Ansible을 사용하면 원시 명령 또는 Ansible 플레이북을 사용하여 원격 시스템에서 다양한 작업을 수행할 수 있습니다. 기본적으로 Ansible 플레이북은 원격 호스트에서 Ansible 컨트롤러의 동일한 사용자로 실행됩니다. 즉, 원격 시스템에서 다른 사용자로 명령을 실행해야 하는 경우 Ansible 플레이북에 명시적으로 지정해야 합니다.
다른 사용자로 명령을 실행하는 기능을 구현하려면 Linux 시스템에서 사용할 수 있는 sudo 기능을 사용해야 합니다. Ansible be 지시문을 사용하면 지정된 사용자로 명령을 실행할 수 있습니다.
사용자 정보는 ben_pass와 같은 be 변수를 사용하여 Ansible 플레이북에 지정되어 사용자 bene_user의 비밀번호와 명령을 실행할 수 있는 사용자를 지정합니다.
Ansible 작업을 루트로 실행하는 방법
Ansible에서 루트 사용자로 특정 명령을 실행하려면 be 지시문을 구현하고 값을 'true'로 설정할 수 있습니다. 이렇게 하면 Ansible이 명령을 실행할 때 인수 없이 sudo를 구현하도록 지시합니다.
예를 들어 MySQL 서버 패키지를 업데이트한 다음 다시 시작하는 Ansible 플레이북을 생각해 보십시오. 일반적인 Linux 작업에서 이러한 작업을 수행하려면 루트 사용자로 로그인해야 합니다. Ansible에서는 다음과 같이 간단히 be: yes 지시문을 호출할 수 있습니다.
- 호스트: 모두
이되다:예
작업:
- 이름: Ansible 실행같이루트 및 업데이트 시스템
냠:
이름: mysql-server
상태: 최신
- 이름:
서비스.서비스:
이름: mysqld
상태: 다시 시작됨
위의 플레이북에서 be 지시문을 사용하고 bebe_user 사용자를 지정하지 않았습니다. 왜냐하면 be 지시문 아래의 모든 명령은 기본적으로 루트로 실행되기 때문입니다.
이는 다음과 같이 지정하는 것과 유사합니다.
- 호스트: 모두
이되다:예
be_user: 루트
작업:
- 이름: Ansible 실행같이루트 및 업데이트 시스템
냠:
이름: mysql-server
상태: 최신
- 이름:서비스.서비스:
이름: mysqld
상태: 다시 시작됨
Ansible 작업을 Sudo로 실행하는 방법
Ansible 작업을 일반 루트 사용자가 아닌 특정 사용자로 실행하려면 bebe_user 지시문을 사용하고 사용자의 사용자 이름을 전달하여 작업을 실행할 수 있습니다. 이것은 Unix에서 sudo -u 명령을 사용하는 것과 비슷합니다.
bebe_user 지시문을 구현하려면 먼저 bebe 지시문을 활성화해야 합니다. 이 지시문이 활성화되지 않으면 bebe_user를 사용할 수 없기 때문입니다.
명령이 nobody 사용자로 실행되는 다음 플레이북을 고려하십시오.
- 이름: 실행명령 같이다른 사용자(아무도)명령:추신NS
이되다:진실
be_method:그것의
be_user: 아무도
be_flags:'-s /bin/bash'
위의 플레이북 스니펫에서 be, bebe_user 및 other be 지시문을 구현했습니다.
- be_method : su 또는 sudo와 같은 권한 상승 방법을 설정합니다.
- be_user 지시문 : 이것은 명령을 실행할 사용자를 지정합니다. 이것은 다음을 의미하지 않습니다: 예.
- be_flags : 지정된 작업에 사용할 플래그를 설정합니다.
이제 위의 플레이북을 sible-playbook filename.yml로 실행하고 결과를 직접 볼 수 있습니다. 출력이 있는 작업의 경우 디버그 모듈을 구현해야 할 수 있습니다.
비밀번호로 Ansible be를 실행하는 방법
비밀번호가 필요한 be 명령을 실행하려면 지정된 플레이북을 호출할 때 비밀번호를 요청하도록 Ansible에 지시할 수 있습니다.
예를 들어 암호로 플레이북을 실행하려면 아래 명령을 입력하십시오.
가능 플레이북 be_pass.yml--묻다-통과하다위의 명령과 유사한 작업을 수행하는 -K 플래그를 지정할 수도 있습니다. 예를 들어:
가능 플레이북 be_pass.yml-에게지정되면 작업이 실행될 때 암호를 입력하라는 메시지가 표시됩니다.
노트 : -b 플래그를 사용하여 Ansible AD HOC 원시 명령에서 be 지시문을 사용할 수도 있습니다. 자세한 내용은 아래 제공된 설명서를 확인하십시오.
https://linkfy.to/becomeDocumentation
결론
이 기사를 읽은 후에는 Ansible BCOME 지시문을 사용하여 다양한 작업에 대한 권한 에스컬레이션을 수행하는 방법을 알게 되었습니다.
보안상의 이유로 다양한 계정에 대한 제한을 구현하고 사용 시기를 명시적으로 지정하는 것이 좋습니다. 따라서 권한 에스컬레이션은 Ansible에서 sudo 및 su 사용의 중요한 측면입니다.