Ansible: wie klont ein repository als andere user

Als pro Ansible-Dokumentation Privilege-Escalation, Ansible Einschränkungen auf immer ein nicht berechtigter Benutzer, wie es entlarvt eine Sicherheitslücke zu Harry.

Mithilfe der Ansible git Modul können Sie festlegen, verwenden Sie Harry ' s private key von der privilegierten Ansible-Benutzer über die key_file parameter, und mit become_user ermöglicht die geklonten Dateien zu gegeben werden, das Eigentum an Harry. Zum Beispiel:

- name: Clone bitbucket repo
  git:
    repo: [email protected]:your-repo.git
    dest: /var/www/
    version: master
    accept_hostkey: yes
    key_file: /home/harry/.ssh/id_rsa
  become_user: harry

ja, können Sie machen Sie die Arbeit mit ssh forwarding

solange die Benutzer, dass Sie sich in der git-clone ist Teil der sudoers, er braucht also nicht zu verwenden sudo ausführen git

So, zusätzlich zu all den configs erforderlich für die Schlüssel weiterleiten, gibt es einen trick, dass auch in Ansible docs.
High-level-Prozess ist wie folgt:
aktivieren Sie agent-forwarding in die Steuerung der Maschine
aktivieren Sie die Annahme-agent-key in der Ziel-Maschine
erstellen Sie einen Benutzer und fügen Sie ihn (oder Sie:) in die sudoers Gruppe
verwenden ansible ' s git-Modul zu Klonen, die repo geworden: Ihre-sudoer-user

Auch, zu vermeiden, werden alle Berechtigungen verweigert auf dem host, nur Klonen, es in ~/etwas
Sie können immer kopieren, oder symlink, um überall Sie wollen

hier ist der link, wo das playbook-Teil hinzufügen Benutzer sudoers gezeigt wird, es ist im Grunde ein copy-paste: Ansible: erstellen Sie einen Benutzer mit sudo-Berechtigungen

funktioniert wie ein Charme

Also, stellen Sie sicher, fügen Sie Ihren öffentlichen SSH-Schlüssel in die Allgemeinen Einstellungen von BitBucket, nicht in die pro Projekt. Ansonsten dein ssh-key funktioniert nur auf einem speziellen repo. Aber wenn Sie fügen Sie die ssh-Schlüssel in das bitbucket Allgemeine Einstellungen, es funktioniert auf allen repos

unten ist der code, dass macht es Arbeit, die suduer Benutzer "deployer"

# the tasks to CREATE A SUDOER GROUP


- name: Make sure we have a 'wheel' group
    group:
      name: wheel
      state: present
    become: yes

  - name: Allow 'wheel' group to have passwordless sudo
    lineinfile:
      dest: /etc/sudoers
      state: present
      regexp: '^%wheel'
      line: '%wheel ALL=(ALL) NOPASSWD: ALL'
      validate: 'visudo -cf %s'
    become: yes

  - name: Add sudoers users to wheel group
    user: name=deployer groups=wheel append=yes state=present createhome=yes
    become: yes


 # tasks to ADD REPO with Ansible's GIT MODULE
  - name: Add  Git Repo - BitBucket 
    git:
      repo: '[email protected]:<your_username>/<your_repo>.git'
      dest: ~/code  # note this destination, you will avoid permissions issues
      accept_hostkey: yes # btw, this is for the ssh key forwarding
      recursive: no
    become: deployer # this guy (or gal) is a sudoer by now

# Extra "hack" so ändern Sie Berechtigungen auf Dateien UND Ordnern in einem Durchgang, es hat zu tun mit dem Kapital X und wofür Sie gilt und was nicht. Auch abgeholt von einem anderen stackoverflow

- name: Set perms on new Code repo to deployer:deployer dirs-0755 and files-0644
    file:
      path: ~/code
      state: directory
      owner: deployer 
      group: deployer 
      mode: u=rwX,g=rX,o=rX
      recurse: yes
    become: yes