SSH-sleutels en wachtwoordloze login

Ansible maakt via gewone SSH verbinding met beheerde nodes. Als je via SSH op een server kunt inloggen, kan Ansible die vrijwel zeker beheren.

Voor elke host een wachtwoord typen schaalt niet. Met SSH-sleutels kan Ansible op honderden servers inloggen zonder dat er iets wordt gevraagd.

Een SSH-sleutel is een paar: een privésleutel die je geheim houdt en een publieke sleutel die je deelt. De publieke sleutel zet je op elke server.

Maak een sleutelpaar met ssh-keygen. Het type ed25519 is modern, snel en veilig voor verbindingen met je nodes.

Je hebt nu id_ed25519 (privé, bescherm dit) en id_ed25519.pub (publiek, deelbaar). Kopieer de privésleutel nooit naar servers.

Stuur je publieke sleutel naar een server met ssh-copy-id. De opdracht voegt de sleutel voor je toe aan het authorized_keys-bestand van die host.

Meld je nu via SSH aan bij de host. Als er niet om een wachtwoord wordt gevraagd, werkt authenticatie met sleutels en werkt Ansible dat ook.

Ansible maakt verbinding als een specifieke remote_user. Zorg dat deze gebruiker op de node bestaat en dat je publieke sleutel voor die gebruiker is geautoriseerd.

Heb je je sleutel met een wachtwoordzin beveiligd? Voer ssh-agent uit en gebruik ssh-add één keer, zodat Ansible de ontgrendelde sleutel de hele sessie opnieuw kan gebruiken.

In ~/.ssh/config kun je per host de gebruiker, poort en sleutel instellen. Ansible houdt daar rekening mee, zodat je inventarissen overzichtelijk blijven.

Authenticatie met sleutels is zowel veiliger als sneller dan wachtwoorden. Zodra alles is ingesteld, werkt Ansible stilletjes door je hele serverpark. 🔑

Je genereert een SSH-sleutelpaar, zet de publieke sleutel over met ssh-copy-id en bevestigt dat aanmelden zonder wachtwoord werkt. Ansible kan nu elke node zonder handmatige tussenkomst bereiken. 🎉