在 Windows 上与域用户一起使用 Ansible

Question

我开始学习 Ansible，但文档并没有太大帮助。

我已经在 RHEL 上安装了控制机器并创建了必要的主机文件和windows.yml 。

但是当尝试连接到远程 Windows 服务器以获取乒乓球时，我收到以下错误：

[root@myd666 ansible_test]# ansible windows -i hosts -m win_ping
hostname | UNREACHABLE! => {
    "changed": false,
    "msg": "ssl: the specified credentials were rejected by the server",
    "unreachable": true
}

安装 python-kerberos 依赖项后，

我现在收到此错误：

hostname | UNREACHABLE! => {
    "changed": false,
    "msg": "Kerberos auth failure: kinit: KDC reply did not match expectations while getting initial credentials",
    "unreachable": true
}

我的windows.yml文件包含：

# it is suggested that these be encrypted with ansible-vault:
# ansible-vault edit group_vars/windows.yml
ansible_ssh_user: user@MYDOMAIN.NET
ansible_ssh_pass: password
ansible_ssh_port: 5986
ansible_connection: winrm
ansible_winrm_server_cert_validation: ignore

我对Domain\\user\u003c/strong>的语法做错了吗？ 也许我忘了在 Windows 机器上安装一些东西？ 我只运行了ConfigureRemotingForAnsible.ps1脚本，并且那里没有安装 Python。

这是我的krb5.conf文件：

[libdefaults]
default_realm = MYDOMAIN.NET
#dns_lookup_realm = true
#dns_lookup_kdc = true

[realms]
MYDOMAIN.NET = {
kdc = dc1.mydomain.net
default_domain = hpeswlab.net
}

[domain_realm]
.mydomain.net = MYDOMAIN.NET
 mydomain.net = MYDOMAIN.NET

我确实使用 Kinit 获得了一个令牌：

kinit -C user@MYDOMAIN.NET

klist

Klist输出：

Valid starting       Expires              Service principal
01/31/2017 11:25:33  01/31/2017 21:25:33  krbtgt/MYDOMAIN.NET@MYDOMAIN.NET
        renew until 02/01/2017 11:25:29

Answer 1

在windows.yml 中，请仔细检查并确保ansible_ssh_user: user@MYDOMAIN.NET行确实具有大写的领域 MYDOMAIN.NET。 在某处，向 KDC 发送的领域请求以小写而不是大写发送，导致“KDC 回复与预期不匹配......”错误。

在krb5.conf 中，区分大小写也很重要。 首先我要注意，由于 KDC 名称是 IP 主机的名称，因此需要将其指定为完全限定的主机名，如下面的示例所示。 它假定您的 KDC 名为“dc1.mydomain.net”。 接下来，域名只能小写。 另一方面，Kerberos 领域名称需要大写- 如果在此文件中以小写错误指定领域名称，这是您可能会收到此错误消息的另一个原因。 请将整个 krb5.conf 修改为如下所示（仅将“dc1”更改为实际名称），它应该可以工作。 旁注：您不一定需要 krb5.conf 中的两个dns_lookup_行，因此请按照下面的说明将它们注释掉。 根据MIT Kerberos 文档，这些只是后备机制，实际上可能会在您的简单用例中导致问题。 修改任一配置文件后，请确保在再次测试之前重新启动 Ansible 引擎。

[libdefaults]
default_realm = MYDOMAIN.NET
#dns_lookup_realm = true
#dns_lookup_kdc = true

[realms]
MYDOMAIN.NET = {
kdc = dc1.mydomain.net
default_domain = mydomain.net
        }

[domain_realm]
.mydomain.net = MYDOMAIN.NET 
mydomain.net = MYDOMAIN.NET

请参阅此 MIT 参考以了解如何正确设置 krb5.conf： 示例 krb5.conf 文件

在Hosts文件中，检查以确保您的 IP 到名称的映射正确。 根据 RFC，Kerberos 需要一个正常运行的 DNS，如果您的 Hosts 文件中有过时的条目，您就有可能会缩短它。

最后，虽然我无法确定您使用的是哪个版本的 Ansible，但我做了一些研究，发现“Ansible 2.0 已弃用 ansible_ssh_user、ansible_ssh_host 和 ansible_ssh_port 中的“ssh”，改为 ansible_user、ansible_host 和 ansible_port。 ” 这当然可能是问题的一部分。 请参阅： Windows 上的 Ansible 文档