Как игнорировать проверку подлинности SSH?

Есть ли способ игнорировать проверку подлинности SSH, выполненную Ansible? Например, когда я только что настроил новый сервер, я должен ответить «да» на этот вопрос:

GATHERING FACTS ***************************************************************
The authenticity of host 'xxx.xxx.xxx.xxx (xxx.xxx.xxx.xxx)' can't be established.
RSA key fingerprint is xx:yy:zz:....
Are you sure you want to continue connecting (yes/no)?

Я знаю, что это, как правило, плохая идея, но я включаю это в сценарий, который сначала создает новый виртуальный сервер у моего облачного провайдера, а затем автоматически вызывает мою ANSIB Playbook для его настройки. Я хочу избежать любого вмешательства человека в середине выполнения сценария.

Два варианта - первый, как вы сказали в своем ответе, это установка переменной среды ANSIBLE_HOST_KEY_CHECKING в False.

Второй способ установить его - поместить его в файл ansible.cfg, и это действительно полезный параметр, поскольку вы можете установить его глобально (на уровне системы или пользователя, в /etc/ansible/ansible.cfgили ~/.ansible.cfg) или в файле конфигурации в том же каталоге. в качестве пьесы вы работаете.

Для этого создайте ansible.cfgфайл в одном из этих мест и включите в него:

[defaults]
host_key_checking = False

Вы также можете установить множество других удобных настроек по умолчанию, например, собирать факты в начале игры, объединять ли хеши, объявленные в нескольких местах, или заменять друг друга, и так далее. Там целый большой список вариантов здесь в анзибле документы.

Редактировать: заметка о безопасности.

Проверка ключа хоста SSH является значимым уровнем безопасности для постоянных хостов - если вы подключаетесь к одному и тому же компьютеру много раз, полезно принять ключ хоста локально.

Для более долгоживущих экземпляров EC2 имеет смысл принять ключ хоста с задачей, которая запускается только один раз при первоначальном создании экземпляра:

  - name: Write the new ec2 instance host key to known hosts
    connection: local
    shell: "ssh-keyscan -H {{ inventory_hostname }} >> ~/.ssh/known_hosts"

Не существует значения безопасности для проверки ключей хоста в тех случаях, когда вы динамически встаете и удаляете сразу после выполнения playbook, но есть значение безопасности при проверке ключей хоста для постоянных компьютеров. Таким образом, вы должны управлять проверкой ключей хоста по-разному для каждой логической среды.

• Оставьте проверку включенной по умолчанию (в ~/.ansible.cfg )
• Отключите проверку ключа хоста в рабочем каталоге для книг воспроизведения, которые вы запускаете для эфемерных экземпляров ( ./ansible.cfgнаряду с книгой воспроизведения для модульных тестов против бродячих виртуальных машин, автоматизации для кратковременных экземпляров ec2)

Я нашел ответ, вам нужно установить переменную окружения ANSIBLE_HOST_KEY_CHECKINGв False. Например:

ANSIBLE_HOST_KEY_CHECKING=False ansible-playbook ...

вперед к никобелия

Для тех, кто использует jenkins для запуска игровой книги, я просто добавил в свою работу jenkins перед запуском ansible-playbook переменную среды he ANSIBLE_HOST_KEY_CHECKING = False Например, это:

export ANSIBLE_HOST_KEY_CHECKING=False
ansible-playbook 'playbook.yml' \
--extra-vars="some vars..." \
--tags="tags_name..." -vv

Изменение host_key_checkingнаfalse для всех хостов это очень плохая идея.

Единственный раз, когда вы хотите игнорировать это, это «первый контакт», который будут выполнены этими двумя задачами:

    - name: Check SSH known_hosts for {{ inventory_hostname }}
      local_action: shell ssh-keygen -F {{ inventory_hostname }}
      register: checkForKnownHostsEntry
      failed_when: false
      changed_when: false
      ignore_errors: yes
    - name: Add {{ inventory_hostname }} to SSH known hosts automatically
      when: checkForKnownHostsEntry.rc == 1
      changed_when: checkForKnownHostsEntry.rc == 1
      set_fact:
        ansible_ssh_common_args: '-o StrictHostKeyChecking=no'

Поэтому мы отключаем проверку ключа хоста только в том случае, если в нашем known_hostsфайле нет ключа хоста .

Вы можете передать его в качестве аргумента командной строки при запуске playbook:

ansible-playbook play.yml --ssh-common-args='-o StrictHostKeyChecking=no'

Если вы не хотите изменять ansible.cfgили playbook.ymlтогда, вы можете просто установить переменную окружения:

export ANSIBLE_HOST_KEY_CHECKING=False

Игнорирование проверки - плохая идея, так как она делает вас уязвимыми к атакам «Человек посередине».

Я воспользовался возможностью улучшить ответ nikobelia, просто добавив ключ каждой машины один раз и фактически установив статус ok / измененный в Ansible:

- name: Accept EC2 SSH host keys
  connection: local
  become: false
  shell: |
    ssh-keygen -F {{ inventory_hostname }} || 
      ssh-keyscan -H {{ inventory_hostname }} >> ~/.ssh/known_hosts
  register: known_hosts_script
  changed_when: "'found' not in known_hosts_script.stdout"

Однако Ansible начинает собирать факты до запуска сценария, который требует SSH-соединения, поэтому нам нужно либо отключить эту задачу, либо вручную перенести ее на более позднюю версию:

- name: Example play
  hosts: all
  gather_facts: no  # gather facts AFTER the host key has been accepted instead

  tasks:

  # /programming/32297456/
  - name: Accept EC2 SSH host keys
    connection: local
    become: false
    shell: |
      ssh-keygen -F {{ inventory_hostname }} ||
        ssh-keyscan -H {{ inventory_hostname }} >> ~/.ssh/known_hosts
    register: known_hosts_script
    changed_when: "'found' not in known_hosts_script.stdout"
  
  - name: Gathering Facts
    setup:

Один излом, который я не смог понять, это то, что он помечает все как измененные, даже если он добавляет только один ключ. Если бы кто-нибудь мог внести исправление, это было бы здорово!

Используйте параметр с именем validate_certs, чтобы игнорировать проверку ssh

- ec2_ami:
    instance_id: i-0661fa8b45a7531a7
    wait: yes
    name: ansible
    validate_certs: false
    tags:
      Name: ansible
      Service: TestService

Делая это, он игнорирует процесс проверки SSH

Я знаю, что на вопрос был дан ответ, и он тоже правильный, но я просто хотел связать отчетный документ, где четко объясняется, когда и почему должна быть добавлена ​​соответствующая проверка: проверка ключа узла

Большинство проблем возникает, когда вы хотите добавить новый хост в динамический инвентарь (через модуль add_host) в playbook. Я не хочу постоянно отключать проверку хоста по отпечаткам пальцев, поэтому такие решения, как отключение его в глобальном конфигурационном файле, мне не подходят. Экспорт var какANSIBLE_HOST_KEY_CHECKING перед запуском playbook - это еще одна вещь, которую нужно сделать перед запуском, которую нужно запомнить.

Лучше добавить локальный конфигурационный файл в тот же каталог, где находится playbook. Создать файл с именемansible.cfg и вставьте следующий текст:

[defaults]
host_key_checking = False

Не нужно помнить, чтобы добавить что-то в env vars или добавить в ansible-playbookопции. Этот файл легко поместить в ANSI GIT РЕПО.