Linux
使用 Ansible 檢查 sudoers.d 文件
我有一個 Ansible 劇本,用於在我們的環境中管理我們的 sudoers 文件。我們喜歡在 /etc/sudoers 中保留一個最小的 sudoers 文件,然後我們想要添加的任何內容都放在 /etc/sudoers.d 下的單獨文件中。
我的 Ansible playbook 包含以下用於推送這些文件的任務:
- name: copy sudoers files copy: src: "{{ item }}" dest: "/etc/sudoers.d/{{ item }}" backup: yes owner: root group: root mode: 0440 validate: /usr/sbin/visudo -cf %s with_items: - admins - apache - monitor
該任務包含一個 validate 子句,用於在送出文件之前確保文件有效,這通常執行良好。但是,今天我遇到了一個更新破壞 sudo 的問題。該文件通過了驗證步驟,但包含一個與主 /etc/sudoers 文件中的 User_Alias 同名的 User_Alias。此後任何嘗試執行 sudo 都會導致解析錯誤。
我的問題是——如何測試來自 Ansible 的 sudoers 文件的更新,以擷取這樣的錯誤?文件到位後,可以通過執行來擷取錯誤
visudo -c
,但是將其作為驗證步驟不起作用。Ansible 需要%s
佔位符,即使不需要,也會在將文件複製到位之前完成驗證,這樣visudo -c
就不會擷取它。
我讓它工作了。這就是我所做的。首先,我添加了一組 Ansible 任務以在 /etc/sudoers.stage.d 處創建一個暫存目錄並將 /etc/sudoers.d 的內容複製到其中。然後,我將文件上傳到此暫存區域,如果其中任何一個發生更改,請執行自定義腳本來啟動它們。
這就是劇本中的邏輯現在的樣子
- name: delete staging area file: path: "/etc/sudoers.stage.d" state: absent changed_when: false - name: copy /etc/sudoers.d to staging area shell: "cp -rp /etc/sudoers.d /etc/sudoers.stage.d" changed_when: false - name: stage sudoers files copy: src: "{{item}}" dest: "/etc/sudoers.stage.d/{{item}}" backup: yes owner: root group: root mode: 0440 validate: /usr/sbin/visudo -cf %s with_items: - admins - apache - monitor register: sudoers_d - block: - name: push out activate script copy: src: activate_sudoers.sh dest: /usr/local/bin/activate_sudoers.sh owner: root group: root mode: 0700 - name: activate change shell: /bin/sh /usr/local/bin/activate_sudoers.sh /etc/sudoers.stage.d when: sudoers_d.changed
這就是 activate_sudoers.sh 腳本的樣子。
#!/bin/sh function usage { echo "Usage: $0 <stage directory>" >&2 exit 1 } function abort { echo "*** Error detected" >&2 [ "$#" -gt 0 ] && echo "***" $@ >&2 exit 1 } PATH=/usr/bin:/bin:/usr/sbin:/sbin export PATH test $# -eq 1 || usage test -d "$1" || abort "Stage directory $1: missing or not a directory" test -d /etc/sudoers.old.d && rm -rf /etc/sudoers.old.d test -d /etc/sudoers.old.d && abort "Failed to remove /etc/sudoers.old.d" mv /etc/sudoers.d /etc/sudoers.old.d \ && mv "$1" /etc/sudoers.d \ && visudo -c if [ $? -eq 0 ]; then # Success - clean up rm -rf /etc/sudoers.old.d exit 0 else # Failure - roll back rm -rf /etc/sudoers.d mv /etc/sudoers.old.d /etc/sudoers.d abort "sudoers update failed" fi
它比我希望的要長和復雜一些,但它完成了工作。希望這對遇到同樣問題的其他人有用。
你有沒有試過這個:
- copy: src: '{{ item }}' dest: '/etc/sudoers.d/{{ item }}' owner: root group: root mode: 0440 validate: 'bash -c "cat /etc/sudoers %s | visudo -cf-"'
這個對我有用。