Ansible отключил пароли SSH, но sshd читал другой файл первым

Пентест выявил 23 Linux-сервера с разрешённым входом по паролю, хотя плейбук Ansible ставил PasswordAuthentication no. Причина — drop-in 50-cloud-init.conf из cloud-init, который sshd читает раньше основного файла и который перекрывает настройку.

• Пентест нашёл 23 сервера с включённым входом по паролю SSH
• Drop-in cloud-init 50-cloud-init.conf перекрывал настройку в sshd_config
• Проверка sshd -T показала passwordauthentication yes при no в файле
• Исправление: файл 00-hardening.conf и проверка sshd -T после рестарта