一、为什么需要自动化管理用户和SSH密钥？
想象一下，你管理着几十台甚至上百台服务器，每次有新同事入职或者有人离职时，都需要手动登录每台服务器去添加或删除用户账号，配置SSH密钥。这不仅耗时费力，还容易出错。万一漏掉某台服务器，就可能留下安全隐患。
自动化工具Ansible可以完美解决这个问题。它就像个智能机器人，能帮我们批量完成这些重复性工作。你只需要写好"任务清单"(playbook)，它就会自动去所有服务器上执行这些操作，保证每台服务器的配置都一致。
二、Ansible基础准备
在开始之前，我们需要做一些准备工作：
- 安装Ansible：在控制机上安装Ansible（通常是你自己的电脑或专门的运维机器）
- 准备服务器清单：告诉Ansible要管理哪些服务器
- 配置SSH连接：确保控制机可以通过SSH登录到所有被管理的服务器
这里有个简单的服务器清单文件示例（inventory.ini）：
[web_servers]
web1.example.com ansible_user=admin
web2.example.com ansible_user=admin
[db_servers]
db1.example.com ansible_user=admin
三、创建用户与SSH密钥管理Playbook
现在我们来编写一个完整的playbook，它会做三件事：
- 创建新用户
- 设置用户密码（可选）
- 部署SSH公钥
---
# 技术栈：Ansible
# 文件名：manage_users.yml
- name: 管理服务器用户和SSH密钥
hosts: all # 对所有服务器生效
become: yes # 使用sudo权限
vars:
# 定义要创建的用户
new_users:
- name: alice
groups: sudo # 加入sudo组
ssh_key: "ssh-rsa AAAAB3NzaC... alice@workstation"
- name: bob
groups: developers
ssh_key: "ssh-rsa AAAAB3NzaC... bob@workstation"
tasks:
# 任务1：创建用户
- name: 创建用户账号
user:
name: "{{ item.name }}"
groups: "{{ item.groups }}"
append: yes # 添加到附加组而不是替换现有组
shell: /bin/bash
state: present
loop: "{{ new_users }}"
# 任务2：设置用户密码（可选）
- name: 设置用户密码
user:
name: "{{ item.name }}"
password: "{{ 'password123' | password_hash('sha512') }}"
loop: "{{ new_users }}"
when: false # 默认不执行，需要时改为true
# 任务3：部署SSH公钥
- name: 配置用户SSH密钥
authorized_key:
user: "{{ item.name }}"
key: "{{ item.ssh_key }}"
state: present
loop: "{{ new_users }}"
这个playbook做了很多事情，但结构非常清晰。我们定义了几个变量（vars），然后写了三个主要任务（tasks）。每个任务都有详细的参数和注释说明。
四、进阶功能：定期审计与清理
仅仅创建用户还不够，我们还需要定期检查哪些账号应该被删除。下面是一个审计playbook示例：
---
# 技术栈：Ansible
# 文件名：audit_users.yml
- name: 服务器用户审计
hosts: all
become: yes
vars:
# 定义应该存在的用户列表
allowed_users:
- alice
- bob
- admin
- root
# 定义系统用户（不应该被删除）
system_users:
- root
- daemon
- bin
- sys
- sync
tasks:
# 获取服务器上所有用户列表
- name: 获取当前用户列表
command: "getent passwd | cut -d: -f1"
register: user_list
changed_when: false # 这只是一个查询，不会改变系统状态
# 找出不应该存在的用户
- name: 识别未授权用户
set_fact:
unauthorized_users: "{{ user_list.stdout_lines | difference(allowed_users + system_users) }}"
# 显示审计结果（不实际删除）
- name: 显示审计结果
debug:
msg: "这台服务器上有未授权的用户：{{ unauthorized_users }}"
# 可选：实际删除未授权用户
- name: 删除未授权用户
user:
name: "{{ item }}"
state: absent
remove: yes # 同时删除用户主目录和邮件假脱机
loop: "{{ unauthorized_users }}"
when: false # 安全起见默认关闭，需要时改为true
这个审计playbook非常有用，它能帮我们发现哪些服务器上有不应该存在的用户账号。注意最后的删除任务默认是关闭的，因为我们需要先确认这些用户确实都不需要了。
五、实际应用场景与技巧
在实际工作中，这些playbook可以用于多种场景：
- 新员工入职：只需把新员工的SSH公钥添加到playbook中，运行一次就能在所有服务器上创建账号
- 员工离职：从playbook中移除相应用户，再次运行即可清理所有服务器上的账号
- 定期安全检查：每月运行审计playbook，检查是否有未授权的用户账号
- 临时访问权限：可以为承包商创建临时账号，项目结束后轻松删除
这里有个实用技巧：你可以把用户信息单独放在一个变量文件中（比如group_vars/all.yml），这样主playbook会更简洁，而且用户信息更容易维护。
六、技术优缺点分析
使用Ansible管理用户和SSH密钥有很多优势：
优点：
- 一致性：确保所有服务器的用户配置完全相同
- 效率：几分钟就能完成原本需要几天的手工操作
- 可追溯：playbook文件可以作为配置文档，记录谁有访问权限
- 安全性：减少人为错误，避免遗漏服务器
当然也有一些需要注意的地方：
缺点：
- 学习曲线：需要花时间学习Ansible的基本概念
- 初始设置：需要配置好SSH连接和服务器清单
- 权限管理：playbook需要有足够的权限来创建用户
七、注意事项与最佳实践
在使用这些playbook时，请记住以下几点：
- 备份重要数据：虽然Ansible很可靠，但在大规模修改前最好备份
- 测试环境先行：先在少量测试服务器上验证playbook
- 使用版本控制：把playbook放在Git等版本控制系统中
- 保护敏感信息：用户密码等敏感信息应该使用Ansible Vault加密
- 定期审查：即使自动化了，也要定期检查配置是否符合预期
八、总结
通过Ansible自动化管理用户和SSH密钥，我们不仅节省了大量时间，还提高了系统的安全性。这种方法特别适合管理大量服务器的团队，它能确保每台服务器的访问权限都保持一致，减少人为错误和安全漏洞。
记住，自动化不是一劳永逸的，而是一个持续改进的过程。随着团队和服务器规模的变化，你需要不断调整和完善你的playbook。但一旦建立起这套系统，你会发现服务器用户管理变得前所未有的轻松和安全。
评论