ansible控制主机和受控主机之间免密及提权案例

目录

案例描述

环境准备

案例一--免密远程控制主机

效果展示：

解决方案

 1.添加主机

2.通过ssh-key生成密钥对

3.生成ssh-copy-id

 4.验证

案例二-----免密普通用户提权

 效果展示

解决方案

1.使用普通用户，与案例一   一样，进行发送密钥对和id

keygen

 copy-id

测试

2.在node1用户下的/etc/sudoers/中

 查看：

相关知识：

1.gpasswd

 2.ssh-copy-id

 3.ssh-keygen

案例描述

一、描述：控制主机和受控主机通过root用户以免密验证远程控制受控主机实施对应任务

二、描述： 控制主机和受控主机通过普通用户以免密验证远程控制主机实施特权控制操作

环境准备

我这里一共三台主机，一个控制端，两个受控端

案例一--免密远程控制主机

描述：控制主机和受控主机通过root用户以免密验证远程控制受控主机实施对应任务

 为了确保在ansible执行中，各个主机不会受到这些限制，我们可以提供密钥保存到各个主机上，以实现免密登陆效果。

效果展示：

设置之前效果：

[root@control ~]# ssh root@node1
The authenticity of host 'node1 (192.168.197.153)' can't be established.
ECDSA key fingerprint is SHA256:p1vEMDKw2flRy/TI2CE3STJ451XMUm+Sg7/ztyJMaF4.
Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
Warning: Permanently added 'node1,192.168.197.153' (ECDSA) to the list of known hosts.
root@node1's password:
Activate the web console with: systemctl enable --now cockpit.socket

This system is not registered to Red Hat Insights. See https://cloud.redhat.com/
To register this system, run: insights-client --register

Last login: Wed Aug  2 02:55:02 2023 from 192.168.197.1
[root@node1 ~]#

 设置之后效果：

[root@control ~]# ssh node1
Activate the web console with: systemctl enable --now cockpit.socket

This system is not registered to Red Hat Insights. See https://cloud.redhat.com/
To register this system, run: insights-client --register

Last login: Wed Aug  2 05:05:59 2023 from 192.168.197.152

解决方案

 1.添加主机

在/etc/hosts下

192.168.197.153 node1 node1.example.com
192.168.197.154 node3 node1.example.com

2.通过ssh-key生成密钥对

ssh-keygen是一个用于生成SSH密钥对的命令行工具。SSH密钥对由公钥和私钥组成，用于通过SSH协议进行安全的身份验证。

[root@control ~]# ssh-keygen -t RSA
Generating public/private RSA key pair.
Enter file in which to save the key (/root/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is:
SHA256:6338jg7huU2z/sTmRfgax98A1g/nvbHYyIu5woTOSmY root@control
The key's randomart image is:
+---[RSA 3072]----+
|                 |
|                 |
|                 |
|             . . |
|        S . o + o|
|       . + + o O.|
|     Eo + +.o *.O|
|    +  + + =*B+**|
|     .. . +BBOB+o|
+----[SHA256]-----+

3.生成ssh-copy-id

 ssh-copy-id是一个方便的工具，用于将本地计算机上的公钥复制到远程服务器的授权密钥列表中，以实现无密码的SSH登录。

[root@control ~]# ssh-copy-id  -i node1
/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/root/.ssh/id_rsa.pub"
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
root@node1's password:

Number of key(s) added: 1

Now try logging into the machine, with:   "ssh 'node1'"
and check to make sure that only the key(s) you wanted were added.

 4.验证

[root@control ~]# ssh node1
Activate the web console with: systemctl enable --now cockpit.socket

This system is not registered to Red Hat Insights. See https://cloud.redhat.com/
To register this system, run: insights-client --register

Last login: Wed Aug  2 05:10:12 2023 from 192.168.197.152
[root@node1 ~]#

[root@control ~]# ssh node2
Activate the web console with: systemctl enable --now cockpit.socket

This system is not registered to Red Hat Insights. See https://cloud.redhat.com/
To register this system, run: insights-client --register

Last login: Wed Aug  2 05:10:12 2023 from 192.168.197.152
[root@node2 ~]#

 也可以通过ansible的ping模块进行测试

首先在/etcansible/hosts下添加两个主机名称

 测试

[root@control ~]# ansible node1,node2 -m ping -o
node1 | SUCCESS => {"ansible_facts": {"discovered_interpreter_python": "/usr/libexec/platform-python"},"changed": false,"ping": "pong"}
node2 | SUCCESS => {"ansible_facts": {"discovered_interpreter_python": "/usr/libexec/platform-python"},"changed": false,"ping": "pong"}

 

案例二-----免密普通用户提权

描述： 控制主机和受控主机通过普通用户以免密验证远程控制主机实施特权控制操作

 效果展示

没提权之前，是执行不了某些权限的，如需要root权限去添加用户

[redhat@control ~]$ ssh node1 useradd user1
useradd: Permission denied.
useradd: cannot lock /etc/passwd; try again later.

 提权之后：

[redhat@control ~]$ ssh node1  sudo useradd user1
[redhat@control ~]$

解决方案

1.使用普通用户，与案例一   一样，进行发送密钥对和id

keygen

[redhat@control ~]$ ssh-keygen -t rsa
Generating public/private rsa key pair.
Enter file in which to save the key (/home/redhat/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/redhat/.ssh/id_rsa.
Your public key has been saved in /home/redhat/.ssh/id_rsa.pub.
The key fingerprint is:
SHA256:2JMBtnjN6BCC7cUpqkeZqWgKvSm3DyIhcbd8LdUYiIw redhat@control
The key's randomart image is:
+---[RSA 3072]----+
| o.+.oo..        |
|. E.*+.* +       |
|.o.*+ + * .      |
|.o*o = = o       |
|=+  o = S        |
|*oo  . . .       |
|*..o             |
|+.+.             |
| o.o.            |
+----[SHA256]-----+

 copy-id

 

[redhat@control ~]$ ssh-copy-id  -i node1
/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/home/redhat/.ssh/id_rsa.pub"
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
redhat@node1's password:

Number of key(s) added: 1

Now try logging into the machine, with:   "ssh 'node1'"
and check to make sure that only the key(s) you wanted were added.
 

测试

[redhat@control ~]$ ssh node1 hostname
node1 

 测试添加用户

[redhat@control ~]$ ssh node1 useradd user1
useradd: Permission denied.--------》被拒绝，没有权限
useradd: cannot lock /etc/passwd; try again later.

2.在node1用户下的/etc/sudoers/中

修改：

查看修改是否成功

[root@node1 ~]# cat /etc/sudoers | grep wheel
## Allows people in group wheel to run all commands
%wheel  ALL=(ALL)       ALL
%wheel  ALL=(ALL)       NOPASSWD: ALL

 然后给权限

gpasswd 就是将redhat用户添加到whell组中，必须要执行这个，不然是会出错的，redhat用户不能正常使用提权

[root@node1 ~]# gpasswd -a redhat wheel
Adding user redhat to group wheel

 [redhat@control ~]$ ssh node1 sudo useradd user1
useradd: warning: the home directory already exists.
Not copying any file from skel directory into it.
Creating mailbox file: File exists

有警告，但是可用，可能我添加出错了node2可正常使用

 node2机子一样的设置，只需要给%wheel添加一个NOPASSWD，这个%代表组的意思，就是添加在组里面，这个组都可以访问，不需要密码

[redhat@control ~]$ ssh node2  sudo useradd user1
[redhat@control ~]$

 查看：

有用户

 

 

相关知识：

1.gpasswd

gpasswd -a redhat wheel是一个命令，用于将用户"redhat"添加到"wheel"用户组。

"wheel"用户组通常用于授予系统管理员或特权用户执行敏感操作的权限。通过将用户添加到"wheel"组，可以实现对系统的控制和管理。

请注意，执行此命令需要具有root或sudo特权用户身份。您需要在终端或命令提示符下执行该命令，并提供适当的凭据。

 2.ssh-copy-id

ssh-copy-id是一个方便的工具，用于将本地计算机上的公钥复制到远程服务器的授权密钥列表中，以实现无密码的SSH登录。

要使用ssh-copy-id命令，按照以下步骤进行操作：

  1. 打开终端或命令提示符。
  2. 输入以下命令，并将username替换为您在远程服务器上的用户名，以及hostname替换为远程服务器的主机名或IP地址： 
     
    Copy Code
     ssh-copy-id username@hostname 您也可以使用-p选项指定非默认的SSH端口号。例如，如果SSH服务器侦听在2222端口上，则可以使用以下命令： 
     
    Copy Code
     ssh-copy-id -p 2222 username@hostname 
  3. 按回车键后，它会提示您输入远程服务器的密码（一次性）。
  4. 如果密码验证成功，ssh-copy-id会自动将本地计算机上的公钥追加到远程服务器上的~/.ssh/authorized_keys文件中。
  5. 完成后，您可以尝试使用ssh username@hostname命令登录到远程服务器，此时不再需要输入密码。
 
请注意，使用ssh-copy-id之前，确保本地计算机已经生成了SSH密钥对，并且具有可用的公钥。如果没有生成密钥对，请先使用ssh-keygen命令生成密钥对。
 

 

 3.ssh-keygen
 

 
ssh-keygen是一个用于生成SSH密钥对的命令行工具。SSH密钥对由公钥和私钥组成，用于通过SSH协议进行安全的身份验证。
 
要使用ssh-keygen生成SSH密钥对，请按照以下步骤操作：
 
  1. 打开终端或命令提示符。
  2. 输入以下命令： 
     
    Copy Code
     ssh-keygen 
  3. 按回车键以接受默认选项，或根据需要输入自定义选项。 
    • 默认情况下，ssh-keygen将在用户主目录下的.ssh文件夹中生成密钥对。
    • 您可以选择为密钥对指定名称和位置，或为其设置密码（提供额外的安全性）。
  4. 在生成密钥对时，可能会提示您输入密码短语（passphrase）。密码短语是对私钥加密的额外保护层，可以为空。 
    • 如果设置了密码短语，则在使用私钥进行身份验证时，还需要提供该密码短语。
  5. 当生成密钥对完成后，将在指定的位置生成两个文件： 
    • 公钥文件：通常以.pub结尾，包含您的公钥，用于在远程服务器上进行身份验证。
    • 私钥文件：没有特定的文件扩展名，是私人的密钥，必须妥善保管，不要泄露给他人。
 
请记住，私钥是非常敏感的信息，不应该与他人分享或暴露在不安全的环境中。公钥可以自由地在需要进行身份验证的服务器上进行使用和配置。
 












本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.rhkb.cn/news/73695.html


如若内容造成侵权/违法违规/事实不符，请联系长河编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！











相关文章










pytest 自定义HOOK函数








pytest 自定义HOOK函数




除了系统提过的HOOK函数外，也可以通过自定义HOOK的方式实现想要的功能。 
首先创建一个py文件，里面定义自己的HOOK函数，主要pytest里面的hook函数必须以pytest开头。 
#myhook.pydef pytest_myhook(user):"""自定义HOOK函数&q…




阅读更多...

















【JavaEE初阶】Servlet(四) Cookie  Session








【JavaEE初阶】Servlet(四) Cookie  Session




文章目录 1. Cookie && Session1.1 Cookie && Session1.2 Servlet会话管理操作 1. Cookie && Session 
1.1 Cookie && Session 
Cookie是什么? Cookie是浏览器提供的持久化存储数据的机制.Cookie从哪里来? Cookie从服务器返回给浏览器. 服务…




阅读更多...

















中小企业如何做好MES管理系统实施建设








中小企业如何做好MES管理系统实施建设




中小企业在生产制造领域面临着诸多挑战，包括提升产品竞争力、规范生产制造等。为了应对这些挑战，越来越多的中小企业开始实施MES生产管理系统。然而，由于企业规模小、资源实力不足等原因，很多企业在实施MES管理系统时存在一定的困…




阅读更多...

















opencv rtsp 硬件解码








opencv rtsp 硬件解码




讨论使用opencv的reader 
硬件解码的方案有太多种，如果使用ffmpeg硬件解码是最方便的，不方便的是把解码过后的GPU 拉到 CPU 上，再使用opencv的Mat 从cpu 上上载到gpu上，是不是多了两个过程，应该是直接从GPU mat 直接去…




阅读更多...

















腾讯测试大佬分享4个关于 Python 函数（方法）的冷知识








腾讯测试大佬分享4个关于 Python 函数（方法）的冷知识




关于参数标识 
不知道大家在工作中有没有遇到一种情况，你的同事 A 写了一个方法给你调用，然后你调用时不知道该传什么参数，然后这个同事 A 还很 cao dan 的居然不加班！你一脸茫然的看着这个方法，当你尝试传进去一个 ab…




阅读更多...

















使用pg_prewarm缓存PostgreSQL数据库表








使用pg_prewarm缓存PostgreSQL数据库表




pg_prewarm 
pg_prewarm 直接利用系统缓存的代码,对操作系统发出异步prefetch请求，在应用中，尤其在OLAP的情况下，对于大表的分析等等是非常耗费查询的时间的，而即使我们使用select table的方式，这张表也并不可能将所有…




阅读更多...

















后端整理（MySql）








后端整理（MySql）




1 事务 
1.1 事务ACID原则 
原子性（Atomicity） 
事务的原子性指的是事务的操作，要么全部成功，要么全部失败回滚 
一致性（Consistency） 
事务的一致性是指事务必须使数据库从一个一致状态转变成另一个一致性…




阅读更多...

















hugging face下载数据集








hugging face下载数据集




开始直接执行这个，下载下来的图片打不开 git clone https://huggingface.co/datasets/diffusers/dog-example 解决办法： 
安装git lfs 
1. curl -s https://packagecloud.io/install/repositories/github/git-lfs/script.deb.sh | sudo bash
2. sudo apt…




阅读更多...

















会议OA系统会议管理模块开发思路（layui搭建）








会议OA系统会议管理模块开发思路（layui搭建）




目录 一.为什么要进行开发 
1.开发目的 
2.项目流程 
A.发起会议请求过程 
1.首先实现我们的多选下拉框功能！ 
2.时间组件功能，并且提交我们新增加的会议内容 
3.在进行发起会议编码时遇到的问题，BUG 
3.1.有点时候js访问不到路径 
3.2在增加…




阅读更多...

















Ctfshow web入门 JWT篇 web345-web350 详细题解 全








Ctfshow web入门 JWT篇 web345-web350 详细题解 全




CTFshow JWT web345 
先看题目，提示admin。 抓个包看看看。 好吧我不装了，其实我知道是JWT。直接开做。 
在jwt.io转换后，发现不存在第三部分的签证，也就不需要知道密钥。 
全称是JSON Web Token。 通俗地说，JWT的本质…




阅读更多...

















【知网检索】2023年金融，贸易和商业管理国际学术会议（FTBM2023）








【知网检索】2023年金融，贸易和商业管理国际学术会议（FTBM2023）




随着经济全球化，贸易自由化的进程加快，我国经济对外开放程度不断加深，正在加快融入世界经济一体化当中。当今世界各国竞争过程中，金融、贸易以及商业形态已成为其关键与焦点竞争内容。 
2023年金融、贸易和商业管理国际学术会议(F…




阅读更多...

















神经网络简单介绍








神经网络简单介绍




人工神经网络(artififial neural network) 简称神经网络，它是一种模仿生物神经网络结构和功能的非线性数学模型。  神经网络通过输入层接受原始特征信息，再通过隐藏层进行特征信息的加工和提取，最后通过输出层输出结果。 根据需要神经网络可以…




阅读更多...

















【1.1】Java微服务：初识微服务








【1.1】Java微服务：初识微服务




✅作者简介：大家好，我是 Meteors., 向往着更加简洁高效的代码写法与编程方式，持续分享Java技术内容。 🍎个人主页：Meteors.的博客 💞当前专栏： 微服务 ✨特色专栏： 知识分享 &#x…




阅读更多...

















使用Flutter的image_picker插件实现设备的相册的访问和拍照








使用Flutter的image_picker插件实现设备的相册的访问和拍照




文章目录 需求描述Flutter插件image_picker的介绍使用步骤1、添加依赖2、导入 例子完整的代码效果 总结 需求描述 
在应用开发时，我们有很多场景要使用到更换图片的功能，即将原本的图像替换设置成其他的图像，从设备的相册或相机中选择图片或拍…




阅读更多...

















word里的页码问题








word里的页码问题




封面不需要页码怎么办 
一份文档写完，如果需要页码，第一页是封面，封面不需要页码怎么办？ 
解决：打开页眉页脚，然后把首页不同勾选上，这一页就没有页码了。 目录页与正文页码格式不同怎么办 
目录…




阅读更多...

















Istio 安全 授权管理AuthorizationPolicy








Istio 安全 授权管理AuthorizationPolicy




这个和cka考试里面的网络策略是类似的。它是可以实现更加细颗粒度限制的。 
本质其实就是设置谁可以访问，谁不可以访问。默认命名空间是没有AuthorizationPolicy---允许所有的客户端访问。 这里是没有指定应用到谁上面去，有没有指定使用哪些客户端&#…




阅读更多...

















Mybatis引出的一系列问题-Mybatis缓存机制的探究








Mybatis引出的一系列问题-Mybatis缓存机制的探究




Mybatis 使用到了两种缓存：本地缓存（local cache）和二级缓存（second level cache）。 
一级缓存默认是开启的&#xff0c;而且不能关闭&#xff0c;MyBatis的一些关键特性&#xff08;例如通过<association>和<…




阅读更多...

















Nginx学习教程（基础篇）








Nginx学习教程（基础篇）




目录 
一、Nginx安装 
二、Nginx基本使用 
2.1、目录结构 
conf  
html 
logs 
sbin 
2.2、基本运行原理 
2.3、nginx.conf最小配置解析 
worker_processes 
worker_connections 
include mime.types 
default_type  application/octet-stream 
sendfile on 
keepalive_timeout…




阅读更多...

















eBay逆变器UL458检测报告








eBay逆变器UL458检测报告




逆变器是把直流电能&#xff08;电池、蓄电瓶&#xff09;转变成交流电&#xff08;一般为220V,50Hz正弦波&#xff09;。它由逆变桥、控制逻辑和滤波电路组成。逆变器是一种DC to AC的变压器&#xff0c;它其实与转化器是一种电压逆变的过程。广泛适用于办公设备&#xff0c;生…




阅读更多...

















【MYSQL】DataGrip连接linux本地mysql失败：Connection refused








【MYSQL】DataGrip连接linux本地mysql失败：Connection refused




防火墙需要开放3306端口 
sudo ufw allow 3306 要么就把防火墙关了&#xff1a; 
sudo ufw disablemysql开放连接  记住你的密码  
ALTER USER rootlocalhost IDENTIFIED WITH mysql_native_password by 123456;修改配置文件 
sudo vim /etc/mysql/mysql.conf.d/mysqld.cnf这个…




阅读更多...


















最新文章












推荐文章


















Copyright @ 2022~2023