保护主要 Ansible 用户

Question

对于主要的 Ansible 用户来说，似乎只有两种合理的方法：

• 使用 root
• 使用ansible具有NOPASSWD sudo访问权限的其他用户（例如）

第一个选择是不可行的，因为我对继续下去的想法感到畏缩PermitRootLogin。因此，默认情况下，第二个选项似乎是要走的路。

我在想，至少，在/etc/ssh/sshd_config：

Match User ansible
    PasswordAuthentication No

并通过使用以下from选项限制 Ansible 主机的密钥使用authorized_keys：

from="192.168.100/24"

到目前为止，我的想法还有其他想法或问题/疑虑吗？

Answer 1

这些是我用于必须通过 ssh 远程管理的客户端的措施（在我的例子中使用 BackupPC 而不是 Ansible，但它的工作方式相同）。

如果您仅使用 ssh 来管理客户端，而不是用于 shell 访问，那么添加以下内容将提高安全性

AllowUsers ansible
PasswordAuthentication no