Как перезапустить конкретные сервисы linux через Ansible?

Question

[Alex]

Здравствуйте.
Раньше c дебианом не работал. Столкнулся с проблемой перезапуска сервисов.

В Ansible использую следующую структуру:

- name: Reload service teleport, in all cases
  become: yes
  become_method: sudo
  ansible.builtin.systemd:
    name: teleport
    state: restarted

Получаю ошибку:

fatal: [teleport.kgsu.ru]: FAILED! => {
    "msg": "Missing sudo password"
}

Явно не хватает прав для выполнения команды.
На Debian установил sudo, В sudoers написал правила для запуска определенных сервисов без пароля:

my_user ALL=(root) NOPASSWD: /bin/systemctl restart teleport.service
my_user ALL=(root) NOPASSWD: /bin/systemctl status teleport.service

Если выполнять перезапуск в консоли из-под юзера, то сервис перезапускается, через Ansible та же самая ошибка о недостаточности прав.
sudo service teleport restart

В переменных пароль от рута хранить не хочу.
Что можно сделать?

Comments

[сергей кузьмин]

добавьте разрешенных комманд в sudoers для my_user или добавьте этого пользователя в группу admin или группу sudo

[Valentin Barbolin]

Почему бы просто не заходить под root используя ключ ssh?

[shurshur]

Просто используем --ask-become-pass при запуске ansible, либо делаем NOPASSWD в sudoers, либо логинимся сразу под root и не используем become вообще.

[Alex]

Valentin Barbolin, А можно разрешить руту подключаться по ключу если подключение под ним запрещено?

[Valentin Barbolin]

Alex, На debian-ubuntu это конфигурация по умолчанию, root может захобиться только по ключу, достаточно скопировать свой ключ в /root/.ssh/authorized_keys.

Либо задавать пароль sudo в ключе при запуске playbook. Будет два запроса на пароль, сначала ssh потом sudo, второй раз вводить пароль не обязательно, можно просто нажать Enter и ansible возьмет пароль для sudo от ssh.
ansible-playbook debian-template.yml --ask-pass -i hosts -e "host=web" --user my_user --ask-become

[Alex]

Valentin Barbolin, Ключ скопировал сразу, но не выставил права на него. Сейчас работает как и привык, спасибо.

Answer 1

[ky0]

Потому что Ансибл при использовании модулей не пишет в терминале systemctl restart. У него все телодвижения происходят через врапперы, запускаемые местным питоном (см.).

Кривая альтернатива - делать перезапуск не через systemd, а через shell/command. Тогда точечные правила в судоерс проканают.

Почему бы не разрешить ансибловому пользователю запускать всё подряд через sudo без пароля? Главное, его SSH-ключ храните понадёжнее и всё.