通过ansible分发免密公钥、清理不再使用的公钥及验证公钥状态

1.分发公钥 ：ansible使用authorized_key模块分发ansible控制机上的ssh公钥，文件是/root/.ssh/id_rsa.pub 公钥，分发到远端节点的authorized_keys 文件中，实现免密登录。

复制代码

---
- name: 为jenkins组节点配置root用户免密SSH登录
  hosts: jenkins  # 匹配inventory中jenkins组的节点
  remote_user: root  # 远程执行用户（建议用有sudo权限的普通用户，更安全）
  gather_facts: false  # 无需收集节点信息，加快执行速度
  tasks:
    - name: 将控制节点的公钥添加到目标节点root用户的authorized_keys
      ansible.builtin.authorized_key:
        user: root  # 目标节点的用户（要配置免密的用户）
        state: present  # 确保公钥存在（默认值，可省略）
        key: "{{ lookup('file', '/root/.ssh/id_rsa.pub') }}"  # 读取控制节点的公钥文件
        exclusive: false  # 不删除其他已存在的公钥（重要，避免误删）
        manage_dir: true  # 自动创建.ssh目录并设置正确权限（700）

参数	作用	注意事项
`hosts: jenkins`	指定要执行的目标节点组（需在 Ansible inventory 文件中定义 jenkins 组）	确保 inventory 中 jenkins 组包含正确的节点 IP / 主机名
`remote_user: root`	远程登录目标节点的用户	生产环境建议用普通用户（如 ansible）+ sudo，避免直接用 root
`authorized_key`	Ansible 内置模块，用于管理 SSH 授权密钥	比手动拷贝更安全，自动处理权限问题
`user: root`	目标节点上要配置免密的用户（这里是 root）	若要给普通用户配置，改为对应用户名（如 jenkins）
key: "{``{ lookup('file', ...) }}"	读取控制节点本地的公钥文件内容	确保控制节点存在`/root/.ssh/id_rsa.pub`文件，若不存在先执行`ssh-keygen -t rsa`生成
`manage_dir: true`	自动创建目标用户的～/.ssh 目录，权限设为 700	避免因目录不存在或权限错误导致免密失败
`exclusive: false`	保留目标节点已有的其他公钥	若设为 true，会删除该用户所有其他公钥，极其危险！

2.删除不再使用的公钥，通过ansible实现批量清理特定免密登录权限的目的

复制代码

---
- name: 从目标节点移除指定的SSH公钥
  hosts: jenkins  # 匹配两个组的所有节点
  become: yes  # 提权到root（确保有修改/root/.ssh的权限）
  gather_facts: false  # 无需收集节点信息，加快执行速度
  tasks:
    - name: 移除root用户下指定的SSH公钥
      ansible.builtin.authorized_key:
        user: root  # 目标用户（要清理公钥的用户）
        state: absent  # 标记为移除（核心参数）
        key: "ssh-rsa AAAAB3NzaC1yc2EddddBAQDAUvIWgBHxszilFFjKoAuHwSioRcvYTXPdm5o1kNlkb0P+hfu8IuQhzGUUqYOXAFk7d+PKF4FUVijYF52Mw2N/jG12SvzAKbJpAfXFYX3Y4Dpaq0wqEBnj4c2nXhySv3vfOOev+Cq0AYj8mvt0F0JPfQC5Qml4OfQDfH73p4ml2o83vVrlJVF9M6wUK7uRVGC8U2qTc9gddddddVT/Yy8dmx1sgdJxhkjVvNa60X29OsNw4s3jH5UIo5fIn/r1Up0Li+CkdLHGzLJWCiTe3vcZPLEEs4QCdddXuiC42LtVygoiUUVx test01"
        manage_dir: false  # 移除公钥时无需管理.ssh目录（避免误改目录权限）

3.更换公钥场景，可通过先添加新的，在移除老的，具体如下

复制代码

---
- name: 更新root用户的SSH公钥（先加新再删旧）
  hosts: 目标组名  # 替换为你的节点组
  become: yes
  gather_facts: false
  vars:
    # 定义旧公钥（要移除的）和新公钥（要添加的）
    old_ssh_key: "ssh-rsa AAAAB3NzaC1ycdddddAAABAQDAUvIWgBHxszilFFjKoAuHwSioRcvYTXPdm5o1kNlkb0P+hfu8IuQhzGUUqYOXAFk7d+PKF4FUVijYF52Mw2N/jG12SvzAKbJpAfXFYX3Y4Dpaq0wqvL8i8l0EBnj4c2nXhySv3vfOOev+Cq0AYj8mvt0F0JPfQC5Qml4OfQDfH73p4mdddd9M6wUK7uRVGC8U2qTc9gYFdrRuySyZodBVT/Yy8dmx1sgdJxhkjVvNa60X29OsNw4s3jH5UIo5fIn/r1Up0Li+CkdLHGzLJWCiTe3vcZPLEEs4QCheZMBE6siuim7nXuiC42LtVyddddfff test01"
    new_ssh_key: "{{ lookup('file', '/root/.ssh/new_id_rsa.pub') }}"  # 读取控制节点的新公钥文件
  tasks:
    - name: 第一步：添加新公钥
      ansible.builtin.authorized_key:
        user: root
        state: present
        key: "{{ new_ssh_key }}"
        manage_dir: true  # 自动创建/修复.ssh目录权限
        exclusive: false  # 保留其他已存在的公钥
    - name: 第二步：移除旧公钥
      ansible.builtin.authorized_key:
        user: root
        state: absent
        key: "{{ old_ssh_key }}"
        manage_dir: false  # 移除时无需管理目录

4.节点组的公钥状态，看是否添加或者删除

复制代码

---
- name: 批量验证SSH公钥更新结果
  hosts: jenkins  # 替换为你的目标节点组
  become: yes
  gather_facts: false
  vars:
    # 配置需要验证的关键信息
    old_ssh_key_comment: "test01"  # 旧公钥的注释（用于快速检索）
    new_ssh_key: "{{ lookup('file', '/root/.ssh/new_id_rsa.pub') }}"  # 新公钥内容
    new_ssh_key_fingerprint: "{{ new_ssh_key | regex_replace('ssh-rsa (.*) .*', '\\1') | hash('sha256') | regex_replace('^', 'SHA256:') }}"  # 自动生成新公钥指纹

  tasks:
    - name: 步骤1：检查旧公钥是否已移除
      ansible.builtin.shell: |
        grep -q "{{ old_ssh_key_comment }}" /root/.ssh/authorized_keys && echo "旧公钥未移除" || echo "旧公钥已移除"
      register: old_key_check
      changed_when: false  # 标记为非变更操作

    - name: 步骤2：检查新公钥是否已添加
      ansible.builtin.shell: |
        grep -q "{{ new_ssh_key }}" /root/.ssh/authorized_keys && echo "新公钥已添加" || echo "新公钥未添加"
      register: new_key_check
      changed_when: false

    - name: 步骤3：验证.ssh目录和文件权限（SSH强制要求）
      ansible.builtin.stat:
        path: "{{ item.path }}"
        get_checksum: false
      register: file_perm_check
      loop:
        - { path: "/root/.ssh", mode: "0700" }
        - { path: "/root/.ssh/authorized_keys", mode: "0600" }

    - name: 输出验证结果（汇总）
      ansible.builtin.debug:
        msg: |
          节点 {{ inventory_hostname }} 验证结果：
          1. 旧公钥状态：{{ old_key_check.stdout }}
          2. 新公钥状态：{{ new_key_check.stdout }}
          3. .ssh目录权限：{{ file_perm_check.results[0].stat.mode }} (预期：0700)
          4. authorized_keys权限：{{ file_perm_check.results[1].stat.mode }} (预期：0600)
          5. 新公钥指纹：{{ new_ssh_key_fingerprint }}