RHCE-B14. 基于Ansible密码库创建用户帐户
红帽RHCE考试下午-RHCE（RH294）
RH294任务概览
- 考试时间4个小时，6台虚拟机，15道题
- 原来通过脚本或者集群做的题现在都需要使用playbook实现
- 考试时大概有6台虚拟服务器，都已经做好了互相的免密
- 做题在ansible控制节点workstation做，但是需要去其他虚拟服务器进行验证
- 考试时需要将6台虚拟服务器在考试环境全部开启，物理机界面点击左侧按钮启动
- 考试时Ansible所有playbook都放在普通用户目录中且都以普通用户执行
- 注意：考试时一定注意要求将playbook放在指定用户的家目录中，用指定的用户登录做题！
- 注意：考试的判分方式通过普通用户远程执行指定目录下的playbook或者脚本，如果使用root做题，则没有权限就是零分
14. 基于Ansible密码库创建用户帐户
- 从 http://172.25.250.250/ansible2.8/user_list.yml 下载要创建的用户的列表，并将它保存到/home/student/ansible
- 在本次考试中使用在其他位置创建的密码库 /home/student/ansible/locker.yml，
- 创建名为/home/student/ansible/users.yml 的 playbook，
- 从而按以下所述创建用户帐户：
任务要求
- 职位描述为 developer 的用户应当：
- 在 dev 和 test 主机组中的受管节点上创建
- 从 pw_developer 变量分配密码
- 是附加组 student 的成员
- 新增要求设置密码有效期为30天
- 职位描述为 manager 的用户应当：
- 在 prod 主机组中的受管节点上创建
- 从 pw_manager 变量分配密码
- 是附加组 devops 的成员
- 新增要求设置密码有效期为30天
- 密码应采用 SHA512 哈希格式。
- 您的 playbook 应能够在本次考试中使用在其他位置创建的库密码文件/home/student/ansible/secret.txt 正常运行
注意：
准备个工作
- 考试期间不需要做
设置密码有效期30天的参数跟ansible版本呢有关系
使用shell模块运行chage -M 30来修改用户密码的有效期吧
如果是设定用户的有效期，使用参数expires：指定用户的的过期时间,看清楚题中的要求
完成步骤
- 下载并查看文件
- 先从服务器上下载并查看用户yml
[student@workstationansible]$ wget http://172.25.250.250/ansible2.8//usr_list.yml
[student@workstationansible]$cat user_list.yml
users:
- name: bob
job: developer
- name: sally
job: manager
- name: fred
job: developer
- 分两个任务创建组
2.1 根据要求创建developer组用户和manager组用户
2.1.1 先按题中要求确定在那个主机组执行
2.1.2 再定义变量，指定密码文件和用户列表
2.1.3 写创建用户的任务tasks，包含三个子任务：创建组、创建用户、使用shell命令修改密码有效期
2.1.4 先使用group模块创建用户组，状态为present
2.1.5 再写个循环使用user模块创建用户，用when判断题中要求的分组job注释，用loop循环users变量列表，用password设定密码来自变量,同时用password_hash指定哈希算法为sha512
2.1.6 最后使用一个shell模块执行chage -M命令来修改用户密码有效期
- 根据要求编写创建对应playbook
[student@workstation ansible]$ vim users.yml
---
- name: Create developer user
hosts: dev,test
vars_files:
- locker.yml ## 密码来自于上一个任务加密的文件
- user_list.yml ## 用户来自于下载的文件
tasks:
- name: Ensure group "student" exists
group:
name: student ## 考试时候要求是什么组就创建什么组
state: present
- name: Create user in developer
user:
name: "{{ item.name }}" ## 从user_list.yml里取name的值作为用户名
groups: student ## 指定题目中要求的组组
password: "{{ pw_developer | password_hash('sha512') }}" ## 从locker.yml密码文件中取pw_developer后面的内容作为密码，并指定密码应采用 SHA512 哈希格式
loop: "{{ users }}" ## 用loop调用user_list.yml中的uesrs变量，就是头上那个变量名，user是个列表
when: item.job == "developer" ## 判断job是不是题中要求的分类,另一种写法 "'developer' in item.job"
## 下面这个对应新加的修改用户密码有效期为30的内容
- name:
shell: chage -M 30 "{{ item.name}}"
loop: "{{ users }}"
when: item.job == "developer"
## 写一半先测试一下，成功了再复制一些做下一半
- name: Create manager user
hosts: prod
vars_files:
- locker.yml ## 密码来自于上一个任务加密的文件
- user_list.yml ## 用户来自于下载的文件
tasks:
- name: Ensure group "opsmgr" exists
group:
name: opsmgr
state: present
- name: Create user in manager
user:
name: "{{ item.name }}"
groups: opsmgr
password: "{{ pw_manager | password_hash('sha512') }}"
loop: "{{ users }}"
when: item.job == "manager" ## 另一种写法 "'manager' in item.job"
## 下面这个对应新加的修改用户密码有效期为30的内容
- name:
shell: chage -M 30 "{{ item.name}}"
loop: "{{ users }}"
when: item.job == "manager"
[student@workstation ansible]$ ansible-playbook --vault-id secret.txt users.yml ## 运行的时候要使用--vault-id 指定加密的文件
- 使用chage -l bob 查看新创建的用户的密码有效期，默认是99999
- 直接使用命令 chage -M 30 bob 就可以更改用户密码的有效期了
- 如果user模块没有更改用户密码有效期的选项，就需要另外想办法了
- 在写好的playbook里写个shell命令，把用户的密码给改了好不好呢？
- name:
shell: chage -M 30 "{{ item.name}}"
loop: "{{ users }}"
when: item.job == "manager"
考察的知识点
Playbook中使用变量
- 在独立的变量YAML文件中定义变量，并在playbook中通过文件的方式进行调用外部变量
- 在另一个playbook文件中引用变量文件中的变量，比playbook中定义的变量优先级高
- hosts: all
vars_files:
- vars.yml
vim vars.yml
---
# variables file
package_name: mariadb-server
service_name: mariadb
vim var5.yml
---
#install package and start service
- hosts: dbsrvs
remote_user: root
vars_files:
- vars.yml
tasks:
- name: install package
yum: name={{ package_name }}
tags: install
- name: start service
service: name={{ service_name }} state=started enabled=yes
- 变量的优先级从高到低如下
-e 选项定义变量 -->
playbook中vars_files -->
playbook中vars变量定义 -->
host_vars/主机名文件 -->
主机清单中主机变量-->
group_vars/主机组名文件-->
group_vars/all文件-->
主机清单组变量
ansible group模块
- group 模块可以帮助我们管理远程主机上的组。
name 必须参数，用于指定要操作的组名称。
state 用于指定组的状态，
两个值可选，present，absent，
默认为 present，设置为absent 表示删除组。
gid 用于指定组的gid。
#创建组
ansible websrvs -m group -a 'name=nginx gid=88 system=yes'
---
- name: creat group
hosts: websrvs
tasks:
group
name: nginx
gid: 88
system: yes
#删除组
ansible websrvs -m group -a 'name=nginx state=absent'
---
- name: del group
hosts: websrvs
tasks:
group
name: nginx
state: absent
ansible user模块
- user 模块可以帮助我们管理远程主机上的用户，比如创建用户、修改用户、删除用户、为用户创建密钥对等操作。
user：指定要操作的用户名称
uid：指定用户的uid
comment：指定用户的注释信息
expires：指定用户的的过期时间，相当于设置/etc/shadow文件中的第8列
shell：指定用户的默认shell
group：指定用户的基本组
groups：指定用户的附加组，新加时会覆盖原有的附加组，默认append=no
append：配合groups使用，在原有附加组的基础上追加组，append=yes
state present|absent：默认present，表示添加用户或需要用户存在；absent表示删除用户
remove：删除用户时，默认是不删除家目录，remove=no；remove=yes表示删除用户家目录
password：指定用户的密码，需要是加密后的字符串，相当于/etc/shadow文件中的第2列
update_password always|on_create：默认always
generate_ssh_key no|yes：默认为no；yes表示生成ssh密钥对，在用户家目录.ssh/目录中生成id_rsa的私钥和id_rsa.pub的公钥；若已存在同名的密钥，不会覆盖
ssh_key_file：前提是generate_ssh_key=yes，使用此参数生成ssh私钥的路径和名称，对应公钥会在同路径下生成，后缀名".pub"
ssh_key_comment：前提是generate_ssh_key=yes，使用此参数定义公钥中的注释信息，若已存在同名的密钥，不会覆盖；不指定时默认注释信息为"ansible-generated on 远程主机的主机名"
ssh_key_passphrase：前提是generate_ssh_key=yes，使用此参数设置私钥的密码，若已存在同名的密钥，不会覆盖
ssh_key_type：前提是generate_ssh_key=yes，使用此参数设置密钥对的类型，默认为rsa，若已存在同名的密钥，不会覆盖
使用哈希算法加密密码
- 要获取sha512密码哈希（随机盐）：
{{ 'passwordsaresecret' | password_hash('sha512') }} - 要获取具有特定salt的sha256密码哈希，请执行以下操作：
{{ 'secretpassword' | password_hash('sha256', 'mysecretsalt') }} - 每个系统生成唯一散列的幂等方法是使用两次运行之间一致的salt：
{{ 'secretpassword' | password_hash('sha512', 65534 | random(seed=inventory_hostname) | string) }}