Ansible Rola Serwera SSH

Opis

:grey_exclamation: Przed użyciem tej roli, proszę pamiętać, że wszystkie moje role Ansible są w pełni skonfigurowane zgodnie z moją infrastrukturą IT. Chociaż są jak najbardziej ogólne, niekoniecznie będą odpowiadać Twoim potrzebom. Radzę dokładnie przeanalizować, co robią i ocenić ich zdolność do bezpiecznej instalacji na Twoich serwerach.

Ta rola umożliwia konfigurację serwera SSH.

Wymagania

Wymagana wersja Ansible >= 2.4

Zależności

Rodzina systemów operacyjnych

Ta rola jest dostępna dla Debian i CentOS.

Funkcje

Obecnie rola może być używana do:

• instalacji sshd
• konfiguracji sshd
• filtrowania początkowych moduli w celu usunięcia słabych liczb pierwszych
• lokalnych faktów

Zmienne roli

Wszystkie zmienne, które mogą być nadpisane, są przechowywane w pliku defaults/main.yml oraz w poniższej tabeli. Aby zobaczyć domyślne wartości, proszę odwołać się do tego pliku.

Większość zmiennych odnosi się do parametrów konfiguracyjnych sshd. Proszę zasięgnąć informacji z dokumentacji.

Dopasowania

Możesz skonfigurować dostępne dopasowania za pomocą zmiennych ssh_server__match_list_global/group/host. Te zmienne przyjmują listę słowników. Każdy słownik musi mieć następującą formę:

ssh_server__match_list_global
  - match: "kryteria dopasowania"
    options:                                     # opcje, które mają zastosowanie, jeśli "dopasowanie" jest spełnione
      - AllowUsers test                          # prosty ciąg opcji
      # słownik z opcjami uzależnionymi od wersji
      # zgodnie z bieżącą wersją sshd, wyższy warunek wersji wygrywa i jego opcje są stosowane
      - 8.2: AuthorizedKeysCommand /bin/true     # (ciąg znaków wersji)
        7.6:                                     # (lista wersji)
          - AuthenticationMethods publickey
          - AllowUsers root
    state: absent               # opcjonalny stan (domyślnie obecny)

Dostępne kryteria dopasowania i opcje, które możesz zastosować, zależą od Twojej bieżącej wersji sshd.

Przykład grupy, której zezwolono tylko na uruchamianie sftp, jest podany, jeśli chcesz to włączyć, możesz użyć tego bloku w inwentarzu:

ssh_server__match_list_global:
  - '{{ ssh_server__match_group_sftponly }}'

Fakty

Domyślnie lokalne fakty są instalowane i ujawniają następujące zmienne:

ansible_local.ssh_server:
  version_full: '7.9p1'
  version_major: '7'

Przykład

Playbook

Użyj tego w playbooku w następujący sposób:

- hosts: all
  roles:
    - turgon37.ssh_server

Inwentarz

Aby używać tej roli, stwórz lub zaktualizuj swój playbook zgodnie z następującym przykładem:

ssh_server__allow_agent_forwarding: false
ssh_server__allow_tcp_forwarding: false
ssh_server__allow_stream_local_forwarding: false
ssh_server__permit_tunnel: false
ssh_server__compression: true

ssh_server__allow_groups:
  - ssh
  - ssh-admins
ssh_server__permit_root_login: false
ssh_server__max_startups:
  start: 5
  rate: 80
  full: 10

ssh_server__match_list_global:
  - match: "LocalAddress 127.0.0.1"
    options:
      - AuthenticationMethods publickey,password
    state: present

  - match: "LocalAddress 10.0.0.1 Group ssh-admins"
    options:
    - AuthenticationMethods publickey password gssapi-with-mic

  - match: "LocalAddress 10.0.0.1 User root"
    options:
      - DenyUsers
      - AllowUsers root
      - DenyGroups
      - AllowGroups root
      - 7.0: 'PermitRootLogin prohibit-password'
        4.9: 'PermitRootLogin without-password'
      - AuthenticationMethods publickey
      - AuthorizedKeysFile /root/.ssh/authorized_keys
      - AuthorizedKeysCommand /bin/true

ssh_client__known_hosts_additionals:
  - '[gitlab]:7999 ssh-rsa XXXXX'

Przykład konfiguracji FreeIPA

ssh_server__authorized_keys: '/dev/null'
ssh_server__authorized_keys_lookup: true
ssh_server__authorized_keys_lookup_command: /usr/bin/sss_ssh_authorizedkeys
ssh_server__pubkey_authentication: true
ssh_server__gssapi_authentication: true