Имеется командный сервер с ansible с именем server-ansible и настраиваемый сервер test-web-server-01
В плейбуке/роли необходимо залогиниться пользователем apache и склонировать удалённый репозиторий с сервера test-git-01. SELinux на обоих машинах (кстати, Centos7) включен.
В глобальный файл known_hosts
(/etc/ssh/ssh_known_hosts
) при помощи known_hosts_module заранее установлен ключ гит-сервера:
- name: git storage pubkey
known_hosts:
path='/etc/ssh/ssh_known_hosts'
name='test-git-01'
key="{{ lookup('file', 'files/ssh_keys/pubkeys/test-git-01.pub') }}"
(Файл ключа получается вручную командой ssh-keyscan test-git-01>test-git-01.pub
)
Тем не менее, при попытке выполнения команд git clone
(git pull
и т.п.) получаем ошибку.
- name: clone repository
git:
repo: git@test-git-01:testgroup/testrepo.git
dest: "/www/testsite.ru/htdocs/"
become: true
become_user: apache
Это логично: у пользователя apache нет ssh-ключа и подключиться к серверу невозможно.
Как вариант решения не рассматривается возможность создания пользователю apache собственного ключа через sudo -u apache ssh-keygen -t rsa
и прописывание его на гит-сервере.
Хочется сделать следующее: чтобы при подключении пользователя ansible его ssh-ключ пробрасывался пользователю apache. Так как с этим ключом можно работать с git-сервером, то безопаснее, если возможность работы у пользвателя apache будет не постоянно, а лишь на время работы скриптов ansible.
Как корректно настроить форвард ssh-ключей в ansible?
P.S. Update. Ниже описано мой собственный вариант, к которому я когда-то пришёл и который потом выискивал на английском so. Можно было этот вариант сразу опубликовать в режиме вопрос-ответ, но мне интересно почитать про другие возможные варианты решения задачи (м.б. расстановка ACL?), возможно будет предложена ещё более лучшая практика. Поэтому галку я пока ставить не собираюсь.