🎹 个人简介:大家好,我是 金鱼哥,CSDN运维领域新星创作者,华为云·云享专家,阿里云社区·专家博主
📚个人资质:CCNA、HCNP、CSNA(网络分析师),软考初级、中级网络工程师、RHCSA、RHCE、RHCA、RHCI、ITIL、PMP😜
💬格言:努力不一定成功,但要想成功就必须努力🔥🎈支持我:可点赞👍、可收藏⭐️、可留言📝
文章目录
Ansible是很火的一个自动化部署工具,在ansible控制节点内,存放着当前环境服务的所有服务的配置信息,其中自然也包括一些敏感的信息,例如明文密码、IP地址等等。
从安全角度来讲,这些敏感数据的文件不应该以明文的形式存在。
Ansible官方已经考虑到了这种情况,当我们的playbook中含有不能明文展示的文本时,ansible通过命令行「ansible-vault」给你目标文件/字符串进行加密。在执行playbook时,通过指定相应参数来给目标文件解密,从而实现ansible vault的功能。
ansible可以加密任何部署相关的文件数据,例如:
- 主机/组变量等所有的变量文件
- tasks、hanlders等所有的playbook文件
- 命令行导入的文件(eg : -e @file.yaml ,-e @file.json)
- copy,template的模块里src参数所使用的文件,甚至是二进制文件。
- playbook里用到的某个字符串参数也可以加密(Ansible>=2.3)
那究竟应该如何操作呢?先来看看命令上的常规操作:
📜1. 创建加密文件
ansible-vault create foo.yml
执行该命令后,交互式输入两次相同的密码,则创建加密文件成功
📜2. 使用密码文件创建
ansible-vault create --vault-password-file=vault-pass secret.yml
📜3. 给现有文件加密
ansible-vault encrypt foo.yml bar.yml baz.yml
📜4. 编辑加密文件
对加密过的文件进行编辑也是我们常遇到的,命令为:
ansible-vault edit foo.yml
# 这个命令会将该文件解密,并放到一个临时文件,编辑完后再保存到原文件。
📜5. 查看加密文件
有时我们不是想编辑文件,而是简单查看下文件内容,命令为:
ansible-vault view foo.yml bar.yml baz.yml
# 从示例中我们可以看出,一行命令可以查看多个加密文件。
📜6. 更改密码
给加密文件更改密码,命令为:
ansible-vault rekey foo.yml bar.yml baz.yml
# 先交互式输入旧的密码,然后再交互式输入两次新密码,即更改密码成功。
📜7. 取消加密(解密)
取消加密的命令为:
ansible-vault decrypt foo.yml bar.yml baz.yml
# 交互式输入密码,即取消加密成功。
📜8. playbook与ansible vault
ansible执行playbook时,可以通过交互式或指定密码文件的方式来解密文件。
-
交互式
执行playbook时在终端以交互式的形式输入密码,示例:
ansible-playbook --ask-vault-pass site.yaml
-
指定密码文件
另外一种使用方式,是将密码放在某个文件内,执行playbook时,通过指定该密码文件进行解密。
可以使用「–vault-password-flie」参数:
ansible-playbook --vault-password-file=password site.yaml
从ansible2.4版本开始,官方不再推荐使用”–vault-password-file”选项,官方开始推荐使用”–vault-id”选项代替”–vault-password-file”选项指定密码文件,也就是说,如下两条命令的效果是一样的。(推荐使用,不代表不能使用。_)
ansible-vault decrypt --vault-id passwordfile site.yaml
ansible-vault decrypt --vault-password-file passwordfile site.yaml
官网地址:https://docs.ansible.com/ansible/2.9/user_guide/vault.html
📜9. 练习演示
📑命令选项
[student@servera example]$ ansible-vault -h
usage: ansible-vault [-h] [--version] [-v]
{create,decrypt,edit,view,encrypt,encrypt_string,rekey}
...
encryption/decryption utility for Ansible data files
positional arguments:
{create,decrypt,edit,view,encrypt,encrypt_string,rekey}
create Create new vault encrypted file
decrypt Decrypt vault encrypted file
edit Edit vault encrypted file
view View vault encrypted file
encrypt Encrypt YAML file
encrypt_string Encrypt a string
rekey Re-key a vault encrypted file
optional arguments:
--version show program's version number, config file location,
configured module search path, module location,
executable location and exit
-h, --help show this help message and exit
-v, --verbose verbose mode (-vvv for more, -vvvv to enable
connection debugging)
See 'ansible-vault <command> --help' for more information on a specific
command.
📑创建加密文件
[student@servera ~]$ mkdir example # 创建演示目录
[student@servera ~]$ cd example
[student@servera example]$ ansible-vault create vault.yml # 创建加密文件
New Vault password: 123 # 输入密码
Confirm New Vault password: 123 # 确认密码
---
- name: ansible vault
hosts: localhost
tasks:
- name: debug
debug:
msg: "test the ansible-vault."
📑查看加密文件
[student@servera example]$ cat vault.yml # 直接查看加密剧本演示为ansible-vault进行了加密
$ANSIBLE_VAULT;1.1;AES256
62646137346235623766383531663462663662653261643933613639343133613630616239386437
3364356562656531636561643336336136653266643632350a306235653336666236336535643230
63303331383435323065663562653331373636633761633437383737303538336365326133363637
3663633061383434640a353738333230633432366337383535613363356537383731613966616365
37343430653035656663353832303465333531623738643235643163663763363737346362376437
61636135623737353939653436376535666337653364326433613064643734346638333133303462
30356365313835396566666563396162653336633066653663376132383961396166353766316236
61633833356633613635343465306534656339373732333535633931303034323439323762393234
35313930396534356338333139643033636661666564316564376664653135343130343637383634
3661336535303461353065356335613561366533663534636566
[student@servera example]$ ansible-vault view vault.yml # 查看加密文件
Vault password: 123
---
- name: ansible vault
hosts: localhost
tasks:
- name: debug
debug:
msg: "test the ansible-vault."
📑编辑加密文件
[student@servera example]$ ansible-vault edit vault.yml
Vault password: 123
---
- name: ansible vault
hosts: localhost
tasks:
# 修改name做演示。
- name: debug msg
debug:
msg: "test the ansible-vault."
📑更改密码
[student@servera example]$ ansible-vault rekey vault.yml # 修改密码需要输入现有密码
Vault password: 123
New Vault password: 321
Confirm New Vault password: 321
Rekey successful
📑取消加密(解密)
[student@servera example]$ ansible-vault decrypt vault.yml # 取消加密(解密)
Vault password: 321
Decryption successful
[student@servera example]$ cat vault.yml # 查看文件
---
- name: ansible vault
hosts: localhost
tasks:
- name: debug msg
debug:
msg: "test the ansible-vault."
📑加密现有文件
[student@servera example]$ ansible-vault encrypt vault.yml # 加密现有文件
New Vault password: 123
Confirm New Vault password: 123
Encryption successful
[student@servera example]$ ansible-vault view vault.yml # 查看加密文件
Vault password: 123
---
- name: ansible vault
hosts: localhost
tasks:
- name: debug msg
debug:
msg: "test the ansible-vault."
📑运行ansible vault加密的剧本
交互式运行
[student@servera example]$ ansible-playbook vault.yml # 直接运行会提示错误
ERROR! Attempting to decrypt but no vault secrets found
[student@servera example]$ ansible-playbook --ask-vault-pass vault.yml # 交互式运行
Vault password: 123
PLAY [ansible vault] *******************************************************************
TASK [Gathering Facts] *****************************************************************
ok: [localhost]
TASK [debug msg] ***********************************************************************
ok: [localhost] => {
"msg": "test the ansible-vault."
}
PLAY RECAP *****************************************************************************
localhost: ok=2 changed=0 unreachable=0 failed=0 skipped=0 rescued=0 ignored=0
指定密码文件
[student@servera example]$ vim passwordfile # 编写存放密码的文件
123
[student@servera example]$ ansible-playbook --vault-password-file=passwordfile vault.yml
# 可不写等于号的,即 --vault-password-file passwordfile
PLAY [ansible vault] *******************************************************************
TASK [Gathering Facts] *****************************************************************
ok: [localhost]
TASK [debug msg] ***********************************************************************
ok: [localhost] => {
"msg": "test the ansible-vault."
}
PLAY RECAP *****************************************************************************
localhost: ok=2 changed=0 unreachable=0 failed=0 skipped=0 rescued=0 ignored=0
[student@servera example]$ ansible-playbook --vault-id=passwordfile vault.yml
# 可不写等于号的,即 --vault-id passwordfile
PLAY [ansible vault] *******************************************************************
TASK [Gathering Facts] *****************************************************************
ok: [localhost]
TASK [debug msg] ***********************************************************************
ok: [localhost] => {
"msg": "test the ansible-vault."
}
PLAY RECAP *****************************************************************************
localhost: ok=2 changed=0 unreachable=0 failed=0 skipped=0 rescued=0 ignored=0
💡总结
- ansible-vault用于加密达到安全性需求。
- 熟悉命令常用选项和参数。
- 可用交互式或者指定文件的形式进行剧本运行。
RHCE认证作为基础认证的升级,需要大家在RHCSA的基础上再进行学习,因此,涉及的基础内容需要大家好好进行学习并巩固。有良好的基础才能更上一层楼。
好好加油,可以噶🤪。
以上就是【金鱼哥】对 第四章 管理变量和事实–管理加密 的简述和讲解。希望能对看到此文章的小伙伴有所帮助。
💾红帽认证专栏系列:
RHCSA专栏:戏说 RHCSA 认证
RHCE专栏:戏说 RHCE 认证
此文章收录在RHCA专栏:RHCA 回忆录
如果这篇【文章】有帮助到你,希望可以给【金鱼哥】点个赞👍,创作不易,相比官方的陈述,我更喜欢用【通俗易懂】的文笔去讲解每一个知识点。
如果有对【运维技术】感兴趣,也欢迎关注❤️❤️❤️ 【金鱼哥】❤️❤️❤️,我将会给你带来巨大的【收获与惊喜】💕💕!