Ansible 成为最佳实践并赋予其特权

Question

我使用 Ansible 来管理容器。我希望确保在部署时遵循用户的最佳实践。关于这一点：

1. 我的大多数剧本都有下面的声明。这（我认为）对于大多数活动都是必需的，例如安装软件包、移动系统范围的配置文件以及添加/更新用户。你做什么工作？

    变成：是
    变成：方法：sudo

2. 我应该在主机上有一个新用户来部署吗？与 #1 相关，我可以修改该用户的 sudoers 访问权限以允许 apt 和其他软件包，但这需要相当多的工作，并且可能会随着模块的更改而更改。如果需要的话，它可以让我将用户与 SSH 访问隔离。

3. 我不知道我应该遵循与正确（在安全方面）应用配置管理系统相关的其他实践。我错过了什么吗？

Answer 1

目前，我们禁止become在并非绝对必要的情况下使用，而是在用户访问服务器（例如user1）时运行我们的剧本，并带有-b强制执行 sudo 应用程序的标志。

这有帮助，因为：

1. 应用剧本的用户需要提供-b标志（即：一层额外的“安全”——您可以将其与“当您不需要时，您应该在 Linux 机器上获得 root 权限”的声明进行比较）。
2. -b您可以运行不带检查模式的剧本。它会告诉您是否需要在该服务器上执行任何操作，而无需执行任何操作。