Ansibleでパスワード変更の際に、パスワードポリシーを遵守させたい

Question

Ansibleからパスワード変更を行うとOSに設定したパスワードポリシーを無視して設定が出来てしまいます。

パスワードポリシーを遵守させる方法はありますでしょうか。

- name: <lin> modify user passwd
  user:
    name: "{{ username }}"
    password: "{{ passwd | password_hash('sha512')}}"
  become: yes
  become_user: root
  register: result_change
  failed_when: false
  tags:
    - modify
    - never

■パスワードポリシーの設定
Linux7で以下の通りにパスワードポリシーを設定しています。

https://access.redhat.com/documentation/ja-jp/red_hat_enterprise_linux/7/html/security_guide/chap-hardening_your_system_with_tools_and_services#sec-Password_Security

/etc/pam.d/passwd

password    required    pam_pwquality.so retry=3

/etc/security/pwquality.conf

minlen = 12 
minclass = 3

Answer 1

参考程度ですが、おそらくuserモジュールはpam経由でユーザを作成していないため、pamで定義されているパスワードポリシーも適用されないと思います。

shellモジュールやcommandモジュールでコマンドを直接実行する。
Ansibleからしかユーザ作成しないのであれば、Ansible側でパスワードチェックを実装する。

Comments

[ntaniuch]

ご回答頂きありがとうございます。

shellモジュールやcommandモジュールからパスワード変更を実装しようかなと考えています。
Ansible側でパスワードチェックをするとしたら、文字列長12文字はクリア出来ても、大文字小文字数字記号から3種類使っていることのチェックの実装が難しいと考えています。
（そうですね。文字種3種使用のチェックが実装出来たら、Ansible側でパスワードチェックをさせてもよいですね。）

[comefigo]

Ansibleの自作モジュールに手を出してみるのもいいかと思います。そうすればお好きな言語で好きなように実装できます。パスワードポリシーを外部ファイルに外だしにするとポリシーが変わった時に都度プログラムの修正しないように実装するのもアリかと思います。

[ntaniuch]

なるほど。ご助言ありがとうございます。
Ansibleは本を読みながらまだ始めたばかりで、自作モジュールは考えてなかったです。

> パスワードポリシーを外部ファイルに外だしにするとポリシーが変わった時に都度プログラムの修正しないように実装するのもアリかと思います。
仰る通りこの考慮は必要ですね。ありがとうございます。

[comefigo]

実はAnsibleの自作モジュールはかなり簡単にできるんです。
是非お試しください。
https://dev.classmethod.jp/articles/ansible-develop-module-basis/