是否有一种方法可以忽略由Ansible做出的SSH真实性检查?例如，当我刚刚安装了一个新服务器时，我必须回答这个问题:
GATHERING FACTS ***************************************************************
The authenticity of host 'xxx.xxx.xxx.xxx (xxx.xxx.xxx.xxx)' can't be established.
RSA key fingerprint is xx:yy:zz:....
Are you sure you want to continue connecting (yes/no)?
我知道这通常是一个坏主意，但我将它合并到一个脚本中，该脚本首先在我的云提供商创建一个新的虚拟服务器，然后自动调用我的ansible playbook来配置它。我希望在脚本执行过程中避免任何人为干预。
当前回答
您可以简单地告诉SSH自动接受新主机的指纹。只需添加
StrictHostKeyChecking=accept-new
到您的~/.ssh/config。它并没有完全禁用主机密钥检查，只是禁用了是否要向已知主机列表添加新指纹这个恼人的问题。如果已知机器的指纹发生了变化，您仍然会得到错误。
此策略还适用于ANSIBLE_HOST_KEY_CHECKING和其他将此参数传递给SSH的方式。
其他回答
忽视检查是一个坏主意，因为它使你容易受到中间人的攻击。
我通过只添加每台机器的密钥一次并在Ansible中实际设置ok/更改状态来改善nikobelia的答案:
- name: Accept EC2 SSH host keys
connection: local
become: false
shell: |
ssh-keygen -F {{ inventory_hostname }} ||
ssh-keyscan -H {{ inventory_hostname }} >> ~/.ssh/known_hosts
register: known_hosts_script
changed_when: "'found' not in known_hosts_script.stdout"
然而，Ansible在脚本运行之前就开始收集事实，这需要SSH连接，所以我们必须禁用这个任务或手动将它移到后面:
- name: Example play
hosts: all
gather_facts: no # gather facts AFTER the host key has been accepted instead
tasks:
# https://stackoverflow.com/questions/32297456/
- name: Accept EC2 SSH host keys
connection: local
become: false
shell: |
ssh-keygen -F {{ inventory_hostname }} ||
ssh-keyscan -H {{ inventory_hostname }} >> ~/.ssh/known_hosts
register: known_hosts_script
changed_when: "'found' not in known_hosts_script.stdout"
- name: Gathering Facts
setup:
我一直无法解决的一个问题是，即使它只添加了一个键，它也会将所有内容标记为已更改。如果有人可以贡献一个修复，那将是伟大的!
如果你不想修改ansible.cfg或者playbook。Yml，然后你可以设置一个环境变量:
export ANSIBLE_HOST_KEY_CHECKING=False
我找到答案了，你需要将环境变量ANSIBLE_HOST_KEY_CHECKING设置为False。例如:
ANSIBLE_HOST_KEY_CHECKING=False ansible-playbook ...
大多数问题出现在你想添加新的主机动态库存(通过add_host模块)在剧本。我不想永久禁用指纹主机检查，所以在全局配置文件中禁用它的解决方案对我来说是不合适的。在运行playbook之前像ANSIBLE_HOST_KEY_CHECKING那样导出var是运行前需要记住的另一件事。
最好将本地配置文件添加到与playbook相同的目录中。创建名为ansible.cfg的文件，并粘贴以下文本:
[defaults]
host_key_checking = False
不需要记得在env vars或ansible-playbook选项中添加一些东西。把这个文件放到ansible git repo很容易。
两个选项-第一个，正如你在自己的回答中所说，是将环境变量ANSIBLE_HOST_KEY_CHECKING设置为False。
第二种设置方法是将它放在ansible.cfg文件中，这是一个非常有用的选项，因为你可以全局设置(在系统或用户级别，在/etc/ansible/ansible.cfg或~/.ansible.cfg)，或者在与你正在运行的playbook相同目录的配置文件中设置。
要做到这一点，在这些位置之一创建ansible.cfg文件，并包括以下内容:
[defaults]
host_key_checking = False
您还可以在那里设置许多其他方便的默认值，比如是否在剧本开始时收集事实，是否合并在多个地方声明的哈希值，或者用另一个替换哈希值，等等。在Ansible文档中有一大堆选项。
编辑:关于安全性的说明。
SSH主机密钥验证对于持久主机来说是一个有意义的安全层——如果您多次连接到同一台机器，那么在本地接受主机密钥是很有价值的。
对于存活时间较长的EC2实例，在初始创建实例时只运行一次任务并接受主机键是有意义的:
- name: Write the new ec2 instance host key to known hosts
connection: local
shell: "ssh-keyscan -H {{ inventory_hostname }} >> ~/.ssh/known_hosts"
对于动态启动并在playbook执行后立即删除的实例，检查主机密钥没有安全价值，但是对于持久机器，检查主机密钥有安全价值。因此，您应该根据不同的逻辑环境对主机密钥检查进行不同的管理。
默认情况下启用检查(在~/.ansible.cfg中) 禁用针对临时实例运行的playbook工作目录中的主机密钥检查(./ansible.cfg与playbook一起用于针对流浪虚拟机的单元测试，用于短期ec2实例的自动化)
