![从 Ansible 中心管理个人 SSH 访问的策略](https://linux22.com/image/719393/%E4%BB%8E%20Ansible%20%E4%B8%AD%E5%BF%83%E7%AE%A1%E7%90%86%E4%B8%AA%E4%BA%BA%20SSH%20%E8%AE%BF%E9%97%AE%E7%9A%84%E7%AD%96%E7%95%A5.png)
我的团队有一个 Ansible 中心,我们通过它管理多个节点。为此,我们通过 ssh 连接到中心,并通过 sudo 连接到共享的“ansible”用户。此用户有一个 ssh 密钥对,所有节点的 authorized_keys 文件中都有该密钥对。
这是可行的,但这意味着每个人都可以随时访问所有节点。
我想要的是某种方法,让我们可以限制用户,使他们只能访问某些节点。我们可以根据需要从每个节点的 authorized_keys 中添加/删除个人密钥,但这似乎需要管理很多。我想要一种易于管理的方法,以便我们可以快速授权/取消授权不同节点的用户。
有人有这样的策略吗?我打算使用签名的 ssh 密钥授予临时访问权限,但尚未真正探索过。
答案1
您有 Ansible - 因此有一个快速的解决方案 - 使用 Ansible...
如果集线器上的所有用户都有一个公钥,则可以使用该公钥和 ansible 用户将用户公钥发布到目标主机。
如果您想限制每台机器的访问,您可以配置每个主机或主机组的用户列表,并仅将该公钥填充到该组中的主机。此外,从目标主机中删除用户也很容易,可以使用映射和模板(而不是附加公钥)或构建负面列表。
因此,用户可以直接从集线器跳转到目标机器,而无需 Ansible 用户。