개요

• 문서/소스코드 최종 수정 : 2012-03-04, 김정겸
• 리눅스에서 시스템 계정을 추가로 생성하는 스크립트이다. 회사에서 쓰는 관례에 따라 /data1/ 디렉토리 아래에 홈디렉토리를 생성하고, /data[n]/ 디렉토리에 데이터 저장용 디렉토리들을 모두 생성한다.
• ssh 접속을 위한 rsa key를 생성하는 옵션을 제공하여, .ssh/id_rsa, id_rsa.pub 파일을 생성한다.
• .ssh/authorized_keys 파일에는 자신의 .ssh/id_rsa.pub 파일을 기본적으로 항상 추가하게 된다. 이때, 중복 여부 검사해서, 필요한 경우에만 추가한다.
• .ssh/known_hosts 파일도 옵션으로 자동 생성한다. /etc/hosts 파일에 등록된 모든 host 에 대해서 known_hosts 파일을 생성한다.
• 멱등성(idempotence)를 갖도록 구현하였는데, 아직 충분히 테스트해보지는 못하였다. 손으로 테스트해 본 몇몇 케이스에 대해서는 bug fix를 했는데, 다른 분들이 써 보시고 feedback 주시면 좋겠다.
• RHEL5 에서 주로 사용했기 때문에, 다른 리눅스 배포본에서는 테스트가 더 필요할 수 있다.
• 비밀번호 지정할 때에는 openssl 명령을 이용하면 편리하다. 암호화된 비밀번호 문자열을 생성할 때 유용하다. 자세한 건 openssl(1) man page 참조하면 된다.

주의할 점

--dry-run 옵션은 작동하지 않는다. 구현되지 않은 기능이다.

사용법

• 계정 생성하기 - 비밀번호는 기본 값 (소스코드 내 암호화된 비밀번호를 고쳐서 사용하세요)
  add_user username
• 비밀번호 임의로 지정하기
  add_user username $(openssl passwd -1 '비밀번호')
• known_hosts 파일 생성하기 (기본 비밀번호로 초기화됨)
  add_user --known-hosts username
• ssh rsa key 생성하기 (기본 비밀번호로 초기화됨)
  add_user --rsa-key username
• 비밀번호 지정하면서 known_hosts 생성하고 rsa key 생성하기
  add_user --known-hosts --rsa-key username $(openssl passwd -1 '비밀번호')
• 상세한 작업 현황 확인하기 : -v 옵션 추가
  add_user -v --known-hosts --rsa-key username $(openssl passwd -1 '비밀번호')
• 사용법 요약

Usage: add_user [--known-hosts] [--rsa-key] [-v] [-v] [--dry-run] [-h] [--help] username username login username to create account of encrypted password encrypted password of account

Options - --known-hosts generates .ssh/known_hosts from /etc/hosts --rsa-key generates .ssh/id_rsa -v enables verbose mode 1 -v -v enables verbose mode 2 --dry-run shows what would have been done -h, --help shows this help message

## 여러 서버에서 계정을 생성하기

여러 서버에서 동일한 계정을 일괄 생성하려는 경우, 다음과 같은 방식을 사용할 수 있다.

### 첫번째 서버의 root 계정에서 나머지 서버로 비밀번호 없이 접속 가능한 환경을 구성한다.

#### 첫번째 서버의 root 계정에서, ssh 연결을 위한 rsa key를 생성한다.

[root@hostname ~] ssh-keygen -t rsa -N '' -f ~/.ssh/id_rsa Generating public/private rsa key pair. Your identification has been saved in /root/.ssh/id_rsa. Your public key has been saved in /root/.ssh/id_rsa.pub. The key fingerprint is: 5f:92:e9:f1:9f:f7:5a:dc:8e:da:ea:66:a8:1b:34:1c root@hostname [root@hostname ~]

 
#### .ssh/known_hosts 파일을 준비한다.

##### /etc/hosts 에서 host이름, ip주소를 추출하기 위한 awk 명령을 준비한다.

아래 AWK_KNOWN_HOSTS=... 부분에서 END) 부분까지를 copy & paste로 붙여넣기 하면 된다. 이후 `echo ${AWK_KNOWN_HOSTS}` 명령으로 정상적으로 입력되었는지 확인한다.

[root@hostname ~] AWK_KNOWN_HOSTS=$(cat <<-'END' { ip_addr=$1; if ( NF == 3 ) { hostname=$3; } else if ( NF == 2 ) { hostname=$2; } else { hostname="unknown"; } print hostname "," ip_addr; } END) [root@hostname ~] echo ${AWK_KNOWN_HOSTS} { ip_addr=$1; if ( NF == 3 ) { hostname=$3; } else if ( NF == 2 ) { hostname=$2; } else { hostname="unknown"; } print hostname "," ip_addr; } [root@hostname ~]

##### /etc/hosts 의 각 호스트에 대해 ssh-keyscan(1) 명령을 실행하고, 그 결과를 .ssh/known_hosts 로 저장한다.

아래 명령에서 > ~/.ssh/known_hosts 줄까지만 입력하면, 명령이 실행되면서 각 호스트별로 sshd version을 확인하는 메시지가 출력된다.

[root@hostname ~] sed -e '/^\s*#/d' -e '/^$/d' /etc/hosts
| gawk "${AWK_KNOWN_HOSTS}"
| ssh-keyscan -t rsa -f - \

~/.ssh/known_hosts

host1-blah SSH-2.0-OpenSSH_4.3

host1-blah SSH-2.0-OpenSSH_4.3

host1-blah SSH-2.0-OpenSSH_4.3

host1-blah SSH-2.0-OpenSSH_4.3

host1-blah SSH-2.0-OpenSSH_4.3

[root@hostname ~]

 
* 참고사항  
  known_hosts 파일을 ~/.ssh/known_hosts 에 저장해도 되지만, system-wide 하게 사용할 수 있도록, /etc/ssh/ssh_known_hosts 파일에 저장하여도 된다.

#### 전체 서버 리스트를 준비한다.

##### /etc/hosts 에서 host이름을 추출하기 위한 awk 명령을 준비한다.

아래 AWK_HOSTS=... 부분에서 END) 부분까지를 copy & paste로 붙여넣기 하면 된다. 이후 `echo ${AWK_HOSTS}` 명령으로 정상적으로 입력되었는지 확인한다.

[root@hostname ~] AWK_HOSTS=$(cat <<-'END' { ip_addr=$1; if ( NF == 3 ) { hostname=$3; } else if ( NF == 2 ) { hostname=$2; } else { hostname="unknown"; } print hostname; } END) [root@hostname ~] echo ${AWK_HOSTS} { ip_addr=$1; if ( NF == 3 ) { hostname=$3; } else if ( NF == 2 ) { hostname=$2; } else { hostname="unknown"; } print hostname; } [root@hostname ~]

##### /etc/hosts 에서 host이름만 추출하여 적당한 이름의 파일로 저장한다.

[root@hostname ~] sed -e '/^\s*#/d' -e '/^$/d' /etc/hosts
| gawk "${AWK_HOSTS}" > list.txt [root@hostname ~]

#### 첫번째 서버에서 나머지 모든 서버로 ssh-copy-id 명령을 실행한다.

##### 여러 호스트에 대해 ssh-copy-id 명령을 실행한다.

명령을 입력하면, 각 호스트의 root 비밀번호를 반복적으로 물어보게 된다. 비밀번호를 반복하여 입력하면 된다. copy & paste로 반복적으로 입력하면 편리하다.

[root@hostname ~] cat list.txt | xargs -I {} ssh-copy-id -i ~/.ssh/id_rsa {} root@localhost's password: Now try logging into the machine, with "ssh 'localhost'", and check in:

.ssh/authorized_keys

to make sure we haven't added extra keys that you weren't expecting.

0 root@hostname-blah's password: Now try logging into the machine, with "ssh 'hostname-blah'", and check in:

.ssh/authorized_keys

to make sure we haven't added extra keys that you weren't expecting.

0 ... 중략 ... root@hostname-blah's password: Now try logging into the machine, with "ssh 'hostname-blah'", and check in:

.ssh/authorized_keys

to make sure we haven't added extra keys that you weren't expecting.

[root@hostname ~]

 
##### root 계정에서 비밀번호 없이 여러 서버로 ssh 연결되는지 확인해 본다.

### 각 서버에 add_user 스크립트를 일괄 설치한다.

[root@hostname ~] mkdir bin [root@hostname ~] curl -u ssdbuilder:ssdbuilder http://source.daumcorp.com/private/aragorn/trunk/setup/add_user > bin/add_user % Total % Received % Xferd Average Speed Time Time Time Current Dload Upload Total Spent Left Speed 100 5330 100 5330 0 0 34264 0 --:--:-- --:--:-- --:--:-- 1297k [root@hostname ~] chmod 755 bin/add_user [root@hostname ~] cat list.txt | xargs -I {} rsync -a bin/add_user {}:bin/ [root@hostname ~]

### 각 서버에서 원하는 계정을 일괄 생성한다.

[root@hostname ~] cat list.txt | xargs -I {} ssh {} bin/add_user foobaruser [root@hostname ~]

### 첫번째 서버 계정에서 rsa key, authorized_keys 파일을 생성한 이후, 각 서버의 해당 계정으로 복사한다.

[root@hostname ~] cat list.txt | xargs -I {} ssh {} ls -l /data1/foobaruser/.ssh ls: /data1/foobaruser/.ssh: 그런 파일이나 디렉토리가 없음 ls: /data1/foobaruser/.ssh: No such file or directory ls: /data1/foobaruser/.ssh: No such file or directory ...중략... [root@hostname ~] bin/add_user --known-hosts --rsa-key foobaruser [root@hostname ~] cat list.txt | xargs -I {} rsync -a /data1/foobaruser/.ssh {}:/data1/foobaruser/ [root@hostname ~] cat list.txt | xargs -I {} ssh {} ls -l /data1/foobaruser/.ssh 합계 20 -rw------- 1 foobaruser users 408 3월 4 15:23 authorized_keys -rw------- 1 foobaruser users 1675 3월 4 15:23 id_rsa -rw-r--r-- 1 foobaruser users 408 3월 4 15:23 id_rsa.pub -rw-r--r-- 1 foobaruser users 4516 3월 4 15:23 known_hosts total 20 -rw------- 1 foobaruser users 408 Mar 4 15:23 authorized_keys -rw------- 1 foobaruser users 1675 Mar 4 15:23 id_rsa -rw-r--r-- 1 foobaruser users 408 Mar 4 15:23 id_rsa.pub -rw-r--r-- 1 foobaruser users 4516 Mar 4 15:23 known_hosts ...중략... [root@hostname ~]

 
### 각 서버의 해당 계정에서 비밀번호 없이 다른 서버로 연결되는지 확인한다.

## 소스코드

add_user
```bash
#!/bin/bash
 
set -o nounset
set -o errexit
 
VERBOSE_MODE=0
VERBOSE=''
 
function error_handler()
{
  local STATUS=${1:-1}
  [ ${VERBOSE_MODE} == 0 ] && exit ${STATUS}
  echo "Exits abnormally at line "`caller 0`
  exit ${STATUS}
}
trap "error_handler" ERR
 
PROGNAME=`basename ${BASH_SOURCE}`
DRY_RUN_MODE=0
GENERATE_KNOWN_HOSTS=0
GENERATE_RSA_KEY=0
 
function print_usage_and_exit()
{
  local STATUS=$1
  echo "Usage: ${PROGNAME} [--known-hosts] [--rsa-key] [-v] [-v] [--dry-run] [-h] [--help] username <encrypted password>"
  echo " username            login username to create account of"
  echo " encrypted password  encrypted password of account"
  echo ""
  echo " Options -"
  echo "      --known-hosts  generates .ssh/known_hosts from /etc/hosts"
  echo "      --rsa-key      generates .ssh/id_rsa"
  echo "  -v                 enables verbose mode 1"
  echo "  -v -v              enables verbose mode 2"
  echo "      --dry-run      shows what would have been done"
  echo "  -h, --help         shows this help message"
  exit ${STATUS:-0}
}
 
function debug()
{
  if [ "$VERBOSE_MODE" != 0 ]; then
    echo $@
  fi
}
 
GETOPT=`getopt -o vh --long known-hosts,rsa-key,dry-run,help -n "${PROGNAME}" -- "$@"`
if [ $? != 0 ] ; then print_usage_and_exit 1; fi
 
eval set -- "${GETOPT}"
 
while true
do case "$1" in
     --known-hosts) GENERATE_KNOWN_HOSTS=1; shift;;
     --rsa-key)     GENERATE_RSA_KEY=1; shift;;
     -v)            let VERBOSE_MODE+=1; VERBOSE="-v" shift;;
     --dry-run)     DRY_RUN_MODE=1; shift;;
     -h|--help)     print_usage_and_exit 0;;
     --)            shift; break;;
     *) echo "Internal error!"; exit 1;;
   esac
done
 
if (( VERBOSE_MODE > 1 )); then
  set -x
fi
 
 
# template area is ended.
# -----------------------------------------------------------------------------
if [ ${#} == 0 ]; then print_usage_and_exit 1; fi
 
DEFAULT_PASSWD='$1$ojDY/m1G$m2pSKWobHPoeaGPrKcx/70'
HOSTNAME=$(hostname)
 
USERNAME=$1
ENCRYPTED_PASSWD=${2:-${DEFAULT_PASSWD}}
 
debug "USERNAME=${USERNAME}"
debug "ENCRYPTED_PASSWD=${ENCRYPTED_PASSWD}"
if [ "${USERNAME}" =~ '[^[:alnum:](/aragorn/home/wiki/-"${USERNAME}"-=~-'[^[:alnum:)' ]]; then
  echo "Invalid username which has non-alphanumeric."
  print_usage_and_exit 1
fi
 
if [ "${USERNAME}" =~ '[[:space:](/aragorn/home/wiki/-"${USERNAME}"-=~-'[[:space:)' ]]; then
  echo "Invalid username which has whitespace(s)."
  print_usage_and_exit 1
fi
if [ "${ENCRYPTED_PASSWD}" =~ '[[:space:](/aragorn/home/wiki/-"${ENCRYPTED_PASSWD}"-=~-'[[:space:)' ]]; then
  echo "Invalid encrypted password which has whitespace(s)."
  print_usage_and_exit 1
fi
 
if [ $(id ${USERNAME} 2>/dev/null) == "" ](/aragorn/home/wiki/-$(id-${USERNAME}-2>/dev/null)-==-""-); then
  debug "${USERNAME} does not exist."
  /usr/sbin/useradd -g users -d /data1/${USERNAME} -m -p "${ENCRYPTED_PASSWD}" ${USERNAME}
else
  debug "${USERNAME} already exists."
  /usr/sbin/usermod -g users -d /data1/${USERNAME} -m -p "${ENCRYPTED_PASSWD}" ${USERNAME}
fi
 
for DATADIR in /data?
do
  if [ -d ${DATADIR}/${USERNAME} ]
  then
    debug "${DATADIR}/${USERNAME} already exists."
  else
    install -d -o ${USERNAME} -g users -m 755 ${DATADIR}/${USERNAME}
  fi
done
 
if [ ${GENERATE_KNOWN_HOSTS} == 1 ]
then
  AWK_CMD=$(cat <<-'END'
    {
      ip_addr=$1;
      if ( NF == 3 ) { hostname=$3; } else
      if ( NF == 2 ) { hostname=$2; } else
                     { hostname="unknown"; }
      print hostname "," ip_addr;
    }
END)
 
  install -d -o ${USERNAME} -g users -m 700 /data1/${USERNAME}/.ssh
  touch /data1/${USERNAME}/.ssh/known_hosts
  chmod 644 /data1/${USERNAME}/.ssh/known_hosts
  chown ${USERNAME}:users /data1/${USERNAME}/.ssh/known_hosts
 
  # redirect stderr to /dev/null when verbose mode is not enabled.
  if [ "${VERBOSE_MODE}" == 0 ]
  then
    exec 3<&2
    exec 2>/dev/null
  fi
  echo "stderr would be redirected to /dev/null." >&2
 
  sed -e '/^\s*#/d' -e '/^$/d' /etc/hosts \
  | gawk "${AWK_CMD}" \
  | ssh-keyscan ${VERBOSE} -t rsa -f - \
  | comm -23 - /data1/${USERNAME}/.ssh/known_hosts \
  >> /data1/${USERNAME}/.ssh/known_hosts
 
  # restore stderr
  if [ "${VERBOSE_MODE}" == 0 ]
  then
    exec 2<&3
  fi
  debug "stderr is restored."
 
fi
 
if [ ${GENERATE_RSA_KEY} == 1 ]
then
  install -d -o ${USERNAME} -g users -m 700 /data1/${USERNAME}/.ssh
  rm -f /data1/${USERNAME}/.ssh/id_rsa
  rm -f /data1/${USERNAME}/.ssh/id_rsa.pub
  ssh-keygen -q -t rsa -N '' -C "${USERNAME}@${HOSTNAME}" -f /data1/${USERNAME}/.ssh/id_rsa
  chown ${USERNAME}:users /data1/${USERNAME}/.ssh/id_rsa
  chown ${USERNAME}:users /data1/${USERNAME}/.ssh/id_rsa.pub
fi
 
if [ -f /data1/${USERNAME}/.ssh/id_rsa.pub ](/aragorn/home/wiki/--f-/data1/${USERNAME}/.ssh/id_rsa.pub-)
then
 
  if [[ -f /data1/${USERNAME}/.ssh/authorized_keys \
     && $(comm -12 /data1/${USERNAME}/.ssh/authorized_keys \
                   /data1/${USERNAME}/.ssh/id_rsa.pub | wc -l) == 1 ]]
  then
    debug "authorized_keys has id_rsa.pub of ${USERNAME}@${HOSTNAME} already."
  else
    debug "authorized_keys does not have id_rsa.pub of ${USERNAME}@${HOSTNAME} yet."
   
    install -d -o ${USERNAME} -g users -m 700 /data1/${USERNAME}/.ssh
    touch /data1/${USERNAME}/.ssh/authorized_keys
    chmod 600 /data1/${USERNAME}/.ssh/authorized_keys
    chown ${USERNAME}:users /data1/${USERNAME}/.ssh/authorized_keys
   
    sed -i "/${USERNAME}@${HOSTNAME}/d" /data1/${USERNAME}/.ssh/authorized_keys
   
    cat /data1/${USERNAME}/.ssh/id_rsa.pub >> /data1/${USERNAME}/.ssh/authorized_keys
    debug "appended id_rsa.pub to authorized_keys."
  fi
else
  debug "/data1/${USERNAME}/.ssh/id_rsa.pub does not exists."
fi