如何在 Ansible 中禁用主机密钥检查

简介

Ansible 是一个强大的 IT 自动化工具，可简化基础设施管理和部署。但是，在与远程主机协作时，Ansible 的默认主机密钥检查有时会带来挑战。本教程将指导你完成在 Ansible 中禁用主机密钥检查的过程，确保实现流畅高效的自动化体验。

理解主机密钥检查

主机密钥检查是 Ansible 中的一项安全功能，有助于验证你正在连接的远程主机的身份。当你首次连接到远程主机时，Ansible 会将主机的公钥存储在 known_hosts 文件中。在后续连接时，Ansible 会将主机的公钥与存储在 known_hosts 文件中的公钥进行比较，以确保远程主机与你之前连接的主机相同。

此过程有助于防止中间人攻击，即攻击者可能拦截你的连接并冒充远程主机。通过验证主机的身份，Ansible 可以确保你正在与正确的远程主机进行通信。

但是，在某些情况下，你可能希望禁用主机密钥检查，例如，在处理临时或动态配置的主机时，或者在测试你的 Ansible 剧本时。禁用主机密钥检查可以使连接过程更快、更方便，但也会增加中间人攻击的风险。

graph LR
  A[客户端] -- 连接 --> B[远程主机]
  B -- 公钥 --> A
  A -- 验证公钥 --> C[已知主机文件]

禁用主机密钥检查

要在 Ansible 中禁用主机密钥检查，你可以使用以下方法：

环境变量

你可以将 ANSIBLE_HOST_KEY_CHECKING 环境变量设置为 False，以全局禁用主机密钥检查：

export ANSIBLE_HOST_KEY_CHECKING=False
ansible-playbook my_playbook.yml

Ansible 配置文件

你也可以通过在 Ansible 配置文件（/etc/ansible/ansible.cfg 或 ~/.ansible.cfg）中设置 host_key_checking 选项来禁用主机密钥检查：

[defaults]
host_key_checking = False

Ansible 命令行选项

或者，你可以使用 --ask-vault-pass 或 -k 选项为特定的 Ansible 命令禁用主机密钥检查：

ansible-playbook my_playbook.yml --ask-vault-pass -k

这将提示你输入保险库密码，并为当前命令禁用主机密钥检查。

graph LR
  A[Ansible] -- 设置环境变量 --> B[ANSIBLE_HOST_KEY_CHECKING=False]
  A -- 设置配置文件 --> C[ansible.cfg]
  A -- 使用命令行选项 --> D[--ask-vault-pass/-k]

通过禁用主机密钥检查，你可以简化连接过程，并更轻松地处理动态或临时主机。但是，需要注意的是，这也会增加中间人攻击的风险，因此建议仅在非生产环境中或当你确信远程主机可信任时才禁用主机密钥检查。

配置主机密钥检查

如果你希望保持主机密钥检查功能启用，可以根据自身需求对其进行配置。以下是一些选项：

手动接受主机密钥

当你首次连接到远程主机时，Ansible 会提示你接受主机的公钥。你可以在提示时输入“yes”来手动接受密钥：

主机 'example.com (192.168.1.100)' 的真实性无法确定。
ECDSA 密钥指纹是 SHA256:abcd1234efgh5678。
你确定要继续连接吗？(是/否)：是

这会将主机的公钥添加到 known_hosts 文件中，Ansible 将在后续连接时使用它来验证主机的身份。

自动接受主机密钥

或者，你可以通过在 Ansible 配置文件中设置 host_key_auto_add 选项，来配置 Ansible 自动接受主机密钥：

[defaults]
host_key_auto_add = True

这将自动把新的主机密钥添加到 known_hosts 文件中，而不会提示你。

指定自定义的 known_hosts 文件

默认情况下，Ansible 使用 ~/.ssh/known_hosts 文件来存储主机密钥。不过，你可以通过设置 ANSIBLE_SSH_ARGS 环境变量来指定自定义的 known_hosts 文件：

export ANSIBLE_SSH_ARGS="-o UserKnownHostsFile=/path/to/custom/known_hosts"
ansible-playbook my_playbook.yml

如果你想为不同的环境或项目维护单独的 known_hosts 文件，这会很有用。

graph LR
  A[Ansible] -- 提示手动接受 --> B[known_hosts 文件]
  A -- 自动接受 --> C[known_hosts 文件]
  A -- 指定自定义文件 --> D[/path/to/custom/known_hosts]

通过配置主机密钥检查，你可以在安全性和便利性之间取得平衡，确保你的 Ansible 连接安全，同时仍能实现高效的工作流程。

总结

通过在 Ansible 中禁用主机密钥检查，你可以简化自动化工作流程，减少阻碍，并提高基础设施管理的整体效率。本教程全面概述了该过程，涵盖了对主机密钥检查的理解、禁用它的步骤以及可用的配置选项。有了这些见解，你现在可以自信地实施此技术并增强由 Ansible 驱动的自动化能力。