Я встановлюю сервер MySQL і хочу, щоб Ansible встановив mysql-rootпароль під час встановлення.

За допомогою Інтернету я придумав таке рішення:

- name: Set MySQL root password before installing
  debconf: name='mysql-server' question='mysql-server/root_password' value='{{mysql_root_pwd | quote}}' vtype='password'
- name: Confirm MySQL root password before installing
  debconf: name='mysql-server' question='mysql-server/root_password_again' value='{{mysql_root_pwd | quote}}' vtype='password'
- name: Install Mysql
  apt: pkg=mysql-server state=latest

mysql_root_pwd- це змінна, завантажена з Сейфу для відповідей. Це працює добре, але зараз на сервері є багато рядків у журналі:

Apr 10 14:39:59 servername ansible-debconf: Invoked with value=THEPASSWORD vtype=password question=mysql-server/root_password name=mysql-server unseen=None
Apr 10 14:39:59 servername ansible-debconf: Invoked with value=THEPASSWORD vtype=password question=mysql-server/root_password_again name=mysql-server unseen=None

Як я можу зупинити Ansible від написання ясних текстових паролів до журналів?

Щоб запобігти входу задачі з конфіденційною інформацією в syslog або інше, встановіть no_log: true у завданні:

- name: secret stuff
  command: "echo {{secret_root_password}} | sudo su -"
  no_log: true

Виконання завдання все одно буде записано в журнал, але з невеликими деталями. Також використовуваний модуль повинен підтримувати no_log, тому протестуйте спеціальні модулі.

Див анзібль довідка для отримання додаткової інформації. Його можна застосувати до цілої книги, однак вихід "стає цензурним"! повідомлення.

Спостерігається, що поведінка є помилкою в модулі debconf. Я подав повідомлення про помилку .

Користувач bcoca в github вказував, що можна використовувати no_log: trueдирективу у завданнях, які встановлюють паролі, щоб запобігти реєстрації. Це рішення, яке працює для мене, поки помилка не виправлена.

Я вирішив, оновивши версію Ansible до 1.6.1

sudo pip install ansible==1.6.1

Відповідно до документів Ansible :

log_path

Якщо він присутній та налаштований ansible.cfg, Ansible буде записувати інформацію про страти у визначеному місці. Переконайтеся, що користувач, який працює у програмі Ansible, має права доступу до журналу:

log_path=/var/log/ansible.log 

Ця поведінка за замовчуванням не включена. Зауважте, що ansible без цього налаштування запише аргументи модуля, викликані в системний журнал керованих машин. Аргументи пароля виключені.

Звуки , як установка log_pathна ваш вузлі управління приведуть НЕ мають журнали на вузлах призначення.

Є кращий спосіб, ніж просто no_log: Правда

- name: write in string variables login and password
  set_fact:
    temp_user: "{{ USER_VAR }}"
    temp_pass: "{{ PASSWORD_VAR }}"


- name: Your operation with password in output
  shell: '/opt/hello.sh'
  ignore_errors: True
  no_log: True
  register: myregister

- debug:
    msg: '{{ myregister.stderr | regex_replace(temp_user) | regex_replace(temp_pass) }}'
  when: myregister.stderr != ""

- debug:
    msg: '{{ myregister.stdout | regex_replace(temp_user) | regex_replace(temp_pass) }}'
  when: myregister.stdout != ""

- fail:
    msg: "error shell /opt/hello.sh"
  when: myregister.stderr != ""

Як бачите, вам потрібно додати:

ignore_errors: true
no_log: true

А потім зробіть висновок результату команди з regex_replace, де:

USER_VAR - змінна входу

PASSWORD_VAR - змінна пароля

При такому підході ви не тільки приховатимете паролі та логіни, але й отримаєте результат своєї операції

Це доповнення до відповіді TheDESTROS з цієї теми:

1. написати шаблон, який загортає команду секретом:

wrapper-script.sh.j2

echo {{ secret_eg_from_ansible_vault }} | su - "ls -l"

2. Викликайте сценарій обгортки та видаліть його відразу:

- name: create template
  template:
    src: wrapper-script.sh.j2
    dest: /tmp/wrapper-script.sh
    mode: 0700
  no_log: True
- name: invoke command with secret and remove it
  shell: /tmp/wrapper-script.sh; rm -f /tmp/wrapper-script.sh

Вам потрібно трохи менше коду, і ви зможете скласти команди в своїх журналах. Є лише одне застереження, якщо в команді stdout є секрет. Якщо ви хочете уникнути зовнішнього шаблону, copyмодуль з параметром contentможе допомогти написати невеликий скрипт для обгортки.

Цей no_log: trueпідхід слід використовувати як крайній засіб, якщо інші спроби провалюються, оскільки це зробить виконання завдання абсолютно непрозорим, і у вас не буде підказки, коли він не вдасться.

Практики безпеки рекомендують надавати облікові дані від stdin або коли це неможливо, використовуючи файли облікових даних (або навіть виконувані файли).

Ось приклад того, як здійснити захищений логін підмена, уникаючи відкриття пароля:

- name: secured login
  become: true
  command: >
    podman login --username={{ user }} --password-stdin ...
  args:
    stdin: "{{ secret }}"
  register: result

При цьому секрет не буде розкритий, resultале ви все одно зможете побачити вихід команди.

Більшість інструментів, які потребують входу, реалізують один із згаданих більш захищених підходів. Використання облікових даних для CLI в коді, як і 123456ваш пароль банку.