返回

Ansible selinux 模块: 底层命令与 sudo 精细化配置

Linux

Ansible selinux 模块底层命令探究与 sudo 配置

问题来了：Ansible 如何切换 SELinux 状态？

使用 Ansible 自动化管理服务器时，经常需要调整 SELinux 的状态。比如，你可能有一个 Playbook，通过一个特定的服务账户（使用 SSH 密钥对登录）来执行任务，并且这个账户需要 sudo 权限来完成某些操作。

假设你有下面这样的 Ansible 任务：

# main.yml 或 role task 文件
- name: Set SELinux
  include_tasks: set-SELinux-level.yml
  args:
    apply:
      become: true # 使用 sudo 提权

而 set-SELinux-level.yml 文件内容如下：

# set-SELinux-level.yml
- name: Put SELinux into permissive mode
  ansible.posix.selinux:
    policy: targeted  # 通常是默认策略
    state: "permissive" # 目标状态：permissive

这里的核心疑问是：当 Ansible 执行 ansible.posix.selinux 模块并将 state 设置为 "permissive" 时，它在目标服务器（比如 RHEL 9）上究竟执行了哪些底层的命令？是不是像我们手动操作时那样，简单地跑了个 /sbin/setenforce 0 ？知道具体命令对于配置精细化的 sudo 规则至关重要。

揭秘 ansible.posix.selinux 的幕后操作

Ansible 的模块本质上是 Python 脚本（或其他语言脚本），它们封装了目标系统上的原生命令或 API 调用，以实现幂等性（idempotency）和简化操作。ansible.posix.selinux 模块也不例外。

要将 SELinux 状态设置为 permissive，通常涉及两个层面的操作：

  1. 运行时状态（Runtime State）: 立即改变当前系统的 SELinux 模式，但不一定在重启后保持。
  2. 持久化配置（Persistent Configuration）: 修改配置文件，确保系统下次启动时应用期望的 SELinux 模式。

ansible.posix.selinux 模块设计得很智能，它会同时考虑这两个方面。当 state 被设置为 permissive 或 enforcing 时，它通常会执行以下逻辑：

  • 检查当前运行时状态: 使用类似 /sbin/getenforce 的命令获取当前 SELinux 模式。
  • 检查持久化配置: 读取 /etc/selinux/config 文件，查看 SELINUX= 的设置。
  • 执行更改（如果需要）:
    • 如果当前运行时状态与目标 state 不符，它会执行命令来改变运行时状态（比如 setenforce 0）。
    • 如果 /etc/selinux/config 中的配置与目标 state 不符，它会修改这个配置文件，确保下次重启后状态正确。

所以，它不只是简单地运行一个 setenforce 0。

方案剖析：ansible.posix.selinux 的具体动作

让我们分解一下，当 state: "permissive" 时，模块最可能执行哪些操作以及需要什么权限。

1. 更改运行时状态：setenforce

这是最直接的操作，用来立即改变 SELinux 的行为模式。

  • 原理与作用:
    • setenforce 命令用于修改 SELinux 的当前 enforcing 模式。
    • setenforce 0 将 SELinux 切换到 Permissive 模式。在这种模式下，SELinux 策略规则仍然会被检查，违规行为会被记录（log），但不会被强制阻止（block）。
    • setenforce 1 将 SELinux 切换回 Enforcing 模式，违规行为会被阻止并记录。
    • 这个命令的效果是即时的，但不会 在系统重启后保留。 Ansible 模块需要配合修改配置文件才能实现持久化。
  • Ansible 如何执行:
    • 模块首先会调用 getenforce 来检查当前状态。
    • 如果当前状态是 enforcing，并且目标 state 是 permissive，模块内部会执行类似 /sbin/setenforce 0 的命令。
    • 反之，如果目标是 enforcing 而当前是 permissive，则会执行 /sbin/setenforce 1。
  • 底层命令示例:
    • 检查状态： /sbin/getenforce
    • 设置为 permissive： /sbin/setenforce 0
  • sudo 配置需求:

    • getenforce 命令通常不需要特殊权限即可执行。

    • setenforce 命令必须 由 root 用户或具有相应权限的用户执行。因此，使用 become: true 的 Ansible 任务需要配置 sudo 规则，允许执行此命令。

    • 一个最小化的 sudoers 配置片段可能类似这样（假设服务账户名为 svc_ansible）：

      # /etc/sudoers 或 /etc/sudoers.d/svc_ansible_selinux
svc_ansible ALL=(ALL) NOPASSWD: /sbin/setenforce 0, /sbin/setenforce 1, /sbin/getenforce

      注意: 最好是只授予必要的命令权限 (/sbin/setenforce 0 或 /sbin/setenforce 1，根据你的实际需求决定是否两者都需要，以及 /sbin/getenforce 用于检查）。

  • 安全建议:
    • 坚持最小权限原则 。不要直接给 svc_ansible ALL=(ALL) NOPASSWD: ALL 这种过于宽泛的权限。
    • 将 sudo 规则放在 /etc/sudoers.d/ 目录下的独立文件中（文件名不含点号 . 或以 ~ 结尾），便于管理和审计。使用 visudo 命令编辑 sudoers 文件以保证语法正确。
  • 进阶使用:
    • setenforce 命令执行很快，几乎是瞬时的。 Ansible 模块通过 getenforce 检查确保了幂等性，即如果状态已经是 permissive，它不会重复执行 setenforce 0。

2. 修改持久化配置：编辑 /etc/selinux/config

为了让 SELinux 状态在系统重启后依然保持 permissive，还需要修改配置文件。

  • 原理与作用:
    • /etc/selinux/config 文件是 SELinux 的主配置文件。其中的 SELINUX= 指令决定了系统启动时的默认模式 (enforcing, permissive, 或 disabled)。
    • ansible.posix.selinux 模块会读取并修改这个文件，以匹配期望的 state。
  • Ansible 如何执行:
    • 模块会解析 /etc/selinux/config 文件。
    • 如果文件中 SELINUX= 的值不是 permissive（忽略大小写和注释），模块会修改这一行，将其设置为 SELINUX=permissive。
    • 这通常是通过文件操作完成的，比如使用 Python 的文件处理能力，或者内部调用类似 sed 的工具（虽然 Ansible 模块通常直接用 Python 实现文件修改以提高效率和跨平台性）。
  • 底层命令示例 (概念性):
    • 读取文件内容 (内部 Python 操作)
    • 修改文件内容，例如，概念上类似执行: 
      # 注意：Ansible 模块内部实现更健壮，这只是个示意
sed -i 's/^SELINUX=.*/SELINUX=permissive/' /etc/selinux/config
  • sudo 配置需求:

    • 修改 /etc/selinux/config 文件需要 root 权限。

    • 因此，sudo 规则必须允许服务账户修改这个特定的文件。

    • 一种方式是允许执行特定的编辑命令（比如 sed，但不推荐，因为 sed 可以做很多事情），更好的方式是直接赋予文件写权限，但这在 sudoers 中配置比较复杂且不直观。通常，允许执行管理配置文件的脚本或工具是更安全的做法。但在 ansible.posix.selinux 这个场景下，因为 Ansible 自身通过 become 机制获取了 root 权限（如果 sudo 配置允许），它就能直接修改文件。

    • 所以，关键在于 sudo 规则是否允许 svc_ansible 以 root 身份执行 Ansible 的模块进程 。如果 sudo 规则允许 svc_ansible 执行任意命令 (如 ALL=(ALL) NOPASSWD: ALL)，那么它自然就能修改这个文件。如果权限收得很紧，就需要确保它能修改 /etc/selinux/config。

    • 一个更实际的 sudo 场景是，如果允许执行特定的 Python 脚本或 Ansible 内部命令 。但这很难精确指定。所以，通常归结为要么给相对宽泛的执行权限（风险较高），要么依赖 sudo 允许执行 setenforce，并接受 Ansible 模块以 root 身份进行文件修改的事实。

    • 合并 setenforce 和文件修改的 sudo 规则:
      如果你想同时覆盖 setenforce 和配置文件修改（假设 Ansible 模块以 root 权限运行时可以直接写文件），那么之前的 setenforce 规则就够用了，因为它允许 Ansible 进程提权到 root，root 自然可以写文件。

      # /etc/sudoers.d/svc_ansible_selinux
# 这个规则允许 svc_ansible 执行 setenforce 命令，
# 并且由于 Ansible 的 become 机制，模块执行时是 root 身份，
# 所以也能修改 /etc/selinux/config
svc_ansible ALL=(ALL) NOPASSWD: /sbin/setenforce 0, /sbin/setenforce 1, /sbin/getenforce
  • 安全建议:
    • 修改配置文件是有风险的操作。确保 Ansible Playbook 经过充分测试。
    • 使用版本控制系统（如 Git）管理你的 /etc/selinux/config 文件或整个 /etc 目录，以便追踪变更和回滚。
    • 理解 disabled 状态与 permissive 的区别：disabled 完全禁用 SELinux，需要重启才能生效，并且再次启用 SELinux 可能需要文件系统重新标记（relabel），耗时较长。permissive 只是不强制执行策略，日志记录功能仍在，切换回 enforcing 也更方便。通常推荐使用 permissive 而不是 disabled 来进行临时调试。
  • 进阶使用:
    • 修改 /etc/selinux/config 文件后，这个改动只会在下次系统重启 后生效。而 setenforce 命令是立即生效的。ansible.posix.selinux 模块聪明地结合了两者：它先用 setenforce 立即改变运行时状态，然后修改配置文件确保持久性。这样就无需等待重启，同时保证了重启后配置依然有效。

如何确认 Ansible 到底执行了什么？

如果你想百分百确定 Ansible 在你的特定环境中执行了哪些命令，有几种方法：

  1. 提高 Ansible 的 Verbosity (详细模式):
    运行 ansible-playbook 时加上 -vvv 或更多 v (-vvvv)。

    ansible-playbook your_playbook.yml -i your_inventory -vvv

    详细输出通常会包含模块执行时的一些底层信息，有时甚至能看到具体的命令或系统调用。

  2. 检查目标服务器的日志:
    如果目标服务器开启了 auditd 服务并且配置了相应的审计规则（特别是针对 execve 系统调用的），你可以在 /var/log/audit/audit.log 文件中查找由 svc_ansible 用户通过 sudo 执行的命令记录。

  3. 使用 strace (高级，慎用):
    理论上，你可以尝试附加 strace 到 Ansible 在远程主机上启动的 Python 进程，但这操作复杂且可能影响性能，不推荐在生产环境中使用。

  4. 阅读模块源码:
    Ansible 是开源的。你可以直接查看 ansible.posix.selinux 模块的 Python 源代码（通常位于 Python 的 site-packages/ansible/modules/ 目录下，或 Ansible Collection 的路径下），了解其内部逻辑和调用的系统命令/库。这是最准确的方法。

完整的 sudoers 规则建议

考虑到 ansible.posix.selinux 模块需要执行 getenforce 来检查状态、执行 setenforce 来改变运行时状态，并且需要修改 /etc/selinux/config 文件（这通常通过 Ansible 进程以 root 身份直接操作文件实现），一个比较实际且相对安全的 sudoers 配置如下：

# /etc/sudoers.d/svc_ansible_selinux
# 允许 svc_ansible 用户无需密码执行 getenforce 和 setenforce 命令
# 注意：当 Ansible 模块使用 become=true 执行时，它以 root 身份运行。
# 这意味着只要 sudo 规则允许提权（即使只是为了 setenforce），
# 模块内的文件操作（如修改 /etc/selinux/config）也会以 root 权限进行。
# 因此，明确允许 setenforce 通常就足够覆盖模块的需求了。

Defaults!/sbin/getenforce !requiretty
Defaults!/sbin/setenforce !requiretty
svc_ansible ALL=(root) NOPASSWD: /sbin/getenforce, /sbin/setenforce 0, /sbin/setenforce 1

# 如果你极度关注安全，并且不希望给予执行 setenforce 的权限，
# 而是只允许修改配置文件，那可以考虑用专门的工具或脚本包装文件修改操作，
# 并只授权那个脚本。但对于 ansible.posix.selinux 模块的标准用法，
# 允许 setenforce 是更直接且符合模块设计的方式。
  • Defaults!... !requiretty：确保这些命令在非 TTY 环境（比如 Ansible SSH 连接）下也能通过 sudo 执行。
  • (root)：明确指定提权到 root 用户。
  • NOPASSWD:：允许无密码执行，这对于自动化是必要的。
  • 明确列出命令的绝对路径。

这个配置既满足了 ansible.posix.selinux 模块设置 state: permissive（或 enforcing）的需求，又遵循了最小权限原则，只开放了必要的命令。 Ansible 通过 become 获得的 root 权限将处理文件修改部分。