使用Ansible时的安全注意事项

Question

Ansible是基于SSH的，所以我想知道是否会引发任何安全性注意事项/关注某些东西是否有SSH访问服务器？

Answer 1

如果你是那个偏执狂，你可以随时锁定它来自指定的来源ip - 真正的简黑客可以伪造她的ip但是因为ssh需要发送和接收来创建连接，所以她必须做很多欺骗使用和利用它......

Answer 2

这有点偏离主题，但我会采取刺。

确保定期使用最新版本修补ssh服务器。另外，请勿使用密码登录。使用rsa / dsa私钥/公钥对登录并运行您的剧本。 如果你想使用4096位，8192位甚至更大的位密钥对。

每次使用密钥对ssh登录服务器时，ssh都会创建一个唯一的一次性指纹用于身份验证。因此，如果您的欺骗者得到它，他/她不能再次使用它来登录。相反，当您使用通用密码时，您总是冒着被欺骗的风险（例如，在中间ssh服务中的人）。使用IP地址连接到服务器而不是FQDN可以降低欺骗的风险（假装成DNS名称比假装成Internet中的IP地址更容易）

您还可以使用防火墙播放其他技巧，例如您只能在本地允许ssh并在服务器上本地运行您的Playbook（可以将其设置为cron作业）您可以从中获取更新/新的剧本像github这样的云存储库。

与其他人提到的一样，您也可以允许ssh访问您运行剧本的IP地址。