youki2008
作者youki20082020-06-26 10:28
系统架构师, DDT

ansible基础-加密

字数 4189阅读 916评论 0赞 2

[ansible基础-加密]

一 简介

注:本文demo使用ansible2.7稳定版

众所周知,ansible是很火的一个自动化部署工具,在ansible控制节点内,存放着当前环境服务的所有服务的配置信息,其中自然也包括一些敏感的信息,例如明文密码、IP地址等等。

从安全角度来讲,这些敏感数据的文件不应该以明文的形式存在。此时就用到了ansible加密的特性。

ansible通过命令行「ansible-vault」给你目标文件/字符串进行加密。在执行playbook时,通过指定相应参数来给目标文件解密,从而实现ansible vault的功能。

ansible可以加密任何部署相关的文件数据,例如:

  • 主机/组变量等所有的变量文件
  • tasks、hanlders等所有的playbook文件
  • 命令行导入的文件(eg : -e @file.yaml ,-e @file.json)
  • copy,template的模块里src参数所使用的文件,甚至是二进制文件。
  • playbook里用到的某个字符串参数也可以加密(Ansible>=2.3)

    本节主要介绍下ansible数据文件/字符串的加解密及加密文件的使用方法等知识点。

二 给文件加密

创建加密文件

ansible-vault create foo.yml

执行该命令后,交互式输入两次相同的密码,则创建加密文件成功。

给现有文件加密

ansible-vault encrypt foo.yml bar.yml baz.yml

如示例所示,该命令可以为多个文件同时加密,同样需要输入两次相同的密码,则加密成功。

案例分析

很多情况下,我们需要给主机(组)部分变量文件进行加密,而不是全加密。这里介绍下加密和非加密需要同时存在时推荐的用法。以创建组变量为例:

定义了一个「nodes」主机组

➜  inventory cat hosts.yaml
---
# inventory/hosts
nodes:
  hosts:
    node1:
    node2:
    node3:

组变量文件我们这样创建,目录结构如下:

➜  inventory tree group_vars
group_vars
└── nodes
    ├── vars.yaml
    └── vault.yaml

文件「inventory/group_vars/nodes/vault.yaml」内容如下:

---
vault_db_name: test
vault_db_host: 127.0.0.1

上面示例中,我们为「nodes」主机组创建了一个「group_vars/nodes」目录用于存放该主机组的变量文件,其中「vars.yaml」和「vault.yaml」文件分别存放不加密和加密变量通过这种拆分变量的方法,实现了加密和非加密同时存在的功能。

另外,为了便于识别,「vault.yaml」文件里的所有key值建议使用「vault_」开头,这样再playbook调用这些变量时,可以有很高的辨识度。

三 编辑加密文件

对加密过的文件进行编辑也是我们常遇到的,命令为:

ansible-vault edit foo.yml

这个命令会将该文件解密,并放到一个临时文件,编辑完后再保存到原文件。

四 查看加密文件

有时我们不是想编辑文件,而是简单查看下文件内容,命令为:

ansible-vault view foo.yml bar.yml baz.yml

从示例中我们可以看出,一行命令可以查看多个加密文件。

五 更改密码

给加密文件更改密码,命令为:

ansible-vault rekey foo.yml bar.yml baz.yml

先交互式输入旧的密码,然后再交互式输入两次新密码,即更改密码成功。

六 取消加密

取消加密的命令为:

ansible-vault decrypt foo.yml bar.yml baz.yml

交互式输入密码,即取消加密成功。

七 encypt_string创建加密变量

Vault ID和多密码

ansible2.4版本以后,新增了Vault ID和多密码的特性。Vault ID可以理解为为一个密码设置一个标签,用于管理员识别使用的是哪个密码,例如dev,prod,cloud等等;多密码指执行一次playbook时可以指定多个密码文件。

注:vault_id不会影响加密文件的解密,只是为了便于管理员识别是哪个密码。

encypt_string创建加密变量

在plabook文件中,我们也可以为某个字符串加密,从而达到加密变量嵌套在未加密YAML文件内的效果。

「ansible-vault encrypt_string」命令用于给某个字符串加密。

不设置vault_id,示例如下:

➜  lab-ansible ansible-vault encrypt_string --vault-id playbooks/test_vault.yaml  'maurice' --name 'the_name'
the_name: !vault |
          $ANSIBLE_VAULT;1.1;AES256
          ...
          ...

设置vault_id为「dev」(给密码打标签)(加密参数也会有「dev」的标识):

➜  lab-ansible ansible-vault encrypt_string --vault-id dev@playbooks/test_vault.yaml  'maurice' --name 'the_name'
the_name: !vault |
          $ANSIBLE_VAULT;1.2;AES256;dev
          ...
          ...

从stdin读取密码:

➜  lab-ansible echo -n 'maurice' | ansible-vault encrypt_string --vault-id dev@playbooks/test_vault.yaml --stdin-name 'the_name'
Reading plaintext input from stdin. (ctrl-d to end input)
the_name: !vault |
          $ANSIBLE_VAULT;1.2;AES256;dev
          ...
          ...

交互式设置密码,设置完密码后按Ctrl+d:

➜  lab-ansible ansible-vault encrypt_string --vault-id dev@playbooks/test_vault.yaml --stdin-name 'the_name'
Reading plaintext input from stdin. (ctrl-d to end input)
maurice
the_name: !vault |
          $ANSIBLE_VAULT;1.2;AES256;dev
          ...
          ...

八 使用加密文件

上面我们主要介绍了密码文件/变量的创建方式,接下来介绍下如何使用。

ansible执行playbook时,可以通过交互式或指定密码文件的方式来解密文件。

交互式

执行playbook时在终端以交互式的形式输入密码,示例:

ansible版本<=2.4,该方式只支持一个密码,不能指定vault_id

ansible-playbook --ask-vault-pass site.yml

ansible2.4版本后,对应命令行如下,该方式只支持一个密码,能指定vault_id:

ansible-playbook --vault-id  dev@prompt  playbooks/test_vault.yaml

指定密码文件

另外一种使用方式,是将密码放在某个文件内,执行playbook时,通过指定该密码文件进行解密。

ansible版本<=2.4,可以使用「--vault-password」参数:

ansible-playbook --vault-password-file dev-password site.yml

ansible2.4版本以后,又增加了「--vault-id」的参数,用来指定密码文件:

ansible-playbook --vault-id /path/to/my/vault-password-file site.yml

从可执行脚本获取密码:

ansible-playbook --vault-id my-vault-password.py

指定密码文件同时指定vault_id:

ansible-playbook --vault-id dev@prompt site.yml

指定多vault_id+多密码文件:

ansible-playbook --vault-id dev@dev-password --vault-id prod@prompt site.yml

其他知识点

  1. 在仅使用多密码文件的情况下,默认的,ansible会按照命令行的排列顺序,逐个尝试。直到成功解密或失败。
  2. 在使用vault_id+多密码的情况下,ansible会优先匹配与vault_id相同的加密变量(这个标识上面加密变量有提到),如果不能解密再匹配其他vault_id变量文件。
  3. 除了命令行,密码文件的默认路径也可以通过ansible.cfg的「vault_password_file」或环境变量「ANSIBLE_VAULT_PASSWORD_FILE」获取。

九 本节应该掌握的技能

  • 掌握变量文件创建、查看、编辑、更改、取消加密等方法
  • 掌握字符串加密的方法
  • 掌握含加密文件时playbook的执行方法

十 参考链接

转载自(https://www.cnblogs.com/mauricewei/p/10056476.html)

如果觉得我的文章对您有用,请点赞。您的支持将鼓励我继续创作!

2

添加新评论0 条评论

Ctrl+Enter 发表

作者其他文章

相关文章

相关问题

相关资料

X社区推广