python - playbook - authorized_key ansible

Ansible: buenas prácticas para mantener la lista de sudoers

Question

En la documentation , hay un ejemplo del uso del módulo lineinfile para editar /etc/sudoers .

- lineinfile: "dest=/etc/sudoers state=present regexp=''^%wheel'' line=''%wheel ALL=(ALL) NOPASSWD: ALL''"

Se siente un poco hackish.

Asumí que habría algo en el módulo de user para manejar esto, pero no parece haber ninguna opción.

¿Cuáles son las mejores prácticas para agregar y eliminar usuarios a /etc/sudoers ?

Answer 1

Esa línea en realidad no agrega usuarios a los sudoers, simplemente se asegura de que el grupo wheel pueda tener sudo sin contraseña para todos los comandos.

En cuanto a agregar usuarios a /etc/sudoers esto se hace mejor agregando usuarios a los grupos necesarios y luego otorgando a estos grupos el acceso relevante a sudo. Esto es cierto cuando no estás usando Ansible también.

El módulo de usuario le permite especificar una lista exclusiva de grupo o simplemente anexar los grupos especificados a los actuales que el usuario ya tiene. Esto es naturalmente idempotente ya que un usuario no puede definirse para estar en un grupo varias veces.

Un ejemplo de juego podría ser algo como esto:

- hosts: all
vars:
sudoers:
- user1
- user2
- user3
tasks:
- name: Make sure we have a ''wheel'' group
group:
name: wheel
state: present
- name: Allow ''wheel'' group to have passwordless sudo
lineinfile:
dest: /etc/sudoers
state: present
regexp: ''^%wheel''
line: ''%wheel ALL=(ALL) NOPASSWD: ALL''
validate: visudo -cf %s
- name: Add sudoers users to wheel group
user:
name: "{{ item }}"
groups: wheel
append: yes
with_items: "{{ sudoers }}"