2.2. 使用 sshd 系统角色配置 OpenSSH 服务器

您可以通过运行 Ansible playbook，使用 sshd 系统角色配置多个 SSH 服务器。

注意

您可以将 sshd 系统角色用于更改 SSH 和 SSHD 配置的其他系统角色，例如身份管理 RHEL 系统角色。要防止配置被覆盖，请确保 sshd 角色使用命名空间(RHEL 8 和更早的版本)或 drop-in 目录(RHEL 9)。

先决条件

  • 访问一个或多个 受管节点 的权限，这是您要使用 sshd 系统角色配置的系统。

  • 对 控制节点 的访问和权限，这是 Red Hat Ansible Core 配置其他系统的系统。

    在控制节点上：

    • ansible-core 和 rhel-system-roles 软件包已安装 。
重要

RHEL 8.0-8.5 提供对基于 Ansible 的自动化需要 Ansible Engine 2.9 的独立 Ansible 存储库的访问权限。Ansible Engine 包含命令行实用程序，如 ansible、ansible-playbook、连接器（如 docker 和 podman ）以及许多插件和模块。有关如何获取和安装 Ansible Engine 的详情，请参考 如何下载和安装 Red Hat Ansible Engine 知识库文章。

RHEL 8.6 和 9.0 引入了 Ansible Core（作为 ansible-core 软件包提供），其中包含 Ansible 命令行工具、命令以及小型内置 Ansible 插件。RHEL 通过 AppStream 软件仓库提供此软件包，它有一个有限的支持范围。如需更多信息，请参阅 RHEL 9 和 RHEL 8.6 及更新的 AppStream 软件仓库文档中的 Ansible Core 软件包的支持范围。

  • 列出受管节点的清单文件。

流程

  1. 复制 sshd 系统角色的示例 playbook： 

    # cp /usr/share/doc/rhel-system-roles/sshd/example-root-login-playbook.yml path/custom-playbook.yml

  2. 使用文本编辑器打开复制的 playbook，例如： 

    # vim path/custom-playbook.yml

---
- hosts: all
  tasks:
  - name: Configure sshd to prevent root and password login except from particular subnet
    include_role:
      name: rhel-system-roles.sshd
    vars:
      sshd:
        # root login and password login is enabled only from a particular subnet
        PermitRootLogin: no
        PasswordAuthentication: no
        Match:
        - Condition: "Address 192.0.2.0/24"
          PermitRootLogin: yes
          PasswordAuthentication: yes

    playbook 将受管节点配置为 SSH 服务器，以便：

    • 禁用密码和 root 用户登录
    • 只对子网 192.0.2.0/24 启用密码和 root 用户登录

    您可以根据您的偏好修改变量。如需了解更多详细信息，请参阅 sshd 系统角色变量。

  3. 可选：验证 playbook 语法。 

    # ansible-playbook --syntax-check path/custom-playbook.yml

  4. 在清单文件上运行 playbook: 

    # ansible-playbook -i inventory_file path/custom-playbook.yml

...

PLAY RECAP
**************************************************

localhost : ok=12 changed=2 unreachable=0 failed=0
skipped=10 rescued=0 ignored=0

验证

  1. 登录到 SSH 服务器： 

    $ ssh user1@10.1.1.1

    其中：

    • user1 是 SSH 服务器上的用户。
    • 10.1.1.1 是 SSH 服务器的 IP 地址。

  2. 检查 SSH 服务器上的 sshd_config 文件的内容： 

    $ cat /etc/ssh/sshd_config.d/00-ansible_system_role.conf
#
# Ansible managed
#
PasswordAuthentication no
PermitRootLogin no
Match Address 192.0.2.0/24
  PasswordAuthentication yes
  PermitRootLogin yes

  3. 检查您是否可以以 root 用户身份从 192.0.2.0/24 子网连接到服务器：

    1. 确定您的 IP 地址： 

      $ hostname -I
192.0.2.1

      如果 IP 地址在 192.0.2.1 - 192.0.2.254 范围内，您可以连接到服务器。

    2. 以 root 用户身份连接到服务器： 

      $ ssh root@10.1.1.1

其他资源

  • /usr/share/doc/rhel-system-roles/sshd/README.md 文件。
  • ansible-playbook(1) 手册页。