管理用户基于密钥的 SSH 访问

唯一安全的服务器是关闭的。尽管如此，对于服务器访问控制的一个好方法是，使用经过私钥短语保护的 SSH 密钥的用户帐户，而不是多个用户使用一个共享账号和一个众所周知的口令。 Puppet 使这种管理变得简单，感谢其内置的 ssh_authorized_key 类型。

将它与上一节讲述的虚拟用户相结合，你可以创建一个包括 user 和 ssh_authorized_key 的 define。对于需要添加自定义文件和其他每用户自己的资源时，这也会是有用的。

操作步骤

对上一节创建的 user::virtual 类做如下修改：

class user::virtual
{
    define ssh_user( $key )
    {
        user { $name:
            ensure =&gt; present,
            managehome =&gt; true,
             }

        ssh_authorized_key { "${name}_key":
            key =&gt; $key,
            type =&gt; "ssh-rsa",
            user =&gt; $name,
                            }
    }

    @ssh_user { "phil":
        key =&gt; "AAAAB3NzaC1yc2EAAAABIwAAAIEA3ATqENg+GW
 ACa2BzeqTdGnJhNoBer8x6pfWkzNzeM8Zx7/2Tf2pl7kHdbsiT
 XEUawqzXZQtZzt/j3Oya+PZjcRpWNRzprSmd2UxEEPTqDw9LqY5S2B8og/
 NyzWaIYPsKoatcgC7VgYHplcTbzEhGu8BsoEVBGYu3IRy5RkAcZik=",
    }
}

在一个节点上包含如下代码：

realize( User::Virtual::Ssh_user["phil"] )

运行 Puppet：

# puppet agent --test
info: Retrieving plugin
info: Caching catalog for cookbook.bitfieldconsulting.com
info: Applying configuration version '1305561740'

notice: /Stage[main]/User::Virtual/User::Virtual::Ssh_user[phil]/
User[phil]/ensure: created

notice: /Stage[main]/User::Virtual/User::Virtual::Ssh_user[phil]/
Ssh_authorized_key[phil_key]/ensure: created

notice: Finished catalog run in 1.04 seconds

工作原理

我们创建了一个名为 ssh_user 的 define，它包括用户自身的 user 资源以及与其相关的 ssh_authorized_key 资源，内容如下：

define ssh_user( $key )
{
    user { $name:
        ensure => present,
        managehome => true,
         }

    ssh_authorized_key { "${name}_key":
        key  => $key,
        type => "ssh-rsa",
        user => $name,
                        }
}

然后我们对用户 phil 创建了 ssh_user 的一个虚拟资源实例：

    @ssh_user { "phil":
        key => "AAAAB3NzaC1yc2EAAAABIwAAAIEA3ATqENg+GW
 ACa2BzeqTdGnJhNoBer8x6pfWkzNzeM8Zx7/2Tf2pl7kHdbsiT
 XEUawqzXZQtZzt/j3Oya+PZjcRpWNRzprSmd2UxEEPTqDw9LqY5S2B8og/
 NyzWaIYPsKoatcgC7VgYHplcTbzEhGu8BsoEVBGYu3IRy5RkAcZik=",
    }

回顾一下，因为资源是虚拟的，Puppet 会意识到这一点，所以它不会创建任何实际的资源，直到你调用 realize 时才真正创建。

最后，我们在节点中添加了如下代码：

    realize( User::Virtual::Ssh_user["phil"] )

这会实际创建 user 资源以及包含其公钥的 authorized_keys 资源。

更多用法

可以将这种思想应用到上一节提及的 “组织用户到组的类” 中，修改相应类的代码为：

class user::sysadmins
{
    search User::Virtual

    realize( Ssh_user["john"],
             Ssh_user["graham"] )
}

使用 search User::Virtual 的目的仅仅是为了避免杂乱，这允许你直接引用 Ssh_user，而不用每次都要使用 User::Virtual:: 前缀。

另外，你可能会遭遇如下的错误：

err: /Stage[main]/User::Virtual/User::Virtual::Ssh_user[graham]/Ssh_
authorized_key[graham_key]: Could not evaluate: No such file or directory
- /home/graham/.ssh

这或许是因为你之前已经创建过 graham 用户，但没有使用 Puppet 管理其自家目录。这种情况下，Puppet 不会自动创建 authorized_keys 文件所需的 .ssh 目录。运行如下的命令：

# userdel graham

之后再次运行 Puppet 即可解决此问题。