Bagaimana cara membuat kata sandi Kemungkinan menggunakan jika kunci ditolak?

Mesin virtual server baru saya dikonfigurasikan untuk masuk secara root melalui ssh dengan kata sandi. Saya ingin playbook Ansible saya mengkonfigurasi ulang untuk menggunakan kunci saja dan menonaktifkan login root dengan kata sandi saat dijalankan, jadi saya perlu sesuatu seperti ini:

• coba masuk dengan kunci

• jika tidak bisa masuk dengan kunci:

  • login dengan kata sandi
  • tambahkan kunci ke otor_keys
  • nonaktifkan login root dengan kata sandi
  • secara opsional sambungkan kembali menggunakan kunci

• lakukan tugas lain

Bagaimana saya bisa mencapai itu?

EDIT : Agar lebih jelas, saya tidak bertanya bagaimana cara menambahkan kunci atau menonaktifkan root, itu hanya untuk konteks. Saya bertanya bagaimana cara mundur ke kata sandi jika tidak dapat mengautentikasi dengan kunci. Dengan --ask-passatau ansible_ssh_passset, Ansible bahkan tidak akan mencoba menggunakan otentikasi kunci publik

Anda dapat mencoba PreferredAuthenticationsopsi, mengaturnya ke publickey,password. Defaultnya meliputi ini dalam urutan ini, bersama dengan opsi lain, sehingga mungkin pengaturan ini. Menambahkannya melalui -oatau klien ssh_configdapat mencegah hal ini.

Anda mungkin dapat menggunakan skrip wrapper. Misalnya, dengan ini dalam key_or_password.shdan pass.shyang memberikan kata sandi, menjalankan bash key_or_password.sh root@hostakan mencoba publickey diikuti oleh login kata sandi non-interaktif.

export DISPLAY=dummy:0
export SSH_ASKPASS=$PWD/pass.sh
exec setsid ssh -v -o 'PreferredAuthentications publickey,password' "$@"

Log menunjukkan metode mana yang berhasil, misalnya

debug1: Authentication succeeded (publickey).

Inilah yang saya lakukan jika ansible_userberbeda untuk 'jalankan pertama' dari buku pedoman (misalnya jika Anda hanya memiliki rootpengguna dan Anda akan mengatur pengguna baru dengan kunci SSH):

• Simpan kata sandi ansible_passseperti yang Anda lakukan jika Anda menggunakan kata sandi login (ingat untuk menggunakan Vault) ini harus menjadi kata sandi pengguna yang Anda gunakan untuk 'jalankan pertama' dari buku pedoman.
• Setel ansible_userke nama pengguna pengguna yang ingin Anda gunakan setelah dijalankan pertama kali saat Anda mengatur pengguna dengan benar di server.
• Tetapkan variabel ansible_user_first_rununtuk pengguna yang akan Anda gunakan untuk 'jalankan pertama' dari buku pedoman, misalnya root.
• Gunakan perintah lokal untuk mencoba menyambung ke server dengan kunci SSH yang benar, menggunakan ignore_errorsdanchanged_when: False
• Jika gagal, perbarui ansible_userke nilaiansible_user_first_run

Berikut kodenya:

---
- name: Check if connection is possible
  command: ssh -o User={{ ansible_user }} -o ConnectTimeout=10 -o PreferredAuthentications=publickey -o PubkeyAuthentication=yes {{ inventory_hostname }} echo "Worked"
  register: result
  connection: local
  ignore_errors: yes
  changed_when: False
- name: If no connection, change user_name
  connection: local
  set_fact:
    ansible_user: "{{ ansible_user_first_run }}"
  when: result|failed

Catatan: Layak transport = sshdiatur karena paramiko secara tak terduga dapat gagal masuk ke server dalam beberapa konfigurasi (misalnya ketika server diatur untuk tidak menerima kata sandi, dan Anda mencoba terlebih dahulu dengan kunci lalu kata sandi ... aneh!) Juga transportasi ssh lebih cepat, jadi tetap layak.

Catatan lebih lanjut: Jika Anda menggunakan metode ini, Anda perlu menentukan gather_facts: falsedalam file definisi playbook Anda sehingga tugas-tugas pengaturan / pengumpulan fakta tidak berjalan secara otomatis sebelum Anda sampai ke tahap pengujian kata sandi. Jika Anda memerlukan salah satu fakta yang mungkin, Anda perlu secara eksplisit memanggil setupperan Anda sebelum mengakses data yang biasanya tersedia di tempat-tempat seperti itu ansible_devices, dll. Salah satu cara yang baik untuk melakukan ini adalah dengan menelepon setupdengan whenklausa yang memeriksa untuk melihat apakah fakta yang Anda gunakan kosong atau tidak sebelum Anda menyebutnya dalam peran Anda.

Anda dapat menggunakannya --ask-passsaat menjalankan playbook yang memungkinkan.

Untuk tugas-tugas lain yang Anda minta, ini dapat dicapai dengan berbagai cara, misalnya, menyalin modul.
Menonaktifkan login root juga bisa dilakukan misalnya. dengan templating sshd_confatau memasukkan baris dalam file conf.