Puppet을 사용하여 명시 적으로 허용되지 않은 SSH 키 제거

꼭두각시를 사용하여 SSH 키를 배포합니다.

ssh_authorized_key { "alice@foo.com":
   ensure => present,
   key => 'xxxx',
   type => 'ssh-rsa',
   user => 'deploy',
}

~ / .ssh / authorized_keys 파일에는 여러 클래스의 키가 혼합되어있어 원하는 결과가 나옵니다. 그러나 키가 $ HOME / .ssh / authorized_keys에 수동으로 추가되면 Puppet은 그대로 둡니다. 매니페스트에 명시 적으로 정의되지 않은 키를 항상 제거하는 방법이 있습니까?

꼭두각시 버전 2.7.1이 있습니다.

Puppet 3.6부터는 유형을 통해 관리되지 않는 SSH 인증 키 를 제거 할 수 있습니다 user. 예를 들어

user { 'nick':
  ensure         => present,
  purge_ssh_keys => true,
}

ssh_authorized_key리소스 를 사용하는 대신 authorized_keys단일 사용자의 모든 SSH 키 목록을 가져 오는 리소스 를 정의하기로 결정했습니다 . 정의는 다음과 같습니다.

define authorized_keys ($sshkeys, $ensure = "present", $home = '') {
    # This line allows default homedir based on $title variable.
    # If $home is empty, the default is used.
    $homedir = $home ? {'' => "/home/${title}", default => $home}
    file {
        "${homedir}/.ssh":
            ensure  => "directory",
            owner   => $title,
            group   => $title,
            mode    => 700,
            require => User[$title];
        "${homedir}/.ssh/authorized_keys":
            ensure  => $ensure,
            owner   => $ensure ? {'present' => $title, default => undef },
            group   => $ensure ? {'present' => $title, default => undef },
            mode    => 600,
            require => File["${homedir}/.ssh"],
            content => template("authorized_keys.erb");
    }
}

$ssh_keys매개 변수는 필요한 모든 키를 목록으로 사용합니다. authorized_keys.erb템플릿은 다음과 같습니다 :

# NOTICE: This file is autogenerated by Puppet and should not be modified
<% sshkeys.each do |key| -%>
<%= key %>
<% end -%>

용법

user {'mikko':
    ...
}
authorized_keys {'mikko':
    sshkeys => [
        'ssh-rsa XXXXXXYYYYYYYYYZZZZZZZZZ mikko@domain.tld',
        'ssh-rsa XXXXXXZZZZZZZZZHHHHHHHHH mikko@other-host.tld',
    ],
}

Puppet의 +>연산자 덕분에 조건부로 (예를 들어 다른 클래스에서) SSH 키를 추가하는 것도 쉽습니다 .

Authorized_keys <| title == 'mikko' |> {
    sshkeys +> 'ssh-rsa ASDFASDFASDFASDF mikko@somewhere-else.tld'
}

이 방법을 사용하면 사용자는 꼭두각시 구성에 명시 적으로 지정되지 않은 키를 가질 수 없습니다. authorized_keys에서 키 문자열은 그대로 사용되므로 옵션과 제한을 추가하는 것은 쉽지 않습니다.

다른 사람들이이 방법을 성공적으로 사용했다면 기뻐할 것입니다!

resources 메타 타입을 사용하여이를 수행 할 수 있어야합니다 . EG

resources { 'ssh_authorized_key': noop => true, purge => true, }

설정 noop => true,하면 제거가 발생하지 않습니다. 대신, 꼭두각시가 제거 될 대상을보고합니다. 원하는 경우 noop 문을 제거하십시오 .

관리되지 않는 리소스에 대한 작업을 수행하기위한 이상적인 구문은 논의 중 입니다.

편집 : 의견에서 언급 했듯이이 답변은 작동하지 않습니다.

Puppet Forge에서이 기능을 제공하는 Apache 라이센스 버전 2.0으로 모듈이 공개되었습니다.

그러나 템플릿 대신 Puppet concat을 사용합니다.

https://github.com/nightfly19/puppet-ssh_keys/tree/master/manifests

키 배열을 매개 변수로 전달하는 대신 각 키에 대해 별도의 항목을 정의합니다.

Mikko와는 다른 접근법이지만 동일한 결과입니다.