Перенаправление агента SSH с помощью Ansible

Проблема решена удалением этой строки из плейбука:

sudo: yes

Когда sudo запускается на удаленном хосте, переменные среды, установленные ssh во время входа в систему, больше не доступны. В частности, SSH_AUTH_SOCK, который «определяет путь сокета UNIX-домена, используемого для связи с агентом», больше не отображается, поэтому пересылка агента ssh не работает.

Избегать sudo, когда он вам не нужен, - это один из способов обойти проблему. Другой способ - убедиться, что SSH_AUTH_SOCK остается во время сеанса sudo, создав файл sudoers:

/etc/sudoers:

     Defaults    env_keep += "SSH_AUTH_SOCK"

Здесь есть несколько очень полезных частичных ответов, но, столкнувшись с этой проблемой несколько раз, я думаю, что обзор был бы полезен.

Во-первых, вам нужно убедиться, что пересылка агента SSH включена при подключении с вашего клиента, на котором запущен Ansible, к целевой машине. Даже с transport=smart переадресация агента SSH может не включаться автоматически, в зависимости от конфигурации SSH вашего клиента. Чтобы убедиться, что это так, вы можете обновить свой ~/.ansible.cfg, включив в него этот раздел:

[ssh_connection]
ssh_args=-o ControlMaster=auto -o ControlPersist=60s -o ControlPath=/tmp/ansible-ssh-%h-%p-%r -o ForwardAgent=yes

Затем вам, вероятно, придется иметь дело с тем фактом, что become: yes (и become_user: root) обычно отключает пересылку агента, потому что переменная среды SSH_AUTH_SOCK сбрасывается. (Меня шокирует то, что кажется, что Ansible предполагает, что люди будут использовать SSH как root, поскольку это делает невозможным любой полезный аудит.) Есть несколько способов справиться с этим. Начиная с Ansible 2.2, самый простой подход - сохранить (всю) среду при использовании sudo, указав флаг -E:

become_flags: "-E"

Однако это может иметь нежелательные побочные эффекты из-за сохранения таких переменных, как PATH. Самый чистый подход - сохранить только SSH_AUTH_SOCK, включив его в env_keep вашего /etc/sudoers файла:

Defaults    env_keep += "SSH_AUTH_SOCK"

Чтобы сделать это с помощью Ansible:

- name: enable SSH forwarding for sudo
  lineinfile:
    dest: /etc/sudoers
    insertafter: '^#?\s*Defaults\s+env_keep\b'
    line: 'Defaults    env_keep += "SSH_AUTH_SOCK"'

Эта задача playbook немного более консервативна, чем некоторые из других предложенных, поскольку она добавляет ее после любых других env_keep настроек по умолчанию (или в конце файла, если они не найдены), без изменения каких-либо существующих env_keep настроек или при условии, что SSH_AUTH_SOCK установлен. уже присутствует.

Другой ответ на ваш вопрос (за исключением того, что я использую Ansible 1.9) может быть следующим:

Вы можете проверить свой /etc/ansible/ansible.cfg (или три других потенциальных места, где параметры конфигурации можно переопределить) на предмет transport=smart в соответствии с рекомендациями в доступных документах. В какой-то момент во время предыдущей попытки установки мой по умолчанию использовал transport=paramiko, что не позволило моей управляющей машине использовать OpenSSH и, таким образом, переадресовывать агент. Вероятно, это серьезный случай, но кто знает? Это мог быть ты!

Хотя я не счел это необходимым для моей конфигурации, я должен отметить, что другие упоминали, что вы должны добавить -o ForwardAgent=yes в настройку ssh_args в том же файле, например:

[ssh_connection]
ssh_args=-o ForwardAgent=yes

Я упоминаю об этом здесь только для полноты картины.

Чтобы расширить ответ @ j.freckle, доступный способ изменить файл sudoers:

- name: Add ssh agent line to sudoers
  lineinfile: 
    dest: /etc/sudoers
    state: present
    regexp: SSH_AUTH_SOCK
    line: Defaults env_keep += "SSH_AUTH_SOCK"