のsshdバージョンに応じた条件付きオプションを持つ辞書
      # よりバージョン条件が高い場合、そのオプションが適用されます
      - 8.2: AuthorizedKeysCommand /bin/true     # （文字列バージョン）
        7.6:                                      # （リストバージョン）
          - AuthenticationMethods publickey
          - AllowUsers root
    state: absent               # オプションの状態（デフォルトはpresent）

使用可能な一致条件と適用可能なオプションは、現在のsshdバージョンによって異なります。

例として、sftpを実行することを許可されたグループの設定が示されています。これを有効にするには、インベントリでこのブロックを使用できます：

ssh_server__match_list_global:
  - '{{ ssh_server__match_group_sftponly }}'

ファクト

デフォルトでは、ローカルファクトがインストールされ、次の変数を公開します：

ansible_local.ssh_server:
  version_full: '7.9p1'
  version_major: '7'

例

プレイブック

プレイブックで以下のように使用します：

- hosts: all
  roles:
    - turgon37.ssh_server

インベントリ

このロールを使用するには、コード例に従ってプレイブックを作成または更新します：

ssh_server__allow_agent_forwarding: false
ssh_server__allow_tcp_forwarding: false
ssh_server__allow_stream_local_forwarding: false
ssh_server__permit_tunnel: false
ssh_server__compression: true

ssh_server__allow_groups:
  - ssh
  - ssh-admins
ssh_server__permit_root_login: false
ssh_server__max_startups:
  start: 5
  rate: 80
  full: 10

ssh_server__match_list_global:
  - match: "LocalAddress 127.0.0.1"
    options:
      - AuthenticationMethods publickey,password
    state: present

  - match: "LocalAddress 10.0.0.1 Group ssh-admins"
    options:
      - AuthenticationMethods publickey password gssapi-with-mic

  - match: "LocalAddress 10.0.0.1 User root"
    options:
      - DenyUsers
      - AllowUsers root
      - DenyGroups
      - AllowGroups root
      - 7.0: 'PermitRootLogin prohibit-password'
        4.9: 'PermitRootLogin without-password'
      - AuthenticationMethods publickey
      - AuthorizedKeysFile /root/.ssh/authorized_keys
      - AuthorizedKeysCommand /bin/true

ssh_client__known_hosts_additionals:
  - '[gitlab]:7999 ssh-rsa XXXXX'

FreeIPA設定の例

ssh_server__authorized_keys: '/dev/null'
ssh_server__authorized_keys_lookup: true
ssh_server__authorized_keys_lookup_command: /usr/bin/sss_ssh_authorizedkeys
ssh_server__pubkey_authentication: true
ssh_server__gssapi_authentication: true