Comment puis-je mettre en œuvre ansible avec des mots de passe par hôte, en toute sécurité ?

Je voudrais utiliser ansible pour gérer un groupe de serveurs existants. J'ai créé un ansible_hosts et testé avec succès (avec le fichier -K ) avec des commandes qui ne ciblent qu'un seul hôte

ansible -i ansible_hosts host1 --sudo -K # + commands ...

Mon problème maintenant est que les mots de passe des utilisateurs sur chaque hôte sont différents, mais je ne trouve pas de moyen de gérer cela dans Ansible.

Utilisation de -K Je ne suis invité à entrer qu'un seul mot de passe sudo au départ, qui semble ensuite être utilisé pour tous les hôtes suivants sans demande :

host1 | ...
host2 | FAILED => Incorrect sudo password
host3 | FAILED => Incorrect sudo password
host4 | FAILED => Incorrect sudo password
host5 | FAILED => Incorrect sudo password

Recherche jusqu'à présent :

• a Question StackOverflow avec une réponse incorrecte ("utiliser -K ") et une réponse de l'auteur disant "Found out I needed passwordless sudo" (J'ai découvert que j'avais besoin de sudo sans mot de passe).

• les documents Ansible qui disent "L'utilisation de sudo sans mot de passe rend les choses plus faciles à automatiser, mais ce n'est pas nécessaire ." (c'est moi qui souligne)

• cette question de sécurité sur StackExchange qui considère que NOPASSWD est nécessaire

• article "Provisionnement évolutif et compréhensible..." qui dit :

  "L'exécution de sudo peut nécessiter la saisie d'un mot de passe, ce qui est un moyen sûr de bloquer Ansible pour toujours. Une solution simple est d'exécuter visudo sur l'hôte cible, et de s'assurer que l'utilisateur qu'Ansible utilisera pour se connecter n'a pas à taper de mot de passe".

• article "Basic Ansible Playbooks" qui dit

  "Ansible pourrait se connecter au serveur cible en tant que root et éviter la nécessité de sudo, ou laisser l'utilisateur ansible avoir sudo sans mot de passe, mais la pensée de faire l'un ou l'autre fait que ma rate menace de sauter dans mon gosier et de bloquer ma trachée, alors je ne le fais pas"

  C'est exactement ce que je pense, mais alors comment faire pour aller au-delà d'un seul serveur ?

• problème ansible #1227 , "Ansible should ask for sudo password for all users in a playbook", qui a été clôturée il y a un an par mpdehaan avec le commentaire "Haven't seen much demand for this, I think most people are sudoing from only one user account or using keys most of the time".

Alors... comment les gens utilisent-ils Ansible dans des situations comme celles-ci ? Configuration de NOPASSWD en /etc/sudoers la réutilisation du mot de passe sur plusieurs hôtes ou l'activation de la connexion SSH de l'utilisateur root semblent être des réductions plutôt drastiques de la sécurité.