在 Ansible 控制节点上使用Root SSH密钥

问题描述

在使用Terraform部署30个虚拟机并运行Ansible时，遇到了SSH密钥的问题。在Terraform中定义虚拟机时，需要提供管理员SSH密钥或密码。用户想知道应该生成多少个SSH密钥，以及如何在Ansible中配置这些密钥。

解决方案

在这种情况下，你可以选择使用单个主密钥还是为每个虚拟机生成独立的SSH密钥。每种方法都有其优缺点。

请注意以下操作注意版本差异及修改前做好备份。

单一主密钥方案

使用一个主密钥来管理Ansible账户可以减少复杂性，但需要确保主密钥的私钥非常安全。即使私钥受到密码保护，你也需要确保私钥在休息时受到加密，可以使用类似于 BlackBox 的工具来实现，并将私钥备份到安全的位置。

单独SSH密钥方案

为每个虚拟机生成独立的SSH密钥可以提高安全性，但需要一些自动化的步骤来管理这些密钥。你可以使用一些工具来管理这些密钥，例如 HashiCorp Vault，它可以帮助你更好地管理密钥的访问权限。这样的方法会增加一些额外的设置工作，但通过更好的安全性来抵消。

额外方案：使用PowerBroker进行特权管理

你还可以考虑使用PowerBroker等工具来控制Ansible的特权升级。这种方法可以让你在控制特权升级的同时，仍然使用主Ansible SSH密钥来执行任务。

无论你选择哪种方案，以下是一些实施步骤：

1. 单一主密钥方案：

   • 生成主密钥对：使用ssh-keygen命令生成主Ansible密钥对，确保私钥得到妥善保护。
   • 将公钥分发到虚拟机：将主公钥分发到所有虚拟机，以便Ansible控制节点可以通过SSH连接到它们。

2. 单独SSH密钥方案：

   • 为每个虚拟机生成密钥对：可以使用脚本来生成每个虚拟机的SSH密钥对。
   • 导入到HashiCorp Vault（可选）：如果选择使用Vault，将每个SSH私钥导入到Vault中，并配置适当的访问策略。
   • 配置Ansible Inventory：根据所选方案，配置Ansible Inventory以使用单一主密钥或单独的SSH密钥。

3. PowerBroker方案：

   • 安装和配置PowerBroker：按照官方文档安装并配置PowerBroker或类似的工具。
   • 配置Ansible：将Ansible配置为在执行任务时使用PowerBroker进行特权升级。

总之，选择适合你环境的方案，并确保在安全性和便利性之间做出明智的权衡。

请注意，这些解决方案可能涉及复杂的设置和配置，具体的操作步骤可能会因你的环境而有所不同。在实施之前，请务必详细阅读相关文档，并在测试环境中进行尝试。

用户评论

用户提到了使用HashiCorp Vault的方案，这对于管理密钥和密码在CI/CD过程中是一个不错的选择。此外，用户还提到使用AWX作为控制台，因为它支持Vault，并允许远程执行任务。

在选择方案时，确实要考虑到解决方案的复杂性和适用性。AWX的确是一个很好的选择，因为它已经集成了一些安全功能，可以帮助简化管理。

结论

在使用Terraform和Ansible部署虚拟机时，管理SSH密钥是一个重要的安全和操作性问题。根据你的需求和安全要求，选择适合你环境的SSH密钥管理方案，并确保按照最佳实践进行配置和操作。无论你是选择单一主密钥还是单独SSH密钥，都要确保密钥的保密性和安全性，以保护你的系统和数据。