如何通过Puppet配置让指定组仅用salt-ssh在特定服务器执行指定命令

嘿，我来帮你搞定这个权限限制的需求——让特定非root组的用户只能通过salt-ssh在指定服务器上跑特定命令，而且用Puppet来统一配置管理。下面是一步步的实现方案：

1. 先明确核心限制条件 #

首先得把需求拆成三个可控的关键点：

• 允许的用户组：比如我们假设是devops组
• 目标服务器：比如web-server-01（或对应的IP）
• 允许执行的特定命令：比如/usr/bin/nginx -s reload

2. 用Puppet管理专属Salt Roster文件（限制目标服务器） #

salt-ssh依赖roster文件来定义可访问的目标服务器。我们可以给特定组创建一个专属roster文件，只包含允许访问的服务器，并用Puppet来管理它的权限：

file { '/etc/salt/roster_devops':
  ensure  => file,
  owner   => 'root',
  group   => 'devops',
  mode    => '0640',  # 组用户只读，防止篡改
  content => @("EOT")
    web-server-01:
      host: 192.168.1.100  # 替换成你的目标服务器IP
      user: root
      sudo: True
  EOT
}

这样只有devops组的用户能读取这个roster，里面只列出了允许操作的服务器，从源头限制了目标范围。

3. 配置Sudo规则，严格限制可执行的salt-ssh命令 #

因为用户是非root，必须通过sudo来执行salt-ssh，但我们要精准控制他们能跑的命令。用Puppet直接管理sudo规则文件（或者用官方的sudo模块）：

方式1：直接管理sudoers.d文件 #

file { '/etc/sudoers.d/devops_salt_restrictions':
  ensure  => file,
  owner   => 'root',
  group   => 'root',
  mode    => '0440',  # 仅root可修改
  content => @("EOT")
    %devops ALL=(root) NOPASSWD: /usr/bin/salt-ssh --roster /etc/salt/roster_devops web-server-01 cmd.run "/usr/bin/nginx -s reload"
  EOT
  require => File['/etc/salt/roster_devops'],  # 确保roster文件先存在
}

注：NOPASSWD是可选的，如果希望用户执行时输入自己的密码验证，就去掉这个参数。

方式2：用Puppet sudo模块（更规范） #

如果你的环境已经在用puppetlabs/sudo模块，这么配置：

sudo::rule { 'devops_salt_ssh_restricted':
  users   => '%devops',
  commands => [
    '/usr/bin/salt-ssh --roster /etc/salt/roster_devops web-server-01 cmd.run "/usr/bin/nginx -s reload"',
  ],
  require => File['/etc/salt/roster_devops'],
}

4. 锁定配置防止篡改 #

最后用Puppet确保关键文件的权限无法被普通用户修改，避免权限绕过：

# 确保roster文件权限正确
file { '/etc/salt/roster_devops':
  owner => 'root',
  group => 'devops',
  mode  => '0640',
}

# 确保sudo规则文件权限严格
file { '/etc/sudoers.d/devops_salt_restrictions':
  mode  => '0440',
  owner => 'root',
  group => 'root',
}

5. 测试验证 #

配置完成后，让devops组的用户登录测试：

• 允许的命令应该能正常执行：

  sudo salt-ssh web-server-01 cmd.run "/usr/bin/nginx -s reload"
  

  如果你给用户设置了环境变量（下面的额外优化），甚至不用加--roster参数

• 尝试执行其他命令或访问其他服务器，会被sudo拒绝，比如：

  sudo salt-ssh web-server-02 cmd.run "uptime"
  

额外优化：自动加载专属Roster #

想让用户不用每次都手动指定--roster参数？可以用Puppet给devops组用户设置环境变量：

file { '/etc/profile.d/devops_salt.sh':
  ensure  => file,
  owner   => 'root',
  group   => 'root',
  mode    => '0644',
  content => 'export SALT_ROSTER=/etc/salt/roster_devops',
}

这样用户登录后，执行salt-ssh会自动使用专属roster文件。

内容的提问来源于stack exchange，提问作者Reception123