Распределите ssh открытые ключи среди хостов

Я считаю, что в вашем случае должно работать следующее решение. Я использовал его для аналогичного сценария с центральным сервером резервного копирования и несколькими клиентами резервного копирования.

У меня есть роль (скажем, « db_replication_master »), связанная с сервером, получающим соединения:

    - role: db_replication_master
      db_slaves: ['someserver', 'someotherserver']
      db_slave_user: 'someuser' # in case you have different users
      db_master_user: 'someotheruser'
      extra_pubkeys: ['files/id_rsa.pub'] # other keys that need access to master

Затем мы создаем актуальные задачи в роли db_replication_master :

    - name: create remote accounts ssh keys
      user:
        name: "{{ db_slave_user }}"
        generate_ssh_key: yes
      delegate_to: "{{ item }}"
      with_items: db_slaves

    - name: fetch pubkeys from remote users
      fetch:
        dest: "tmp/db_replication_role/{{ item }}.pub"
        src: "~{{db_slave_user}}/.ssh/id_rsa.pub"
        flat: yes
      delegate_to: "{{ item }}"
      with_items: db_slaves
      register: remote_pubkeys
      changed_when: false # we remove them in "remove temp local pubkey copies" below

    - name: add pubkeys to master server
      authorized_key:
        user: "{{ db_master_user }}"
        key: "{{ lookup('file', item) }}"
      with_flattened:
        - extra_pubkeys
        - "{{ remote_pubkeys.results | default({}) | map(attribute='dest') | list }}"

    - name: remove temp local pubkey copies
      local_action: file dest="tmp/db_replication_role" state=absent
      changed_when: false

Итак, мы в основном:

• динамически создаем ssh-ключи на тех подчиненных устройствах, у которых их еще нет
• , затем мы мы используем delegate_to для запуска модуля fetch на ведомых устройствах и получения их ключей ssh ​​pubkeys на хост, на котором запущен ansible, также сохраняя результат этой операции в переменной, чтобы мы могли получить доступ к фактический список извлеченных файлов
• после этого мы приступаем к обычной отправке извлеченных ключей ssh ​​pubkeys (плюс любые предоставленные дополнительные pubkeys) на главный узел с помощью модуля authorized_keys (мы используем пару фильтров jinja2, чтобы копать вне пути к файлам из переменной в приведенной выше задаче)
• наконец, мы удаляем файлы pubkey локально cac hed на хосте, на котором работает ansible

Ограничение наличия одного и того же пользователя на всех хостах, вероятно, можно обойти, но из того, что я получил из вашего вопроса, это, вероятно, не проблема для вас (это немного более актуально для моего сценария резервного копирования ). Конечно, вы также можете сделать настраиваемым тип ключа (rsa, dsa, ecdsa и т. Д.).

Обновление : ой, я изначально использовал терминологию, специфичную для моей проблемы, а не вашей ! Теперь должно быть больше смысла.

У меня такая же проблема, и я решил ее следующим образом:

---
# Gather the SSH of all hosts and add them to every host in the inventory
# to allow passwordless SSH between them
- hosts: all
  tasks:
  - name: Generate SSH keys
    shell: ssh-keygen -q -t rsa -f /root/.ssh/id_rsa -N ''
    args:
      creates: /root/.ssh/id_rsa

  - name: Allow passwordless SSH between all hosts
    shell: /bin/cat /root/.ssh/id_rsa.pub
    register: ssh_keys

  - name: Allow passwordless SSH between all hosts
    lineinfile:
      dest: /root/.ssh/authorized_keys
      state: present
      line:  " {{ hostvars[item]['ssh_keys']['stdout'] }}"
    with_items: "{{ groups['all']}}"