Роль Ansible SSH-сервер

Описание

:grey_exclamation: Прежде чем использовать эту роль, пожалуйста, учтите, что все мои роли Ansible полностью написаны с учетом моей ИТ-инфраструктуры. Хотя они максимально универсальны, они могут не удовлетворять ваши потребности. Рекомендую внимательно проанализировать их работу и оценить возможность безопасной установки на ваши серверы.

Эта роль позволяет настраивать SSH-сервер.

Требования

Требуется Ansible версии >= 2.4

Зависимости

Семейство ОС

Эта роль доступна для Debian и CentOS.

Возможности

На данный момент роль может:

• установить sshd
• настроить sshd
• отфильтровать начальные модули, чтобы удалить слабые простые числа
• локальные факты

Переменные роли

Все переменные, которые можно переопределить, хранятся в файле defaults/main.yml, а также в таблице ниже. Чтобы увидеть значения по умолчанию, обратитесь к этому файлу.

Большинство переменных относится к параметрам конфигурации sshd. Пожалуйста, смотрите информацию на странице man.

Условия соответствия

Вы можете настроить доступные условия соответствия, используя переменные ssh_server__match_list_global/group/host. Эти переменные принимают список словарей. Каждый словарь должен иметь следующую форму:

ssh_server__match_list_global
  - match: "условия соответствия"
    options:                                     # опции, которые применяются, если "match" совпадает
      - AllowUsers test                          # простая строковая опция
      # словарь с условиями, зависящими от версии
      # в зависимости от текущей версии sshd, условие с более высокой версией имеет преимущество и применяются его опции
      - 8.2: AuthorizedKeysCommand /bin/true     # (строковая версия)
        7.6:                                     # (списковая версия)
          - AuthenticationMethods publickey
          - AllowUsers root
    state: absent               # необязательное состояние (по умолчанию present)

Доступные условия соответствия и опции, которые вы можете применить, зависят от вашей текущей версии sshd.

Пример группы, которой разрешено только выполнять sftp, приведен ниже. Если вы хотите его включить, вы можете использовать этот блок в инвентаре:

ssh_server__match_list_global:
  - '{{ ssh_server__match_group_sftponly }}'

Факты

По умолчанию локальные факты устанавливаются и используют следующие переменные:

ansible_local.ssh_server:
  version_full: '7.9p1'
  version_major: '7'

Пример

Плейбук

Используйте это в плейбуке следующим образом:

- hosts: all
  roles:
    - turgon37.ssh_server

Инвентарь

Чтобы использовать эту роль, создайте или обновите свой плейбук согласно приведенному примеру:

ssh_server__allow_agent_forwarding: false
ssh_server__allow_tcp_forwarding: false
ssh_server__allow_stream_local_forwarding: false
ssh_server__permit_tunnel: false
ssh_server__compression: true

ssh_server__allow_groups:
  - ssh
  - ssh-admins
ssh_server__permit_root_login: false
ssh_server__max_startups:
  start: 5
  rate: 80
  full: 10

ssh_server__match_list_global:
  - match: "LocalAddress 127.0.0.1"
    options:
      - AuthenticationMethods publickey,password
    state: present

  - match: "LocalAddress 10.0.0.1 Group ssh-admins"
    options:
    - AuthenticationMethods publickey password gssapi-with-mic

  - match: "LocalAddress 10.0.0.1 User root"
    options:
      - DenyUsers
      - AllowUsers root
      - DenyGroups
      - AllowGroups root
      - 7.0: 'PermitRootLogin prohibit-password'
        4.9: 'PermitRootLogin without-password'
      - AuthenticationMethods publickey
      - AuthorizedKeysFile /root/.ssh/authorized_keys
      - AuthorizedKeysCommand /bin/true

ssh_client__known_hosts_additionals:
  - '[gitlab]:7999 ssh-rsa XXXXX'

Пример конфигурации FreeIPA

ssh_server__authorized_keys: '/dev/null'
ssh_server__authorized_keys_lookup: true
ssh_server__authorized_keys_lookup_command: /usr/bin/sss_ssh_authorizedkeys
ssh_server__pubkey_authentication: true
ssh_server__gssapi_authentication: true