Spécifier le mot de passe sudo pour Ansible

Vous pouvez passer de la variable sur la ligne de commande via --extra-vars "name=value". Sudo variable mot de passe est ansible_sudo_pass. Si votre commande devrait ressembler à:

ansible-playbook playbook.yml -i inventory.ini --user=username \
                              --extra-vars "ansible_sudo_pass=yourPassword"

Mise à jour en 2017: Ansible 2.2.1.0 utilise maintenant var ansible_become_pass. Soit semble fonctionner.

Probablement la meilleure façon de le faire - en supposant que vous ne pouvez pas utiliser la NOPASSWD solution fournie par scottod est d'utiliser Mircea Vutcovici de la solution en combinaison avec Ansible voûte.

Par exemple, vous pourriez avoir un playbook quelque chose comme ceci:

- hosts: all

  vars_files:
    - secret

  tasks:
    - name: Do something as sudo
      service: name=nginx state=restarted
      sudo: yes

Nous sommes ici, y compris un fichier appelé secret qui contiendra notre sudo mot de passe.

Nous allons utiliser ansible-coffre-fort pour créer une version chiffrée de ce fichier:

ansible-vault create secret

Cela va vous demander un mot de passe, puis ouvrez votre éditeur par défaut pour modifier le fichier. Vous pouvez mettre votre ansible_sudo_pass ici.

par exemple: secret:

ansible_sudo_pass: mysudopassword

Enregistrer et quitter, vous avez maintenant une chiffré secret fichier qui Ansible est capable de déchiffrer lorsque vous exécutez votre playbook. Remarque: vous pouvez modifier le fichier avec ansible-vault edit secret (et entrez le mot de passe que vous avez utilisé lors de la création du fichier)

La dernière pièce du puzzle est de fournir de l'Ansible avec un --vault-password-file qui sera utilisé pour décrypter votre secret fichier.

Créer un fichier appelé vault.txt et que mettre le mot de passe que vous avez utilisé lors de la création de votre secret fichier. Le mot de passe doit être une chaîne de caractères stockée sur une seule ligne dans le fichier.

De l'Ansible Docs:

.. s'assurer des autorisations sur le fichier sont telles que personne d'autre ne peut accéder à votre clé et ne pas ajouter de la clé de contrôle à la source

Enfin: vous pouvez maintenant exécuter votre playbook avec quelque chose comme

ansible-playbook playbook.yml -u someuser -i hosts --sudo --vault-password-file=vault.txt 

Le dessus est en supposant que le répertoire suivant la mise en page:

.
|_ playbook.yml
|_ secret
|_ hosts
|_ vault.txt

Vous pouvez en savoir plus sur Ansible Voûte ici: https://docs.ansible.com/playbooks_vault.html

Je ne pense pas que ansible vous permet de spécifier un mot de passe dans les drapeaux comme vous le souhaitez.
Il y a peut-être quelque part dans les configs cela peut être réglé, mais cela ferait l'aide d'ansible moins en sécurité globale et ne serait pas être recommandé.

Une chose que vous pouvez faire est de créer un utilisateur sur la machine cible et de leur accorder des privilèges sudo sans mot de passe, soit toutes les commandes ou une liste restreinte de commandes.

Si vous exécutez sudo visudo et entrez une ligne comme ci-dessous, l'utilisateur 'privilegedUser' ne devraient pas avoir à entrer un mot de passe lors de l'exécution de quelque chose comme sudo service xxxx start:

%privilegedUser ALL= NOPASSWD: /usr/bin/service

Vous pouvez définir le mot de passe pour un groupe ou pour tous les serveurs à la fois:

[all:vars]
ansible_sudo_pass=default_sudo_password_for_all_hosts

[group1:vars]
ansible_sudo_pass=default_sudo_password_for_group1

Un plus avisés façon de le faire est de stocker vos sudo mot de passe dans un coffre-fort sécurisé comme LastPass ou KeePass et puis la passer à ansible-playbook à l'aide de la -e@ mais au lieu de coder en dur le contenu dans un fichier existant, vous pouvez utiliser la construction -e@<(...) pour exécuter une commande dans un sous-shell, et de rediriger sa sortie (STDOUT) à un anonyme du descripteur de fichier, effectivement nourrir le mot de passe pour le -e@<(..).

Exemple

$ ansible-playbook -i /tmp/hosts pb.yml \
   -e@<(echo "ansible_sudo_pass: $(lpass show folder1/item1 --password)")

Le dessus est en train de faire plusieurs choses, nous allons le décomposer.

• ansible-playbook -i /tmp/hosts pb.yml - de toute évidence, l'exécution d'un playbook par ansible-playbook
• $(lpass show folder1/item1 --password)" - exécute le LastPass CLI lpass et récupère le mot de passe à utiliser
• echo "ansible_sudo_pass: ...password..." - prend la chaîne "ansible_sudo_pass:" et il se combine avec le mot de passe fourni par lpass
• -e@<(..) - met ci-dessus ensemble, et relie le shell interne est exécuté de <(...) comme un descripteur de fichier pour ansible-playbook à consommer.

D'autres améliorations

Si vous préférez ne pas le type que chaque fois que vous pouvez tout simplement les choses comme si. D'abord créer un alias dans votre .bashrc comme suit:

$ cat ~/.bashrc
alias asp='echo "ansible_sudo_pass: $(lpass show folder1/item1 --password)"'

Vous pouvez maintenant exécuter votre playbook comme ceci:

$ ansible-playbook -i /tmp/hosts pb.yml -e@<(asp)

Références

• https://docs.ansible.com/ansible/2.4/ansible-playbook.html#cmdoption-ansible-playbook-e

vous pouvez écrire sudo mot de passe pour votre playbook dans le fichier hosts comme ceci:

[host-group-name]
host-name:port ansible_sudo_pass='*your-sudo-password*'

Vous pouvez utiliser sshpass utilitaire comme ci-dessous,

$ sshpass -p "your pass" ansible pattern -m module -a args \
   -i inventory --ask-sudo-pass

Il suffit d'appeler votre playbook avec --extra-vars "become_pass=Password"

become_pass=('ansible_become_password', 'ansible_become_pass')

Mon hack pour automatiser cela a été d'utiliser une variable d'environnement et d'y accéder via --extra-vars="ansible_become_pass='{{ lookup('env', 'ANSIBLE_BECOME_PASS') }}'".

De l'exportation d'un env var, mais éviter bash/shell histoire (faire précéder par un espace, ou d'autres méthodes). E. g.:

     export ANSIBLE_BECOME_PASS='<your password>'

La recherche de l'env var en passant par les extra ansible_become_pass variable dans le ansible-playbook, E. g.:

ansible-playbook playbook.yml -i inventories/dev/hosts.yml -u user --extra-vars="ansible_become_pass='{{ lookup('env', 'ANSIBLE_BECOME_PASS') }}'"

Bonne alternative réponses:

• @toast38coza: utilisez simplement une voûte valeur de ansible_become_pass. Ce est décent. Toutefois, pour les paranoïaques équipes qui ont besoin de partager ansible voûte des mots de passe, et de les exécuter ansible joue avec induvidual des comptes, ils coudld utilisation partagée de la voûte mot de passe à l'inverse les uns des autres système d'exploitation mot de passe (le vol d'identité). Sans doute, vous devez faire confiance à votre propre équipe?
• @slm est bash shell interne est exécuté dans la production de temp descripteur de fichier et à l'aide de l'option @ préfixe pour lire l'ansible de la variable dans le fichier desriptor. Évite bash histoire au moins. Pas sûr, mais j'espère que shell interne est exécuté écho de ne pas se faire attraper et exposés dans l'enregistrement d'audit (par exemple, auditd).

Très simple, et d'en ajouter dans le fichier de variable:

Exemple:

$ vim group_vars/all

Et ajouter ceux-ci:

Ansible_connection: ssh
Ansible_ssh_user: rafael
Ansible_ssh_pass: password123
Ansible_become_pass: password123

Après cinq ans, je vois que c'est encore un thème très actuel. Un peu de mise en miroir de leucos réponse que je trouve le mieux dans mon cas, à l'aide ansible outils uniquement (sans authentification centralisée, des jetons ou quoi que ce soit). Cela suppose que vous avez le même nom et la même clé publique sur tous les serveurs. Si vous n'avez pas, bien sûr, vous aurez besoin pour être plus précis et ajouter les variables correspondantes à côté des hôtes:

[all:vars]
ansible_ssh_user=ansible
ansible_ssh_private_key_file=home/user/.ssh/mykey
[group]
192.168.0.50 ansible_sudo_pass='{{ myserver_sudo }}'

ansible-vault create mypasswd.yml
ansible-vault edit mypasswd.yml

Ajouter:

myserver_sudo: mysecretpassword

Alors:

ansible-playbook -i inv.ini my_role.yml --ask-vault --extra-vars '@passwd.yml'

Au moins de cette façon vous n'avez pas à écrire de plus les variables qui pointent vers les mots de passe.

Cela a fonctionné pour moi...
Créé le fichier /etc/sudoers.d/90-init-les utilisateurs de fichiers avec NOPASSWD

echo "user ALL=(ALL)       NOPASSWD:ALL" > 90-init-users

où "utilisateur" est votre nom d'utilisateur.