私は、環境全体で sudoers ファイルを管理するために使用する Ansible プレイブックを持っています。最小限の sudoers ファイルを /etc/sudoers に保持し、追加したいものはすべて /etc/sudoers.d の下の個別のファイルに格納するようにしています。
私の Ansible プレイブックには、これらのファイルをプッシュするための次のタスクが含まれています。
- name: copy sudoers files
copy:
src: "{{ item }}"
dest: "/etc/sudoers.d/{{ item }}"
backup: yes
owner: root
group: root
mode: 0440
validate: /usr/sbin/visudo -cf %s
with_items:
- admins
- apache
- monitor
タスクには、ファイルをコミットする前にファイルが有効であることを確認するための検証句が含まれており、これは通常うまく機能しています。しかし、今日、更新によって sudo が壊れるという問題が発生しました。ファイルは検証手順に合格しましたが、メインの /etc/sudoers ファイルの User_Alias と同じ名前の User_Alias が含まれていました。その後 sudo を実行しようとすると、解析エラーが発生しました。
私の質問は、このようなエラーをキャッチできる Ansible から sudoers ファイルへの更新をテストするにはどうすればよいかということです。ファイルが配置されると、 を実行してエラーをキャッチできますvisudo -c
が、これを検証手順として配置しても機能しません。Ansible には%s
プレースホルダーが必要ですが、プレースホルダーがない場合でも、ファイルをコピーする前に検証が行われるため、visudo -c
エラーはキャッチされません。
答え1
これを試しましたか:
- copy:
src: '{{ item }}'
dest: '/etc/sudoers.d/{{ item }}'
owner: root
group: root
mode: 0440
validate: 'bash -c "cat /etc/sudoers %s | visudo -cf-"'
わたしにはできる。
答え2
うまくいきました。私がやったことは次のとおりです。まず、Ansible タスクのセットを追加して、/etc/sudoers.stage.d にステージング ディレクトリを作成し、/etc/sudoers.d の内容をそこにコピーします。次に、このステージング領域にファイルをアップロードし、変更があった場合は、カスタム スクリプトを実行してファイルをアクティブ化します。
プレイブックのロジックは現在このようになっています
- name: delete staging area
file:
path: "/etc/sudoers.stage.d"
state: absent
changed_when: false
- name: copy /etc/sudoers.d to staging area
shell: "cp -rp /etc/sudoers.d /etc/sudoers.stage.d"
changed_when: false
- name: stage sudoers files
copy:
src: "{{item}}"
dest: "/etc/sudoers.stage.d/{{item}}"
backup: yes
owner: root
group: root
mode: 0440
validate: /usr/sbin/visudo -cf %s
with_items:
- admins
- apache
- monitor
register: sudoers_d
- block:
- name: push out activate script
copy:
src: activate_sudoers.sh
dest: /usr/local/bin/activate_sudoers.sh
owner: root
group: root
mode: 0700
- name: activate change
shell: /bin/sh /usr/local/bin/activate_sudoers.sh /etc/sudoers.stage.d
when: sudoers_d.changed
activate_sudoers.sh スクリプトは次のようになります。
#!/bin/sh
function usage {
echo "Usage: $0 <stage directory>" >&2
exit 1
}
function abort {
echo "*** Error detected" >&2
[ "$#" -gt 0 ] && echo "***" $@ >&2
exit 1
}
PATH=/usr/bin:/bin:/usr/sbin:/sbin
export PATH
test $# -eq 1 || usage
test -d "$1" || abort "Stage directory $1: missing or not a directory"
test -d /etc/sudoers.old.d && rm -rf /etc/sudoers.old.d
test -d /etc/sudoers.old.d && abort "Failed to remove /etc/sudoers.old.d"
mv /etc/sudoers.d /etc/sudoers.old.d \
&& mv "$1" /etc/sudoers.d \
&& visudo -c
if [ $? -eq 0 ]; then
# Success - clean up
rm -rf /etc/sudoers.old.d
exit 0
else
# Failure - roll back
rm -rf /etc/sudoers.d
mv /etc/sudoers.old.d /etc/sudoers.d
abort "sudoers update failed"
fi
思っていたよりも少し長くて複雑ですが、目的は達成できました。同じ問題に遭遇した他の人にとって、これが役立つことを願っています。
答え3
Ansible モジュールのみで同じことを実行します。
- name: Creating assemble directory
file:
path: /etc/sudoers.stage.d
state: directory
mode: 0600
- name: Applying sudoers.d files on assemble directory
template:
src: "{{ item }}.j2"
dest: /etc/sudoers.stage.d/{{ item }}
mode: 0400
loop:
- 10-wheel
- 20-sys
register: check
- name: Copying original sudoers to the assemble directory
copy:
remote_src: yes
src: /etc/sudoers
dest: /etc/sudoers.stage.d/99-sudoers
when: check.changed
- name: Removing include line from 99-sudoers
lineinfile:
path: /etc/sudoers.stage.d/99-sudoers
state: absent
regex: ^#includedir /etc/sudoers.d
when: check.changed
- name: Assembling unique config for validation
assemble:
src: /etc/sudoers.stage.d
dest: /etc/sudoers.stage
mode: 0600
validate: visudo -cf %s
when: check.changed
- name: Applying sudoers configurations
template:
src: "{{ item }}.j2"
dest: /etc/sudoers.d/{{ item }}
mode: 0440
loop:
- 10-wheel
- 20-sys
when: check.changed