SSHD. Отключение 2FA для Ansible

Доброго времени суток, коллеги. Бьюсь над задачей:

• сделать везде злой 2FA (допустим, я параноик)
• иметь возможность пользоваться ansible

Проблематика в том, что для ansible (насколько мне удалось выяснить) нужна работа по ssh-ключу (по паролю тоже можно, но это такое себе).

ansible (насколько мне известно) не умеет 2FA, да и глупо это пытаться автоматизировать такие подключения.

Настраивал 2FA вот по такой статейке

Допустим в системе есть спец пользователь ans_user для ansible. Допустим хост с которого нужно запускать плейбуки находится строго в приватной сети и имеет адрес 10.10.10.10/24

Пробовал на узлах играться с Match конструкциями, но как показывает практика либо спустя часы раскуренных статей я так ничего и не понял как оно рабтает, либо оно реально работает не так как описано в статьях.

Параметры sshd согласно статье по ссылке выше + PermitRootLogin no

Пробовал задать вот такое:

Match User ans_user Address 10.10.10.10
     AuthenticationMethods publickey
     PasswordAuthentication no
     PubkeyAuthentication yes

Но ничего не работает. Если выкосить 2FA настройки и, например, задать по-умолчанию авторизацию по ключу, а в Match прописать авторизацию по паролю, то работать будет только по паролю и только для указанной комбинации пользователя и хоста (согласно доке), но как только в дело вступает 2FA, то все это превращается в кашу и я начинаю сходить с ума.

Собственно вопрос: можно ли сделать как то адекватно так, чтобы с определенного узла или списка узлов была выключена 2FA для конкретного пользователя и работал строго ключ?

Если да, то ткните носом пожалуйста. Спасибо!

=== UPD. 20200204 16:51 Перепробовав всякое и отчаявшись решил попробовать вариант с 2мя ssh демонами, где основной настроен по классике: ssh-key + google-authenticator где указание обоих атрибутов является обязательным и второй демон огороженный фаерволом разрешенный только в частной сети с конфигурацией:

PasswordAuthentication no
PublickeyAuthentication yes
ChallengeResponseAuthentication no
AuthenticationMethods publickey
AllowUsers ans_user@10.10.10.10

Протестировал. Работает так как я хотел. Теперь получается нужно на все узлы подобное разложить и запустить.

Не могу сказать что рад за такое решение, все же думал о чем то более элегантном и простом. Но пока от безысходности оставлю так.

=== UPD. 20200206 18:37

Помог режим дебага (а могло помочь элементарное, но внимательное чтение манов).

В мануале на Step 3 было сказано добавить параметры в конец файла (bottom).

Match директивы я объявлял выше + в примерах после match все ниже переопределяемые параметры шли с отступами. Я ОШИБОЧНО подумал, что строки ниже где отступов нет не являются частью MATCH конструкции. В итоге не выполняющийся match не выставлял 2FA и я рвал волосы на голове от того, что не могу понять логику работы.

В итоге для меня правильным решением стало такое:

/etc/pam.d/sshd

#%PAM-1.0
#auth       substack     password-auth
auth       include      postlogin
account    required     pam_sepermit.so
account    required     pam_nologin.so
account    include      password-auth
password   include      password-auth
# pam_selinux.so close should be the first session rule
session    required     pam_selinux.so close
session    required     pam_loginuid.so
# pam_selinux.so open should only be followed by sessions to be executed in the user context
session    required     pam_selinux.so open env_params
session    required     pam_namespace.so
session    optional     pam_keyinit.so force revoke
session    optional     pam_motd.so
session    include      password-auth
session    include      postlogin
-session   optional     pam_reauthorize.so prepare
auth       required     pam_google_authenticator.so

/etc/ssh/sshd_config

HostKey /etc/ssh/ssh_host_rsa_key
HostKey /etc/ssh/ssh_host_ecdsa_key
HostKey /etc/ssh/ssh_host_ed25519_key

SyslogFacility AUTHPRIV

PermitRootLogin no

AuthorizedKeysFile      .ssh/authorized_keys

PasswordAuthentication no
PubkeyAuthentication yes
ChallengeResponseAuthentication yes

GSSAPIAuthentication no
GSSAPICleanupCredentials no

UsePAM yes

X11Forwarding yes

PrintMotd no

UseDNS no

AcceptEnv LANG LC_CTYPE LC_NUMERIC LC_TIME LC_COLLATE LC_MONETARY LC_MESSAGES
AcceptEnv LC_PAPER LC_NAME LC_ADDRESS LC_TELEPHONE LC_MEASUREMENT
AcceptEnv LC_IDENTIFICATION LC_ALL LANGUAGE
AcceptEnv XMODIFIERS
Subsystem       sftp    /usr/libexec/openssh/sftp-server

ClientAliveInterval 120
ClientAliveCountMax 2
AuthenticationMethods publickey,keyboard-interactive

Match User ans_user Address 10.10.10.10
        AuthenticationMethods publickey

Match User ans_user Address 127.0.0.1
        AuthenticationMethods publickey

Match Address *,!10.10.10.10,!127.0.0.1
        DenyUsers ans_user
        AuthenticationMethods publickey,keyboard-interactive

Всем спасибо за помощь.