ansible playbook - Ansible: crear un usuario con privilegios de sudo

ansible-playbook sudoers

Question

Me hice cargo de un servidor Ubuntu 14.04. Tiene un usuario llamado "desplegador" (usado con capistrano), y como tal, necesita privilegios de sudo. Con esta configuración, puedo iniciar sesión en el servidor y hacer cosas como:

workstation> ssh deployer@myserver
myserver> sudo apt-get install git
myserver> exit
workstation>

Estoy tratando de descubrir cómo usar Ansible (versión 2.0.2.0 y python 2.7.3) para crear un usuario llamado "desplegador" y poder iniciar sesión en el servidor con esa identificación y luego sudo-ish cosas como "apt" -get install ". Mi libro de jugadas se ve así:

---
- hosts: example
become: yes
tasks:
- name: Update apt cache
apt:
update_cache: yes
cache_valid_time: 3600
- group: name=sudo state=present
- name: Add deployer user and add it to sudo
user: name=deployer
state=present
createhome=yes
become: yes
become_method: "sudo"
- name: Set up authorized keys for the deployer user
authorized_key: user=deployer key="{{item}}"
with_file:
- /home/jaygodse/.ssh/id_rsa.pub

Después de ejecutar este libro de jugadas, puedo ingresar a la máquina como "desplegador" (por ejemplo, ssh deployer @ myserver), pero si ejecuto un comando sudo, siempre me pide mi contraseña de sudo.

Entiendo que el usuario "desplegador" finalmente tiene que encontrar su camino en el archivo de los usuarios de visudo, pero no puedo descifrar qué encantamientos mágicos Ansible invocar para poder ingresar a la máquina como desplegador y luego ejecutar un comando sudo (por ejemplo, sudo apt-get install git ") sin que se le solicite una contraseña de sudo.

He buscado por todas partes, y parece que no puedo encontrar un fragmento de libro de jugadas Ansible que coloque al usuario "desplegador" en el grupo sudo sin requerir una contraseña. ¿Cómo se hace esto?

Answer 1

A veces es saber qué preguntar. No lo sabía, ya que soy un desarrollador que ha realizado algunos trabajos de DevOps.

Aparentemente, el inicio de sesión ''sin contraseña'' o NOPASSWD es algo que debe colocar en el archivo / etc / sudoers.

La respuesta a mi pregunta está en Ansible: mejores prácticas para mantener la lista de sudoers .

El fragmento de código Ansible playbook se ve así por mi problema:

- name: Make sure we have a ''wheel'' group
group:
name: wheel
state: present
- name: Allow ''wheel'' group to have passwordless sudo
lineinfile:
dest: /etc/sudoers
state: present
regexp: ''^%wheel''
line: ''%wheel ALL=(ALL) NOPASSWD: ALL''
validate: ''visudo -cf %s''
- name: Add sudoers users to wheel group
user: name=deployer groups=wheel append=yes state=present createhome=yes
- name: Set up authorized keys for the deployer user
authorized_key: user=deployer key="{{item}}"
with_file:
- /home/railsdev/.ssh/id_rsa.pub

Y la mejor parte es que la solución es idempotente. No agrega la línea

%wheel ALL=(ALL) NOPASSWD: ALL

a / etc / sudoers cuando el libro de jugadas se ejecuta una vez posterior. Y sí ... pude ingresar al servidor como "desplegador" y ejecutar comandos sudo sin tener que dar una contraseña.

Answer 2

Crear un usuario con privilegios de sudo es poner al usuario en /etc/sudoers , o hacer que el usuario sea miembro de un grupo especificado en /etc/sudoers . Y hacerlo sin contraseña es especificar además NOPASSWD en /etc/sudoers .

Ejemplo de /etc/sudoers :

## Allow root to run any commands anywhere
root ALL=(ALL) ALL
## Allows people in group wheel to run all commands
%wheel ALL=(ALL) ALL
## Same thing without a password
%wheel ALL=(ALL) NOPASSWD: ALL

Y en lugar de jugar con el /etc/sudoers , podemos crear un nuevo archivo en el directorio /etc/sudoers.d/ ya que este directorio está incluido por /etc/sudoers de forma predeterminada, lo que evita la posibilidad de romper el archivo sudoers existente, y También elimina la dependencia del contenido dentro de /etc/sudoers .

Para lograr lo anterior en Ansible, consulte lo siguiente:

- name: sudo without password for wheel group
copy:
content: ''%wheel ALL=(ALL:ALL) NOPASSWD:ALL''
dest: /etc/sudoers.d/wheel_nopasswd
mode: 0440

Puede reemplazar %wheel con otros nombres de grupo como %sudoers u otros nombres de usuario como deployer .

Answer 3

Usando visudo, presiona Shift+G y agrega al final del archivo:

deployer ALL=(ALL) NOPASSWD: ALL

luego escriba y salga ( :wq )