手把手教你用Ansible批量加固CentOS 7/8服务器，一键搞定等保三级合规
基于Ansible的CentOS服务器等保三级自动化合规实践指南
当企业服务器规模超过两位数时，手动逐台配置安全策略就像用勺子舀干游泳池——理论上可行，实际上令人崩溃。我曾见证某金融机构因手动加固遗漏导致的安全事件，事后排查发现是3台未及时更新的测试服务器成为攻击跳板。这正是自动化运维工具Ansible的用武之地，它不仅能将等保三级要求的200+项配置转化为可重复执行的代码，更能确保每台服务器获得完全一致的"安全基因"。
1. 等保三级合规自动化架构设计
等保三级对操作系统的要求可以归纳为四个维度：身份鉴别、访问控制、安全审计和入侵防范。传统手工操作面临三个致命问题：配置遗漏风险（人工操作难免疏忽）、一致性难以保障（不同运维人员理解差异）以及审计追踪困难（无法证明所有设备采用相同标准）。
Ansible的无代理架构和幂等性特性完美解决了这些痛点。通过YAML格式的Playbook，我们可以将安全策略转化为声明式代码，其中：
- 身份鉴别模块处理密码复杂度、会话超时等配置
- 访问控制模块管理用户权限、sudo策略和SSH访问限制
- 审计模块配置auditd规则和日志外发
- 防范模块设置文件权限和网络防护
# 等保合规架构示例 - name: 等保三级合规框架 hosts: all vars: compliance_level: "3" password_minlen: 10 ssh_max_auth_tries: 5 tasks: - include_tasks: auth_hardening.yml - include_tasks: access_control.yml - include_tasks: audit_config.yml实际部署中建议采用分层执行策略：先对10%的测试节点运行验证，确认无业务影响后再全量推送。关键配置如密码策略应设置前置检查，避免因语法错误导致大规模故障。
2. 核心安全模块实现详解
2.1 身份认证加固的自动化实现
密码策略是等保三级的第一道防线。通过Ansible的pam模块，我们可以批量配置以下规则：
- name: 配置密码复杂度策略 block: - name: 备份pam配置文件 ansible.builtin.copy: src: /etc/pam.d/system-auth dest: /etc/pam.d/system-auth.bak remote_src: yes - name: 设置密码复杂度规则 ansible.builtin.lineinfile: path: /etc/pam.d/system-auth regexp: '^password\s+requisite\s+pam_pwquality.so' line: 'password requisite pam_pwquality.so try_first_pass local_users_only retry=3 minlen={{ password_minlen }} lcredit=-1 ucredit=-1 dcredit=-1 ocredit=-1 enforce_for_root' state: present会话超时配置需要同时处理全局profile和SSH配置：
- name: 配置会话超时 blockinfile: path: /etc/profile block: | # 等保要求：会话超时300秒 if [ "$PS1" ]; then TMOUT=300 readonly TMOUT export TMOUT fi marker: "# {mark} ANSIBLE MANAGED BLOCK - SESSION TIMEOUT" - name: 配置SSH超时 lineinfile: path: /etc/ssh/sshd_config regexp: '^#?ClientAliveInterval' line: 'ClientAliveInterval 300' state: present notify: restart sshd关键技巧：使用blockinfile模块而非直接修改可以保留原有内容，并通过标记注释明确标识自动化管理的配置段。密码策略变更后，建议添加验证任务：
- name: 验证密码策略 ansible.builtin.command: grep "minlen={{ password_minlen }}" /etc/pam.d/system-auth register: policy_check failed_when: policy_check.rc != 02.2 访问控制的三权分立模型
等保三级要求的管理员、审计员、安全员三权分立，可以通过以下Playbook实现：
- name: 创建三权分立账户 hosts: all vars: admin_password: "{{ vault_admin_pass }}" audit_password: "{{ vault_audit_pass }}" security_password: "{{ vault_security_pass }}" tasks: - name: 创建系统管理员账户 ansible.builtin.user: name: sysadmin password: "{{ admin_password | password_hash('sha512') }}" groups: wheel append: yes - name: 配置sudo权限 ansible.builtin.lineinfile: path: /etc/sudoers regexp: '^%wheel' line: '%wheel ALL=(ALL) NOPASSWD: ALL' validate: 'visudo -cf %s'生产环境建议：
- 密码应使用Ansible Vault加密存储
- 通过
validate参数检查sudoers文件语法 - 采用LDAP集成时需同步配置PAM模块
SSH访问控制配置示例：
- name: 限制root远程登录 lineinfile: path: /etc/ssh/sshd_config regexp: '^#?PermitRootLogin' line: 'PermitRootLogin no' state: present notify: restart sshd - name: 设置SSH访问白名单 blockinfile: path: /etc/ssh/sshd_config block: | AllowUsers sysadmin security auditor AllowGroups ssh-users marker: "# {mark} ANSIBLE MANAGED BLOCK - SSH ACCESS" notify: restart sshd3. 安全审计与日志管理
3.1 审计规则配置
auditd是等保三级要求的核心审计工具，以下配置监控关键文件变更：
- name: 配置文件完整性监控 block: - name: 确保auditd服务运行 ansible.builtin.service: name: auditd state: started enabled: yes - name: 添加关键文件审计规则 ansible.builtin.lineinfile: path: /etc/audit/rules.d/audit.rules line: "{{ item }}" create: yes loop: - -w /etc/passwd -p wa -k identity - -w /etc/group -p wa -k identity - -w /etc/shadow -p wa -k identity - -w /etc/sudoers -p wa -k privilege notify: restart auditd审计规则优化建议：
- 对生产数据库服务器增加
-a always,exit -F arch=b64 -S execve监控命令执行 - 使用
-k参数为规则打标签便于检索 - 通过
ausearch -k identity快速查询相关事件
3.2 日志集中管理
等保三级要求日志保存6个月以上，推荐如下配置：
- name: 配置rsyslog日志转发 block: - name: 添加日志服务器配置 ansible.builtin.lineinfile: path: /etc/rsyslog.conf line: '*.* @{{ log_server }}:514' state: present - name: 配置日志轮转 ansible.builtin.copy: src: files/logrotate.conf dest: /etc/logrotate.d/syslog mode: 0644 - name: 重启rsyslog服务 ansible.builtin.service: name: rsyslog state: restarted vars: log_server: "192.168.1.100"日志管理进阶技巧：
- 使用TCP而非UDP传输日志（添加
@@前缀） - 为不同设备配置不同的日志标签
- 对日志文件配置SELinux上下文
4. 生产环境最佳实践
4.1 执行策略与错误处理
大规模部署时需要特别注意：
- name: 分批次执行合规配置 hosts: "{{ target_group }}" serial: "{{ batch_size | default(10) }}" max_fail_percentage: 5 tasks: - name: 前置检查磁盘空间 ansible.builtin.command: df -h / register: disk_check failed_when: disk_check.stdout | regex_search('(9[0-9]|100)%') - include_role: name: compliance tasks_from: base关键参数说明：
serial：控制并发节点数量max_fail_percentage：允许的失败比例阈值any_errors_fatal：出现错误立即终止
4.2 验证与报告生成
配置完成后需要验证效果：
- name: 合规性验证 hosts: all tasks: - name: 收集密码策略配置 ansible.builtin.command: grep minlen /etc/pam.d/system-auth register: password_policy - name: 检查SSH配置 ansible.builtin.command: sshd -T register: sshd_config - name: 生成合规报告 ansible.builtin.template: src: templates/compliance_report.j2 dest: /tmp/compliance-{{ inventory_hostname }}.html报告模板示例（Jinja2格式）：
<h3>等保三级合规报告 - {{ ansible_hostname }}</h3> <ul> <li>密码策略: {{ password_policy.stdout }}</li> <li>SSH配置: {{ sshd_config.stdout_lines | select('match','PermitRootLogin') | first }}</li> </ul>4.3 典型问题解决方案
问题1：Playbook执行后某些服务异常
解决方案：
- name: 服务状态检查 ansible.builtin.service_facts: - name: 异常服务恢复 ansible.builtin.service: name: "{{ item }}" state: restarted loop: "{{ ansible_facts.services | selectattr('state', 'match', 'stopped') | map(attribute='name') | list }}" when: ansible_facts.services is defined问题2：配置回滚需求
回滚策略示例：
- name: 配置文件回滚 ansible.builtin.copy: src: "{{ item }}.bak" dest: "{{ item }}" remote_src: yes loop: - /etc/pam.d/system-auth - /etc/ssh/sshd_config ignore_errors: yes在金融行业某实际案例中，通过Ansible实现的自动化合规部署将原本需要2周的手工操作缩短到2小时完成，且配置一致性达到100%。关键在于建立了完善的测试验证流程：开发环境→预发布验证→灰度发布→全量部署。每次Playbook更新都通过Git进行版本控制，确保可追溯性。