Ansible通过合理Inventory分组、user模块创建用户、authorized_key模块注入公钥，实现多主机群统一账号创建与SSH授权。需确保分组清晰、密钥安全、权限合规，并推荐用Playbook封装流程以保障可复用与审计性。
用 Ansible 的 user 模块实现跨集群账号创建与 SSH 授权，核心不是“跨集群”本身（Ansible 本身不定义集群概念），而是**统一管理多个主机分组（如不同机房、不同环境的主机组）并批量完成用户创建 + 公钥注入**。关键在于 Inventory 分组设计、模块组合使用和权限控制逻辑。
一、Inventory 主机分组要清晰可扩展
把不同集群的机器按逻辑归入独立主机组，便于后续定向操作：
- 在 /etc/ansible/hosts 或自定义清单文件中定义，例如：
[cluster-prod] 10.10.1.10 10.10.1.11 10.10.1.12 <p>[cluster-staging] 10.20.1.5 10.20.1.6</p><p>[cluster-dev] 192.168.50.100 192.168.50.101</p>
- 避免混用 IP 和主机名；若需解析，统一配置 /etc/hosts 或 DNS
- 支持变量继承：可在组级设置通用参数，如 [cluster-prod:vars] 定义 ansible_user=deploy
二、用 user 模块创建账号并设密码（可选）
Ansible 的 user 模块负责系统用户生命周期管理。创建账号时注意幂等性与安全性：
- 基础创建（无密码登录，仅靠 SSH 密钥）：
ansible cluster-prod -m user -a "name=ops state=present shell=/bin/bash create_home=yes group=wheel"
- 若需设置密码（不推荐明文，建议用加密值）：
ansible cluster-prod -m user -a "name=ops state=present password='$6$rounds=4096$abc123...'"
- 密码必须是 crypt(3) 加密格式，可用 mkpasswd --method=sha-512 生成
- 生产环境更推荐免密登录，密码字段留空或省略
三、SSH 授权 = 创建用户 + 注入公钥 + 权限加固
单纯创建用户不等于能 SSH 登录。授权需三步闭环：
- 1. 准备公钥文件：将运维人员的 ~/.ssh/id_rsa.pub（或统一分发的部署密钥）保存为本地文件，如 /tmp/deploy_key.pub
- 2. 用 authorized_key 模块注入（比手动 copy 更安全可靠）：
ansible cluster-prod -m authorized_key -a "user=ops state=present key='{{ lookup('file', '/tmp/deploy_key.pub') }}'"
- 该模块自动处理 ~/.ssh/authorized_keys 文件权限（600）、目录创建（700）及去重
- 支持多密钥：key 参数可传入列表或使用循环（见 Playbook 方式）
- 3. 可选加固：限制该用户仅能执行特定命令（如只允许 ansible-pull），或通过 /etc/ssh/sshd_config 配置 ForceCommand 或 AllowUsers ops
四、推荐用 Playbook 实现完整流程
临时命令适合验证，但账号创建+授权+权限校验应封装为可复用、可审计的 Playbook：
- 示例 create-ops-user.yml：
- name: Create and authorize ops user across clusters
hosts: "{{ target_group | default('all') }}"
become: true
vars:
ops_user: "ops"
ssh_pubkey_file: "/tmp/deploy_key.pub"
tasks:
- name: Ensure ops user exists
user:
name: "{{ ops_user }}"
state: present
shell: /bin/bash
groups: wheel
create_home: yes
<pre class="brush:php;toolbar:false;">- name: Deploy SSH public key
authorized_key:
user: "{{ ops_user }}"
state: present
key: "{{ lookup('file', ssh_pubkey_file) }}"
- name: Ensure .ssh dir permissions
file:
path: "/home/{{ ops_user }}/.ssh"
mode: '0700'
owner: "{{ ops_user }}"
group: "{{ ops_user }}"
state: directory
- 执行：ansible-playbook create-ops-user.yml -e "target_group=cluster-prod"
- 可加 --limit 进一步筛选子集，如 --limit '10.10.1.10'
整个过程不依赖客户端 Agent，只要控制节点能 SSH 连通目标主机、Python 环境就绪，就能完成多组机器的账号初始化与密钥授权。重点在于清单结构合理、密钥分发可靠、权限收口明确。
