在 windows 上与域用户一起使用 Ansible

Question

我开始学习 Ansible，但文档帮助不大。

我已经在 RHEL 上安装了控制机器并创建了必要的 hosts 文件和 windows.yml.

但是当尝试连接到远程 Windows 服务器以取回乒乓球时，我收到以下错误：

[root@myd666 ansible_test]# ansible windows -i hosts -m win_ping
hostname | UNREACHABLE! => {
    "changed": false,
    "msg": "ssl: the specified credentials were rejected by the server",
    "unreachable": true
}

Installing python-kerberos dependencies之后，

我现在收到这个错误：

hostname | UNREACHABLE! => {
    "changed": false,
    "msg": "Kerberos auth failure: kinit: KDC reply did not match expectations while getting initial credentials",
    "unreachable": true
}

我的windows.yml文件包含：

# it is suggested that these be encrypted with ansible-vault:
# ansible-vault edit group_vars/windows.yml
ansible_ssh_user: user@MYDOMAIN.NET
ansible_ssh_pass: password
ansible_ssh_port: 5986
ansible_connection: winrm
ansible_winrm_server_cert_validation: ignore

我是不是对Domain\user的语法做错了什么？也许我忘了在 Windows 机器上安装一些东西？我只运行 ConfigureRemotingForAnsible.ps1 脚本，Python 没有安装在那里。

这是我的krb5.conf文件：

[libdefaults]
default_realm = MYDOMAIN.NET
#dns_lookup_realm = true
#dns_lookup_kdc = true

[realms]
MYDOMAIN.NET = {
kdc = dc1.mydomain.net
default_domain = hpeswlab.net
}

[domain_realm]
.mydomain.net = MYDOMAIN.NET
 mydomain.net = MYDOMAIN.NET

我确实使用 Kinit 获得了一个令牌：

kinit -C user@MYDOMAIN.NET

klist

Klist输出：

Valid starting       Expires              Service principal
01/31/2017 11:25:33  01/31/2017 21:25:33  krbtgt/MYDOMAIN.NET@MYDOMAIN.NET
        renew until 02/01/2017 11:25:29

Answer 1

在windows.yml中，请double-check并确保ansible_ssh_user: user@MYDOMAIN.NET行确实在upper中有领域MYDOMAIN.NET案件。在某处，对 KDC 的领域请求以小写字母而不是大写字母发送，导致 'KDC reply did not match expectations..' 错误。

在krb5.conf中，case-sensitivity也很重要。首先我会注意到，由于 KDC 名称是 IP 主机的名称，因此需要将其指定为 fully-qualified 主机名，如下例所示。它假定您的 KDC 名为 "dc1.mydomain.net"。接下来，域名只能是小大小写。另一方面，Kerberos 领域名称需要采用 upper 大小写 - 如果在此文件中错误地以小写形式指定了领域名称，这是您可能会收到此错误消息的另一个原因。请将您的整个 krb5.conf 修改为如下所示（仅将 "dc1" 更改为实际名称），它应该可以工作。旁注：您不一定需要 krb5.conf 中的两行 dns_lookup_，所以请按照下面的注释将它们注释掉。这些只是根据 MIT Kerberos Documentation 的回退机制，实际上可能会在您的简单用例中引起问题。修改任一配置文件后，请确保在再次测试之前重新启动 Ansible 引擎。

[libdefaults]
default_realm = MYDOMAIN.NET
#dns_lookup_realm = true
#dns_lookup_kdc = true

[realms]
MYDOMAIN.NET = {
kdc = dc1.mydomain.net
default_domain = mydomain.net
        }

[domain_realm]
.mydomain.net = MYDOMAIN.NET 
mydomain.net = MYDOMAIN.NET

请参阅此 MIT 参考资料以了解如何正确设置 krb5.conf：Sample krb5.conf File

在 Hosts 文件中，检查以确保您的 IP 到名称的映射是正确的。根据 RFC，Kerberos 需要一个正常运行的 DNS，如果您的 Hosts 文件中有过时的条目，您就有可能更改它。

最后，虽然我无法判断您使用的是哪个版本的 Ansible，但我做了一些研究并发现 "Ansible 2.0 has deprecated the “ssh” from ansible_ssh_user, ansible_ssh_host, and ansible_ssh_port to become ansible_user, ansible_host, and ansible_port." 这肯定是问题的一部分。参见：Ansible on Windows Documentation

在 windows 上与域用户一起使用 Ansible

Using Ansible on windows with domain user

authentication

ansible

active-directory

ldap

kerberos