Comment ignorer la vérification d'authenticité SSH ansible?

Existe-t-il un moyen d'ignorer la vérification d'authenticité SSH effectuée par Ansible? Par exemple, lorsque je viens de configurer un nouveau serveur, je dois répondre oui à cette question:

GATHERING FACTS ***************************************************************
The authenticity of host 'xxx.xxx.xxx.xxx (xxx.xxx.xxx.xxx)' can't be established.
RSA key fingerprint is xx:yy:zz:....
Are you sure you want to continue connecting (yes/no)?

Je sais que c'est généralement une mauvaise idée, mais j'intègre cela dans un script qui crée d'abord un nouveau serveur virtuel chez mon fournisseur de cloud, puis appelle automatiquement mon playbook ansible pour le configurer. Je souhaite éviter toute intervention humaine au milieu de l'exécution du script.

Deux options - la première, comme vous l'avez dit dans votre propre réponse, consiste à définir la variable d'environnement ANSIBLE_HOST_KEY_CHECKINGsur False.

La deuxième façon de le définir est de le placer dans un fichier ansible.cfg, et c'est une option très utile car vous pouvez soit définir cela globalement (au niveau du système ou de l'utilisateur, dans /etc/ansible/ansible.cfgou ~/.ansible.cfg), soit dans un fichier de configuration dans le même répertoire en tant que playbook que vous exécutez.

Pour ce faire, créez un ansible.cfgfichier dans l'un de ces emplacements et incluez ceci:

[defaults]
host_key_checking = False

Vous pouvez également définir de nombreux autres paramètres par défaut utiles, comme s'il faut ou non rassembler des faits au début d'une lecture, fusionner les hachages déclarés à plusieurs endroits ou en remplacer un par un autre, etc. Il y a une grande liste d'options ici dans la documentation Ansible.

Edit: une note sur la sécurité.

La validation de la clé d'hôte SSH est une couche de sécurité significative pour les hôtes persistants - si vous vous connectez plusieurs fois à la même machine, il est utile d'accepter la clé d'hôte localement.

Pour les instances EC2 à plus longue durée de vie, il serait logique d'accepter la clé d'hôte avec une tâche exécutée une seule fois lors de la création initiale de l'instance:

  - name: Write the new ec2 instance host key to known hosts
    connection: local
    shell: "ssh-keyscan -H {{ inventory_hostname }} >> ~/.ssh/known_hosts"

Il n'y a pas de valeur de sécurité pour vérifier les clés d'hôte sur les instances que vous mettez en place dynamiquement et supprimez juste après l'exécution du playbook, mais il y a une valeur de sécurité dans la vérification des clés d'hôte pour les machines persistantes. Vous devez donc gérer la vérification des clés d'hôte différemment par environnement logique.

• Laisser la vérification activée par défaut (dans ~/.ansible.cfg)
• Désactivez la vérification des clés d'hôte dans le répertoire de travail pour les playbooks que vous exécutez sur des instances éphémères ( ./ansible.cfgparallèlement au playbook pour les tests unitaires contre les VM vagabondes, l'automatisation pour les instances ec2 de courte durée)

J'ai trouvé la réponse, vous devez définir la variable d'environnement ANSIBLE_HOST_KEY_CHECKINGsur False. Par exemple:

ANSIBLE_HOST_KEY_CHECKING=False ansible-playbook ...

hâte à nikobelia

Pour ceux qui utilisent jenkins pour exécuter le livre de jeu, je viens d'ajouter à mon travail jenkins avant d'exécuter le livre de jeu ansible la variable d'environnement ANSIBLE_HOST_KEY_CHECKING = False Par exemple ceci:

export ANSIBLE_HOST_KEY_CHECKING=False
ansible-playbook 'playbook.yml' \
--extra-vars="some vars..." \
--tags="tags_name..." -vv

La modification host_key_checkingde falsetous les hôtes est une très mauvaise idée.

La seule fois où vous voulez l'ignorer, c'est au «premier contact», que ces deux tâches accompliront:

    - name: Check SSH known_hosts for {{ inventory_hostname }}
      local_action: shell ssh-keygen -F {{ inventory_hostname }}
      register: checkForKnownHostsEntry
      failed_when: false
      changed_when: false
      ignore_errors: yes
    - name: Add {{ inventory_hostname }} to SSH known hosts automatically
      when: checkForKnownHostsEntry.rc == 1
      changed_when: checkForKnownHostsEntry.rc == 1
      set_fact:
        ansible_ssh_common_args: '-o StrictHostKeyChecking=no'

Nous désactivons donc la vérification de la clé d'hôte uniquement si nous n'avons pas la clé d'hôte dans notre known_hostsfichier.

Vous pouvez le transmettre en tant qu'argument de ligne de commande lors de l'exécution du playbook:

ansible-playbook play.yml --ssh-common-args='-o StrictHostKeyChecking=no'

Si vous ne souhaitez pas modifier ansible.cfgou le, playbook.ymlvous pouvez simplement définir une variable d'environnement:

export ANSIBLE_HOST_KEY_CHECKING=False

Ignorer la vérification est une mauvaise idée car cela vous rend vulnérable aux attaques de l'homme du milieu.

J'ai pris la liberté d'améliorer la réponse de nikobelia en n'ajoutant qu'une seule fois la clé de chaque machine et en définissant le statut ok / changé dans Ansible:

- name: Accept EC2 SSH host keys
  connection: local
  become: false
  shell: |
    ssh-keygen -F {{ inventory_hostname }} || 
      ssh-keyscan -H {{ inventory_hostname }} >> ~/.ssh/known_hosts
  register: known_hosts_script
  changed_when: "'found' not in known_hosts_script.stdout"

Cependant, Ansible commence à rassembler des faits avant l'exécution du script, ce qui nécessite une connexion SSH, nous devons donc désactiver cette tâche ou la déplacer manuellement vers plus tard:

- name: Example play
  hosts: all
  gather_facts: no  # gather facts AFTER the host key has been accepted instead

  tasks:

  # /programming/32297456/
  - name: Accept EC2 SSH host keys
    connection: local
    become: false
    shell: |
      ssh-keygen -F {{ inventory_hostname }} ||
        ssh-keyscan -H {{ inventory_hostname }} >> ~/.ssh/known_hosts
    register: known_hosts_script
    changed_when: "'found' not in known_hosts_script.stdout"
  
  - name: Gathering Facts
    setup:

Un problème que je n'ai pas réussi à résoudre est qu'il marque tout comme modifié même s'il n'ajoute qu'une seule clé. Si quelqu'un pouvait apporter une solution, ce serait génial!

Utilisez le paramètre nommé validate_certs pour ignorer la validation ssh

- ec2_ami:
    instance_id: i-0661fa8b45a7531a7
    wait: yes
    name: ansible
    validate_certs: false
    tags:
      Name: ansible
      Service: TestService

En faisant cela, il ignore le processus de validation ssh

Je sais que la question a été répondue et qu'elle est correcte aussi, mais je voulais juste lier le document ansible où il est expliqué clairement quand et pourquoi la vérification respective devrait être ajoutée: vérification de la clé de l'hôte

La plupart des problèmes apparaissent lorsque vous souhaitez ajouter un nouvel hôte à l'inventaire dynamique (via le module add_host) dans le playbook. Je ne veux pas désactiver de manière permanente la vérification de l'hôte d'empreintes digitales, donc des solutions telles que la désactivation dans un fichier de configuration globale ne me conviennent pas. Exporter var comme ANSIBLE_HOST_KEY_CHECKINGavant d'exécuter playbook est une autre chose à faire avant de l'exécuter et dont il faut se souvenir.

Il est préférable d'ajouter le fichier de configuration local dans le même répertoire que celui du playbook. Créez le fichier nommé ansible.cfget collez le texte suivant:

[defaults]
host_key_checking = False

Inutile de vous rappeler d'ajouter quelque chose dans les variables d'environnement ou d'ajouter des ansible-playbookoptions. Il est facile de mettre ce fichier dans un repo git ansible.