Puppet-пароли в виде простого текста в выходных данных агента Windows и в файле каталога - PullRequest
Новая
       44

Puppet-пароли в виде простого текста в выходных данных агента Windows и в файле каталога

0 голосов
/ 05 ноября 2018

Я зашифровал пароль с помощью hiera: 

dsc_xADUser {'FirstUser':

            dsc_ensure => 'present',
            dsc_domainname => 'ad.contoso.com',
            dsc_username   => 'tfl',
            dsc_userprincipalname => 'tfl@ad.contoso.com',
            dsc_password   => {
            'user' => 'tfl@ad.contoso.com',
            'password' => Sensitive(lookup('password'))
            },
            dsc_passwordneverexpires => true,
            dsc_domainadministratorcredential => {
            'user'  => 'Administrator@ad.contoso.com',
            'password' => Sensitive(lookup('password'))
            },

        }

но на узле, при запуске agent -t -v пароль отображается в виде простого текста в выходных данных агента и в файле JSON каталога.

Я также попытался node_encrypt (lookup ('password')), а затем получил содержимое моего зашифрованного пароля (что хорошо), и Windows жалуется, что пароль не соответствует сложности пароля (плохо, потому что он пытается установить все ниже в качестве пароля) 

 'password' = '-----BEGIN PKCS7-----
    MIIMyQYJKoZIhvcNAQcDoIIMujCCDLYCAQAxggKdMIICmQIBADCBgjB9MXsweQYD
    VQQDDHJQdXBwZXQgRW50ZXJwcmlzZSBDQSBnZW5lcmF0ZWQgb24gbXlwdXBwZXQt
    eGwwZGJ5a212Z2xrYnl2eS5ldS13ZXN0LTEub3Bzd29ya3MtY20uaW8gYXQgKzIw
    MTgtMTEtMDIgMTQ6MDQ6MDAgKzAwMDACAQUwCwYJKoZIhvcNAQEBBIICABkJDfGb
    4CdHUntrVR1E......

Конфигурация hiera: 

---
version: 5
defaults:
  datadir: data
  data_hash: yaml_data

hierarchy:
  - name: "Eyaml hierarchy"
    lookup_key: eyaml_lookup_key # eyaml backend
    paths:
      - "nodes/%{trusted.certname}.yaml"
      - "windowspass.eyaml"
    options:
        pkcs7_private_key: "/etc/puppetlabs/puppet/keys/private_key.pkcs7.pem"
        pkcs7_public_key: "/etc/puppetlabs/puppet/keys/public_key.pkcs7.pem"

РЕДАКТИРОВАТЬ: только что нашел это , кажется, это открытая проблема и относится только к Windows

ОБНОВЛЕНИЕ: мне удалось настроить Puppet, чтобы он не кэшировал файл каталога на клиенте Windows (добавив catalog_cache_terminus="" в файл конфигурации Puppet на Windows, поэтому я буду использовать это как «обходной путь», похоже, нет способа удалить пароли из отладки агента выход

...