Come ignorare il controllo di autenticità SSH rispondibile?

Esiste un modo per ignorare il controllo di autenticità SSH effettuato da Ansible? Ad esempio, quando ho appena installato un nuovo server, devo rispondere di sì a questa domanda:

GATHERING FACTS ***************************************************************
The authenticity of host 'xxx.xxx.xxx.xxx (xxx.xxx.xxx.xxx)' can't be established.
RSA key fingerprint is xx:yy:zz:....
Are you sure you want to continue connecting (yes/no)?

So che questa è generalmente una cattiva idea, ma la sto incorporando in uno script che prima crea un nuovo server virtuale presso il mio provider cloud e quindi chiama automaticamente il mio playbook Ansible per configurarlo. Voglio evitare qualsiasi intervento umano nel mezzo dell'esecuzione della sceneggiatura.

Due opzioni: la prima, come hai detto nella tua risposta, è impostare la variabile di ambiente ANSIBLE_HOST_KEY_CHECKINGsu False.

Il secondo modo per impostarlo è metterlo in un file ansible.cfg, e questa è un'opzione davvero utile perché puoi impostarla globalmente (a livello di sistema o utente, in /etc/ansible/ansible.cfgo ~/.ansible.cfg), o in un file di configurazione nella stessa directory come il playbook che stai utilizzando.

Per fare ciò, crea un ansible.cfgfile in una di quelle posizioni e includi questo:

[defaults]
host_key_checking = False

Puoi anche impostare molte altre impostazioni predefinite a portata di mano, come se raccogliere o meno i fatti all'inizio di una rappresentazione, se unire gli hash dichiarati in più punti o sostituirli uno con l'altro, e così via. C'è un intero elenco di opzioni qui nei documenti Ansible.

Modifica: una nota sulla sicurezza.

La convalida della chiave host SSH è un livello di sicurezza significativo per host persistenti : se ci si connette più volte allo stesso computer, è utile accettare la chiave host a livello locale.

Per istanze EC2 di lunga durata, sarebbe logico accettare la chiave host con un'attività eseguita una sola volta alla creazione iniziale dell'istanza:

  - name: Write the new ec2 instance host key to known hosts
    connection: local
    shell: "ssh-keyscan -H {{ inventory_hostname }} >> ~/.ssh/known_hosts"

Non esiste alcun valore di sicurezza per il controllo delle chiavi host su istanze che si alzano dinamicamente e si rimuovono subito dopo l'esecuzione del playbook, ma esiste un valore di sicurezza nel controllo delle chiavi host per macchine persistenti. Quindi è necessario gestire il controllo della chiave host in modo diverso per ambiente logico.

• Lascia il controllo abilitato per impostazione predefinita (in ~/.ansible.cfg)
• Disabilita il controllo della chiave host nella directory di lavoro per i playbook che esegui contro istanze effimere ( ./ansible.cfginsieme al playbook per test unitari contro macchine virtuali vaganti, automazione per istanze ec2 di breve durata)

Ho trovato la risposta, è necessario impostare la variabile di ambiente ANSIBLE_HOST_KEY_CHECKINGsu False. Per esempio:

ANSIBLE_HOST_KEY_CHECKING=False ansible-playbook ...

in avanti verso la nikobelia

Per coloro che usano jenkins per eseguire il playbook, ho appena aggiunto al mio lavoro jenkins prima di eseguire ansible-playbook la variabile di ambiente he ANSIBLE_HOST_KEY_CHECKING = False Ad esempio questo:

export ANSIBLE_HOST_KEY_CHECKING=False
ansible-playbook 'playbook.yml' \
--extra-vars="some vars..." \
--tags="tags_name..." -vv

Passando host_key_checkingafalse per tutti gli host è una pessima idea.

L'unica volta che si desidera ignorarlo, è al "primo contatto", che questi due compiti eseguiranno:

    - name: Check SSH known_hosts for {{ inventory_hostname }}
      local_action: shell ssh-keygen -F {{ inventory_hostname }}
      register: checkForKnownHostsEntry
      failed_when: false
      changed_when: false
      ignore_errors: yes
    - name: Add {{ inventory_hostname }} to SSH known hosts automatically
      when: checkForKnownHostsEntry.rc == 1
      changed_when: checkForKnownHostsEntry.rc == 1
      set_fact:
        ansible_ssh_common_args: '-o StrictHostKeyChecking=no'

Quindi disattiviamo il controllo della chiave host solo se non abbiamo la chiave host nel nostro known_hostsfile.

Puoi passarlo come argomento da riga di comando durante l'esecuzione del playbook:

ansible-playbook play.yml --ssh-common-args='-o StrictHostKeyChecking=no'

Se non si desidera modificare ansible.cfgo playbook.ymlquindi è possibile impostare una variabile di ambiente:

export ANSIBLE_HOST_KEY_CHECKING=False

Ignorare il controllo è una cattiva idea in quanto ti rende suscettibile agli attacchi man-in-the-middle.

Ho preso la libertà di migliorare la risposta di nikobelia da solo aggiungendo la chiave di ogni macchina una volta e in realtà l'impostazione ok / stato cambiato in Ansible:

- name: Accept EC2 SSH host keys
  connection: local
  become: false
  shell: |
    ssh-keygen -F {{ inventory_hostname }} || 
      ssh-keyscan -H {{ inventory_hostname }} >> ~/.ssh/known_hosts
  register: known_hosts_script
  changed_when: "'found' not in known_hosts_script.stdout"

Tuttavia, Ansible inizia a raccogliere dati prima dell'esecuzione dello script, che richiede una connessione SSH, quindi dobbiamo disabilitare questa attività o spostarla manualmente in un secondo momento:

- name: Example play
  hosts: all
  gather_facts: no  # gather facts AFTER the host key has been accepted instead

  tasks:

  # /programming/32297456/
  - name: Accept EC2 SSH host keys
    connection: local
    become: false
    shell: |
      ssh-keygen -F {{ inventory_hostname }} ||
        ssh-keyscan -H {{ inventory_hostname }} >> ~/.ssh/known_hosts
    register: known_hosts_script
    changed_when: "'found' not in known_hosts_script.stdout"
  
  - name: Gathering Facts
    setup:

Un nodo che non sono stato in grado di capire è che segna tutto come modificato anche se aggiunge solo una chiave. Se qualcuno potesse contribuire con una soluzione sarebbe fantastico!

Utilizzare il parametro denominato validate_certs per ignorare la convalida ssh

- ec2_ami:
    instance_id: i-0661fa8b45a7531a7
    wait: yes
    name: ansible
    validate_certs: false
    tags:
      Name: ansible
      Service: TestService

In questo modo ignora il processo di validazione ssh

So che la domanda ha avuto una risposta ed è anche corretta, ma volevo solo collegare il documento di risposta in cui è spiegato chiaramente quando e perché aggiungere il rispettivo controllo: controllo chiave host

La maggior parte dei problemi si presenta quando si desidera aggiungere un nuovo host all'inventario dinamico (tramite il modulo add_host) nel playbook. Non voglio disabilitare il controllo dell'host di impronte digitali in modo permanente, quindi soluzioni come disabilitarlo in un file di configurazione globale non mi vanno bene. Esportazione var comeANSIBLE_HOST_KEY_CHECKING prima di eseguire il playbook è un'altra cosa da fare prima di eseguire che è necessario ricordare.

È meglio aggiungere il file di configurazione locale nella stessa directory in cui si trova il playbook. Crea un file chiamatoansible.cfg e incolla il seguente testo:

[defaults]
host_key_checking = False

Non è necessario ricordare di aggiungere qualcosa in ambiente o di aggiungere ansible-playbookopzioni. È facile mettere questo file in risposta a git repo.