ansible ssh invite les hôtes connus question

mettre À jour locale known_hosts file, j'ai fini par utiliser une combinaison de ssh-keyscan (avec dig pour résoudre un nom d'hôte en adresse IP) et ansible module known_hosts comme suit: (Nom du fichier ssh-known_hosts.yml)

- name: Store known hosts of 'all' the hosts in the inventory file
  hosts: localhost
  connection: local

  vars:
    ssh_known_hosts_command: "ssh-keyscan -T 10"
    ssh_known_hosts_file: "{{ lookup('env','HOME') + '/.ssh/known_hosts' }}"
    ssh_known_hosts: "{{ groups['all'] }}"

  tasks:

  - name: For each host, scan for its ssh public key
    shell: "ssh-keyscan {{ item }},`dig +short {{ item }}`"
    with_items: "{{ ssh_known_hosts }}"
    register: ssh_known_host_results
    ignore_errors: yes

  - name: Add/update the public key in the '{{ ssh_known_hosts_file }}'
    known_hosts:
      name: "{{ item.item }}"
      key: "{{ item.stdout }}"
      path: "{{ ssh_known_hosts_file }}"
    with_items: "{{ ssh_known_host_results.results }}"

pour exécuter un tel yml, faites

ANSIBLE_HOST_KEY_CHECKING=false ansible-playbook path/to/the/yml/above/ssh-known_hosts.yml

en conséquence, pour chaque hôte dans le inventaire, tous les algorithmes pris en charge seront ajoutés/mis à jour dans le known_hosts fichier nom d'hôte,adresse ip la paire enregistrement; ces

atlanta1.my.com,10.0.5.2 ecdsa-sha2-nistp256 AAAAEjZHN ... NobYTIGgtbdv3K+w=
atlanta1.my.com,10.0.5.2 ssh-rsa AAAAB3NaC1y ... JTyWisGpFeRB+VTKQ7
atlanta1.my.com,10.0.5.2 ssh-ed25519 AAAAC3NaCZD ... UteryYr
denver8.my.com,10.2.13.3 ssh-rsa AAAAB3NFC2 ... 3tGDQDSfJD
...

(pourvu que le inventaire le fichier ressemble à ceci:

[master]
atlanta1.my.com
atlanta2.my.com

[slave]
denver1.my.com
denver8.my.com

)

par opposition à la réponse de Xiong, cela permettrait de traiter correctement le contenu du known_hosts fichier.

ce jeu est particulièrement utile si vous utilisez un environnement virtualisé où les hôtes cibles sont réimagulés (ainsi les touches SSH pub sont modifiées).

désactiver complètement la vérification des clés de l'hôte est une mauvaise idée du point de vue de la sécurité, car cela vous ouvre aux attaques de type "homme au milieu".

si vous pouvez supposer que le réseau actuel n'est pas compromis (c'est-à-dire que lorsque vous SSH à la machine pour la première fois et sont présentés une clé, cette clé est en fait de la machine et non d'un attaquant), alors vous pouvez utiliser ssh-keyscan et le module shell pour ajouter les clés des nouveaux serveurs à votre fichier hosts connu (edit: Stepan réponse est-ce mieux):

- name: accept new ssh fingerprints
  shell: ssh-keyscan -H {{ item.public_ip }} >> ~/.ssh/known_hosts
  with_items: ec2.instances

(a Démontré ici que vous trouverez après ec2 provisionnement.)

suivant la réponse correcte de @Stepan Vavra. Une version plus courte est:

- known_hosts:
    name: "{{ item }}"
    key: "{{ lookup('pipe', 'ssh-keyscan {{ item }},`dig +short {{ item }}`') }}"
  with_items:
   - google.com
   - github.com

vous pouvez également le définir à partir du niveau du système d'exploitation du serveur. vous aurez besoin de configurer le fichier de configuration ssh pour éviter que la vérification ssh ne vous invite:

modifier le chemin d'accès du fichier:

/etc/ssh/ssh_config

maintenant, décommentez la ligne:

StrictHostKeyChecking no

enregistrer les modifications et c'est tout

Ne pas faire quelque chose comme ce travail pour l'amorçage, le fichier known_hosts:

ANSIBLE_HOST_KEY_CHECKING=false ansible all -m ping

cela devrait se connecter à chaque hôte de l'inventaire, en mettant à jour le fichier known_hosts pour chaque hôte sans avoir à entrer "Oui" pour chaque invite, puis exécute le module "ping" sur chaque hôte?

un test rapide (effacement de mon fichier known_hosts puis exécution de ce qui précède, fait sur une instance Ubuntu 16.04) a semblé peupler le fichier known_hosts avec leur courant empreinte.

@Stepan la solution de Vavra ne fonctionnait pas pour moi car j'utilisais des hôtes aliasés (se connectait à des IP internes qui n'avaient pas de DNS disponibles pour eux, donc je voulais plus de noms descriptifs pour se référer à chaque hôte dans l'inventaire et avoir une variable ansible_host point à L'IP réelle pour chacun). Exécuter ce qui précède était beaucoup plus simple et amorçait mon fichier known_hosts sans avoir à désactiver la vérification de la clé hôte dans ansible ou ssh.