1、authorized_key 模块的简单介绍

需要使用到的模块：authorized_key，为特定的用户账号添加或删除 SSH authorized keys

帮助文件查看

ansible-doc authorized_key
常用选项：

Options: (= is mandatory)(= 后面的参数是强制要有的)

- exclusive [default: no]： 是否移除 authorized_keys 文件中其它非指定 key

= key： SSH public key(s) 可以是字符串或 url，如：https://github.com/username.keys`

- key_options [Default: None]： 附加到 key 中的字符串，该字符串会加到 key 的开头

- path [Default: (homedir)+/.ssh/authorized_keys]： 指定 authorized_keys 文件存放的位置

- state (Choices: present, absent) [Default: present]： present 添加指定 key 到 authorized_keys 文件中；absent 从 authorized_keys 文件中移除指定 key

= user： 指定修改远端服务器上哪个用户的 authorized_keys

- manage_dir (Choices: yes, no) [Default: yes]： 指定模块是否应该管理 authorized key 文件所在的目录。如果设置为 yes，模块会创建目录，以及设置一个已存在目录的拥有者和权限。如果通过 path 选项，重新指定了一个 authorized key 文件所在目录，那么应该将该选项设置为 no

2、添加ansible hosts
编辑/etc/ansible/hosts,没有则创建文件。

格式：【主机名】 【主机地址】 【主机密码】  默认是root用户来进行的

[test]
ansible_ssh_user="root"  ansible_ssh_host=192.168.10.1 ansible_ssh_pass="test123"

新版的ansible(2.4) hosts有更新， 用以下方式：

[test]
test_server ansible_host=192.168.10.1 ansible_user=root ansible_port=22 ansible_ssh_pass="test123"

3、批量推送

一个简单的批量推送的 playbook 文件

$ vim PushKey.yml

---
- hosts: test
  remote_user: root
  become: true
  become_user: root
  become_method: sudo
  gather_facts: false
  tasks:
    - name: deliver authorized_keys
      authorized_key: 
        user: root
        key: "{{ lookup('file', '/root/.ssh/id_rsa_new.pub') }}"
        state: present
        exclusive: no
      tags:
        - sshkey
    - name: change line in authorized_keys
      lineinfile:
        dest: /root/.ssh/authorized_keys
        state: present
        regexp: '^############name'
        line: '############old-name########################'
      tags:
        - alterdemo
    - name: add line to authorized_keys
      lineinfile:
        dest: /root/.ssh/authorized_keys
        insertbefore: '^ssh-rsa'
        line: "############name########################"
      tags:
        - adddemo

检测语法：ansible-playbook -syntax-check PushKey.yml

测试连通性(如果未配置root密码，使用 -k 参数)

#ping
ansible test -m ping

测试运行，即不真正执行：

ansible-playbook -C PushKey.yml
ansible-playbook –check PushKey.yml

以 root 用户身份，执行以下命令

$ ansible-playbook PushKey.yml
SSH password:

注：

远端主机上 root 用户已经配置免密 sudo 权限

4、批量更改

出于安全的考虑，可能有定期更换密钥的需求。其实批量推送与批量更改实现原理是一致的：

1.生成新的密钥时，使用 -f 选项，避免新生成的密钥覆盖老的密钥

$ ssh-keygen -t rsa -f ~/.ssh/id_rsa_new

 -f：设置 key 文件的文件名

查看生成的新密钥对：

$ ls ~/.ssh | grep new
id_rsa_new
id_rsa_new.pub

2.将新生成的密钥推送到远程主机上，还是使用上面的 playbook。只是把读取的密钥文件更改成新生成的 “id_rsa_new.pub” 即可。

key: "{{ lookup('file', '/home/osmgr/.ssh/id_rsa_new.pub') }}"

3.更新完成后，备份老的密钥，将新生成的密钥名更改为默认密钥名

备份老密钥：

$ mv ~/.ssh/id_rsa ~/keybak/id_rsa.$(date +%F).bak
$ mv ~/.ssh/id_rsa.pub ~/keybak/id_rsa.pub.$(date +%F).bak

更改新密钥：

$ mv ~/.ssh/id_rsa_new id_rsa
$ mv ~/.ssh/id_rsa_new.pub id_rsa.pub