Ansible Невозможно установить пароль для загрузчика GRUB в Redhat - PullRequest
Новая
       80

Ansible Невозможно установить пароль для загрузчика GRUB в Redhat

3 голосов
/ 14 января 2020

Как Салам-о-Аликум, я написал Ansible книгу для установки пароля загрузчика GRUB в RedHat и Ubuntu, ошибок нет, и я вижу изменения в Grub2.cfg в обоих местах. Странно, что когда я перезагружаю обе мои машины, машина Ubuntu запрашивает имя пользователя и пароль, а машина Redhat - нет. Я видел 50+ туториалов, процедура такая же и довольно простая, но я не знаю, почему она так себя ведет. Любая помощь будет принята с благодарностью.

Вот что я пробовал.

Hardening.yml 

   ---
   - hosts: localhost
     become: yes
     gather_facts: true
     vars:
         grub_password_v1_passwd: puffersoft
         grub_password_v2_passwd: grub.pbkdf2.sha512.10000.A4DE89CBFB84A34253A71D5DD4939BED709AB2F24E909062A902D4751E91E3E82403D9D216BD506091CAA5E92AB958FBEF4B4B4B7CB0352F8191D47A9C93239F.0B07DD3D5AD46BF0F640136D448F2CFB84A6E05B76974C51B031C8B31D6F9B556802A28E95A5E65EC1F95983E24618EE2E9B21A0233AAA8D264781FE57DCE837
         grub_user: cloud_user
     tasks:
    - stat: path=/sys/firmware/efi/efivars/
      register: grub_efi
    - debug: vars=grub_efi
      when: ansible_distribution == 'Redhat'
      tags: grub-password

    - name: "Installing Template on Redhat Systems"
      template:
            src: grub-redhat.j2
            dest: /etc/grub.d/01_users
            owner: root
            group: root
            mode: '0700'
            notify:
                    - grub2-mkconfig EFI
                    - grub2-mkconfig MBR
      when: ansible_distribution == 'Redhat'
      tags: grub-password

    - name: "Installing Template on Ubuntu Systems"
      template:
            src: grub-ubuntu.j2
            dest: /etc/grub.d/40_custom
            owner: root
            group: root
            mode: '0700'
            notify:
                    - grub2-mkconfig EFI
                    - grub2-mkconfig MBR
      when: ansible_distribution == 'Ubuntu'
      tags: grub-password

    - name: "Grub EFI | Add Password"
      lineinfile: dest=/etc/grub2-efi.cfg regexp = "^password_pbkdf2 {{ grub_user }}" state=present insertafter = EOF line= "password_pbkdf2 {{ grub_user }} {{ grub_password_v2_passwd }}"
      when: grub_efi.stat.exists == True
      tags: grub-password

    - name: "Grub v2 MBR | Add Password"
      lineinfile: dest=/etc/grub2.cfg regexp = "^password_pbkdf2 {{ grub_user }}" state=present insertafter = EOF line= "password_pbkdf2 {{ grub_user }} {{ grub_password_v2_passwd }}"
      when: grub_efi.stat.exists == False

    - name: "grub2-mkconfig EFI"
      command: grub2-mkconfig -o /boot/efi/EFI/redhat/grub.cfg
      when: grub_efi.stat.exists == True

    - name: "grub2-mkconfig MBR"
      command: grub2-mkconfig -o /boot/grub2/grub.cfg
      when: grub_efi.stat.exists == False

grub-redhat.j2 

#!/bin/sh -e
cat << EOF
if [ -f \${prefix}/user.cfg ]; then
  source \${prefix}/user.cfg
  if [ -n "\${GRUB2_PASSWORD}" ]; then
    set superusers="root"
    export superusers
    password_pbkdf2 root \${GRUB2_PASSWORD}
  fi
fi
set supperusers="{{ grub_user  }}"
password_pbkdf2 {{ grub_user }} {{ grub_password_v2_passwd  }}
EOF

grub-ubuntu.j2 

#!/bin/sh
tail -n +3 $0
# This file provides an easy way to add custom menu entries.  Simply type the
# menu entries you want to add after this comment.  Be careful not to change
# the 'exec tail' line above.
set superusers="{{grub_user}}"
password_pbkdf2 {{grub_user}} {{grub_password_v2_passwd}}

Ansible Распределение

Red Hat 7,7 Майпо и Убунту 18.04 биони c

1 Ответ

1 голос
/ 15 января 2020

grub-redhat.j2 содержит несколько опечаток.

Строка 11: set supperusers="{{ grub_user }}"

Изменить на: set superusers="{{ grub_user }}"

Строка 12: password_pbkdf2 {{ grub_user }} {{ grub_password_v2_passwd }}

Измените на: password_pbkdf2 {{ grub_user }} {{ grub_password_v2_passwd }}

Если вы собираетесь использовать один и тот же пароль Grub на нескольких машинах, вы можете использовать ansible -vault encrypt_string для зашифруйте необработанный пароль, затем создайте дополнительную задачу, которая запускает grub2-mkpasswd-pbkdf2 (часть grub2-tools-minimal) с командным модулем, и передайте ему переменную vaults. Регистрация выходных данных этой задачи (например, grub_password_v2_passwd) приведет к тому, что каждая цель, которую вы запускаете playbook против получения уникального ha sh, даже если базовый пароль будет таким же. модуль ожидания отлично подходит для этого: 

expect:
  command: grub2-mkpasswd-pbkdf2
  responses:
    Enter password: '{{ vaulted_raw_password }}'
    Reenter password: '{{ vaulted_raw_password }}'
no_log: true
...