RHCE-B14. 基于Ansible密码库创建用户帐户

我就是我 2022-09-15 13:58 202阅读 0赞

# 红帽RHCE考试下午-RHCE（RH294） #

## RH294任务概览 ##

>  *  考试时间4个小时，6台虚拟机，15道题
>  *  原来通过脚本或者集群做的题现在都需要使用playbook实现
>  *  考试时大概有6台虚拟服务器，都已经做好了互相的免密
>  *  做题在ansible控制节点workstation做，但是需要去其他虚拟服务器进行验证
>  *  考试时需要将6台虚拟服务器在考试环境全部开启，物理机界面点击左侧按钮启动
>  *  考试时Ansible所有playbook都放在普通用户目录中且都以普通用户执行

1.  *注意：考试时一定注意要求将playbook放在指定用户的家目录中，用指定的用户登录做题！*
2.  *注意：考试的判分方式通过普通用户远程执行指定目录下的playbook或者脚本，如果使用root做题，则没有权限就是零分*

### 14. 基于Ansible密码库创建用户帐户 ###

*  从 http://172.25.250.250/ansible2.8/user\_list.yml 下载要创建的用户的列表，并将它保存到/home/student/ansible
 *  在本次考试中使用在其他位置创建的密码库 /home/student/ansible/locker.yml，
 *  创建名为/home/student/ansible/users.yml 的 playbook，
 *  从而按以下所述创建用户帐户：

#### 任务要求 ####

*  职位描述为 developer 的用户应当：

1.  在 dev 和 test 主机组中的受管节点上创建
2.  从 pw\_developer 变量分配密码
3.  是附加组 student 的成员
4.  *新增要求设置密码有效期为30天*

*  职位描述为 manager 的用户应当：

1.  在 prod 主机组中的受管节点上创建
2.  从 pw\_manager 变量分配密码
3.  是附加组 devops 的成员
4.  *新增要求设置密码有效期为30天*

*  密码应采用 SHA512 哈希格式。
 *  您的 playbook 应能够在本次考试中使用在其他位置创建的库密码文件/home/student/ansible/secret.txt 正常运行

*注意：*

#### 准备个工作 ####

*  考试期间不需要做

设置密码有效期30天的参数跟ansible版本呢有关系
    使用shell模块运行chage -M 30来修改用户密码的有效期吧
    如果是设定用户的有效期，使用参数expires：指定用户的的过期时间,看清楚题中的要求

#### 完成步骤 ####

1.  下载并查看文件

*  先从服务器上下载并查看用户yml

[student@workstationansible]$ wget http://172.25.250.250/ansible2.8//usr_list.yml
    [student@workstationansible]$cat user_list.yml
    users:
    - name: bob
      job: developer
    - name: sally 
      job: manager
    - name: fred 
      job: developer

1.  分两个任务创建组  
    2.1 根据要求创建developer组用户和manager组用户  
    2.1.1 先按题中要求确定在那个主机组执行  
    2.1.2 再定义变量，指定密码文件和用户列表  
    2.1.3 写创建用户的任务tasks，包含三个子任务：创建组、创建用户、使用shell命令修改密码有效期  
    2.1.4 先使用group模块创建用户组，状态为present  
    2.1.5 再写个循环使用user模块创建用户，用when判断题中要求的分组job注释，用loop循环users变量列表，用password设定密码来自变量,同时用password\_hash指定哈希算法为sha512  
    2.1.6 最后使用一个shell模块执行`chage -M`命令来修改用户密码有效期

*  根据要求编写创建对应playbook

[student@workstation ansible]$ vim users.yml
    ---
    - name: Create developer user 
      hosts: dev,test 
      vars_files:
        - locker.yml ## 密码来自于上一个任务加密的文件
        - user_list.yml ## 用户来自于下载的文件
      tasks:
        - name: Ensure group "student" exists 
          group:
            name: student ## 考试时候要求是什么组就创建什么组
            state: present
        - name: Create user in developer 
          user:
            name: "{ { item.name }}"  ## 从user_list.yml里取name的值作为用户名
            groups: student ## 指定题目中要求的组组
            password: "{ { pw_developer | password_hash('sha512') }}"  ## 从locker.yml密码文件中取pw_developer后面的内容作为密码，并指定密码应采用 SHA512 哈希格式
          loop: "{ { users }}" ## 用loop调用user_list.yml中的uesrs变量，就是头上那个变量名，user是个列表
          when: item.job == "developer" ## 判断job是不是题中要求的分类,另一种写法 "'developer' in item.job" 
        ## 下面这个对应新加的修改用户密码有效期为30的内容
        - name:
          shell: chage -M 30 "{ { item.name}}"
          loop: "{ { users }}"
          when: item.job == "developer" 
    ## 写一半先测试一下，成功了再复制一些做下一半 
    - name: Create manager user 
      hosts: prod
      vars_files:
        - locker.yml ## 密码来自于上一个任务加密的文件
        - user_list.yml  ## 用户来自于下载的文件
      tasks:
        - name: Ensure group "opsmgr" exists 
          group:
            name: opsmgr 
            state: present
        - name: Create user in manager 
          user:
            name: "{ { item.name }}" 
            groups: opsmgr
            password: "{ { pw_manager | password_hash('sha512') }}" 
          loop: "{ { users }}"
          when: item.job == "manager" ## 另一种写法 "'manager' in item.job"
        ## 下面这个对应新加的修改用户密码有效期为30的内容
        - name:
          shell: chage -M 30 "{ { item.name}}"
          loop: "{ { users }}"
          when: item.job == "manager"   
    [student@workstation ansible]$ ansible-playbook --vault-id secret.txt users.yml ## 运行的时候要使用--vault-id 指定加密的文件

*  使用chage -l bob 查看新创建的用户的密码有效期，默认是99999
 *  直接使用命令 chage -M 30 bob 就可以更改用户密码的有效期了
 *  如果user模块没有更改用户密码有效期的选项，就需要另外想办法了
 *  在写好的playbook里写个shell命令，把用户的密码给改了好不好呢？

- name:
      shell: chage -M 30 "{ {  item.name}}"
      loop: "{ { users }}"
      when: item.job == "manager"

### 考察的知识点 ###

#### Playbook中使用变量 ####

*  在独立的变量YAML文件中定义变量，并在playbook中通过文件的方式进行调用外部变量
 *  在另一个playbook文件中引用变量文件中的变量，比playbook中定义的变量优先级高

- hosts: all
      vars_files:
        - vars.yml

vim vars.yml
    ---
    # variables file
    package_name: mariadb-server
    service_name: mariadb
    vim var5.yml
    ---
    #install package and start service
    - hosts: dbsrvs
      remote_user: root
      vars_files:
        - vars.yml
      tasks:
        - name: install package
          yum: name={ {  package_name }}
          tags: install
        - name: start service
          service: name={ {  service_name }} state=started enabled=yes

*  变量的优先级从高到低如下

-e 选项定义变量 --> playbook中vars_files --> playbook中vars变量定义 --> host_vars/主机名文件 --> 主机清单中主机变量--> group_vars/主机组名文件--> group_vars/all文件--> 主机清单组变量

#### ansible group模块 ####

*  group 模块可以帮助我们管理远程主机上的组。

name  必须参数，用于指定要操作的组名称。
    state  用于指定组的状态，
      两个值可选，present，absent，
      默认为 present，设置为absent 表示删除组。
    gid   用于指定组的gid。

#创建组
    ansible websrvs -m group -a 'name=nginx gid=88 system=yes'
    ---
    - name: creat group
      hosts: websrvs
      tasks:
        group
          name: nginx
          gid: 88
          system: yes
    
    #删除组
    ansible websrvs -m group -a 'name=nginx state=absent'
    ---
    - name: del group
      hosts: websrvs
      tasks:
        group
          name: nginx
          state: absent

#### ansible user模块 ####

*  user 模块可以帮助我们管理远程主机上的用户，比如创建用户、修改用户、删除用户、为用户创建密钥对等操作。

user：指定要操作的用户名称
        uid：指定用户的uid
        comment：指定用户的注释信息
        expires：指定用户的的过期时间，相当于设置/etc/shadow文件中的第8列
        shell：指定用户的默认shell
        group：指定用户的基本组
        groups：指定用户的附加组，新加时会覆盖原有的附加组，默认append=no
        append：配合groups使用，在原有附加组的基础上追加组，append=yes
        state present|absent：默认present，表示添加用户或需要用户存在；absent表示删除用户
        remove：删除用户时，默认是不删除家目录，remove=no；remove=yes表示删除用户家目录
        password：指定用户的密码，需要是加密后的字符串，相当于/etc/shadow文件中的第2列
        update_password always|on_create：默认always
        generate_ssh_key no|yes：默认为no；yes表示生成ssh密钥对，在用户家目录.ssh/目录中生成id_rsa的私钥和id_rsa.pub的公钥；若已存在同名的密钥，不会覆盖
        ssh_key_file：前提是generate_ssh_key=yes，使用此参数生成ssh私钥的路径和名称，对应公钥会在同路径下生成，后缀名".pub"
        ssh_key_comment：前提是generate_ssh_key=yes，使用此参数定义公钥中的注释信息，若已存在同名的密钥，不会覆盖；不指定时默认注释信息为"ansible-generated on 远程主机的主机名"
        ssh_key_passphrase：前提是generate_ssh_key=yes，使用此参数设置私钥的密码，若已存在同名的密钥，不会覆盖
        ssh_key_type：前提是generate_ssh_key=yes，使用此参数设置密钥对的类型，默认为rsa，若已存在同名的密钥，不会覆盖

#### 使用哈希算法加密密码 ####

*  要获取sha512密码哈希（随机盐）：  
    `{ { 'passwordsaresecret' | password_hash('sha512') }}`
 *  要获取具有特定salt的sha256密码哈希，请执行以下操作：  
    `{ { 'secretpassword' | password_hash('sha256', 'mysecretsalt') }}`
 *  每个系统生成唯一散列的幂等方法是使用两次运行之间一致的salt：  
    `{ { 'secretpassword' | password_hash('sha512', 65534 | random(seed=inventory_hostname) | string) }}`