从一个可移动的剧本中创建用户密码

Question

我肯定这里有人能解决我的问题。我正在我的可移动主机文件中定义的主机上创建用户。但当用户希望登录时,root用户需要定义用户密码。我需要自动创建用户密码。

要使用playbook创建用户密码,我们不能以明文形式指定密码,只能通过提供哈希值来实现：

 - name: Add Users + Assign to Group
   user:
      name: "{{ item }}"
      password: $6$ul4TACYvHI.kmGUK$j32lU8fNbX.eW0DZOqnnDlP8i0...

python -c 'import crypt; print crypt.crypt("ansible")'

login as: user2

user1@10.65.8.50's password: "ansible"


[user1@hostname ~]$

非常感谢任何帮助！

Answer 1

这是一个很远的答案，我没有对此进行过测试，但我一直在考虑一种自动使用ansible-vault的方法，这样我就可以部署应用程序，而不必事先定义密码，同时在创建密码后保留密码的加密记录。

下面的剧本给出了一个你可以使用的方法：

• 在远程主机上生成密码，
• 在远程主机上使用密码，
• 在本地（控制）系统上存储密码加密副本。

同样，这是未经测试的，也有可能因为一些我没有预料到的原因而无法工作，但实际上我认为它应该能够像这样工作（仅显示相关任务）：

vault_password_file = /path/to/vault_password_file

---
- hosts: example_com
  gather_facts: true
  become: true

  vars:
    password_var_name: "example_com_db_password"
    vault_vars_file: "example_com_vault.yml"

  tasks:
    - name: Find out if we have already set a password.
      command: "grep \"'password' => '',\" settings.php"
      args:
        chdir: "/path/to/settings"
      register: password_in_file

    - name: Create a password and use ansible-vault to write it.
      block:
        - name: Create a new password.
          command: "apg -a1 -m32 -n1"
          register: new_vault_password
          no_log: true

        - name: Encrypt the new password.
          command: "ansible-vault encrypt \"{{ new_vault_password.stdout }}\""
          register: new_vault_password_encrypted
          no_log: true

        - name: Write the encrypted password to our local ansible-vault file.
          lineinfile:
            path: "{{ playbook_dir }}/{{ vault_file }}"
            line: "{{ password_var_name }}: {{ new_vault_password_encrypted.stdout }}"
            insertafter: "EOF"
          when: password_in_file.stdout = 0
          delegate_to: localhost

        - name: Write the unencrypted password into our remote settings file.
          lineinfile:
            path: "/path/to/settings/settings.php"
            line: "  'password' => '{{ new_password.stdout }}',"
            regexp: "^  'password' => '',$"
          no_log: true

因此tldr为：

• 我们有一个可移动的配置文件Ansible.cfg。
• 该文件包含安全存储库密码文件的路径。
• 我们有一个动态可移动变量的本地未加密文件。
• 我们检查是否需要继续创建新密码等
• 如果是，则创建密码。
• 然后加密它。
• 然后将未加密的密码写入设置文件。
• 然后将加密的密码写入本地未加密的变量文件。