Ansible：检查文件是否只包含给定的行，不再包含

Question

通过使用 Ansible，我尝试确保我们服务器的 .ssh/authorized_keys 文件仅包含一组给定的 ssh 密钥。不管安排。

1. 如果缺少，请添加（没问题，lineinfile）
2. 如果其他人偷偷输入了额外的密钥（不在“with_items”列表中），请将其删除并返回一些警告或其他内容。嗯...“更改”也可以接受，但最好以某种方式区分“缺失”和“潜入”行。

第一部分很简单：

- name: Ensure ssh authorized_keys contains the right users
  lineinfile:
    path: /root/.ssh/authorized_keys
    owner: root
    group: root
    mode: 0600
    state: present
    line: '{{ item }}'

  with_items:
    - ssh-rsa AABBCC112233... root@someserver.com
    - ssh-rsa DDEEFF112233... user@anothersomeserver.com

但第二部分看起来更棘手。至少要使用简短而优雅的代码来完成它。

有什么想法吗？

Answer 1

有authorized_key_module 和exclusive 选项。
但请注意exclusive 不适用于with_items。

使用这样的东西：

- name: Ensure ssh authorized_keys contains the right users
  authorized_key:
    user: root
    state: present
    exclusive: yes
    key: '{{ ssh_keys | join("\n") }}'
  vars:
    ssh_keys:
      - ssh-rsa AABBCC112233... root@someserver.com
      - ssh-rsa DDEEFF112233... user@anothersomeserver.com         

使用前测试！

如果您在文件中有密钥，您会发现this 回答很有用。