Как я могу напечатать сводную переменную Ansible, которая содержит секрет Kubernetes от CLI? - PullRequest
Новая
       13

Как я могу напечатать сводную переменную Ansible, которая содержит секрет Kubernetes от CLI?

0 голосов
/ 24 сентября 2019

У меня есть каталог Ansible group_vars со следующим файлом: 

$ cat inventory/group_vars/env1
...
...
ldap_config: !vault |
          $ANSIBLE_VAULT;1.1;AES256
          31636161623166323039356163363432336566356165633232643932623133643764343134613064
          6563346430393264643432636434356334313065653537300a353431376264333463333238383833
          31633664303532356635303336383361386165613431346565373239643431303235323132633331
          3561343765383538340a373436653232326632316133623935333739323165303532353830386532
          39616232633436333238396139323631633966333635393431373565643339313031393031313836
          61306163333539616264353163353535366537356662333833653634393963663838303230386362
          31396431636630393439306663313762313531633130326633383164393938363165333866626438
...
...

Эта зашифрованная строка Ansible содержит в себе секрет Kubernetes.BLOB-объект base64, который выглядит примерно так: 

IyMKIyBIb3N0IERhdGFiYXNlCiMKIyBsb2NhbGhvc3QgaXMgdXNlZCB0byBjb25maWd1cmUgdGhlIGxvb3BiYWNrIGludGVyZmFjZQojIHdoZW4gdGhlIHN5c3RlbSBpcyBib290aW5nLiAgRG8gbm90IGNoYW5nZSB0aGlzIGVudHJ5LgojIwoxMjcuMC4wLjEJbG9jYWxob3N0CjI1NS4yNTUuMjU1LjI1NQlicm9hZGNhc3Rob3N0Cjo6MSAgICAgICAgICAgICBsb2NhbGhvc3QKIyBBZGRlZCBieSBEb2NrZXIgRGVza3RvcAojIFRvIGFsbG93IHRoZSBzYW1lIGt1YmUgY29udGV4dCB0byB3b3JrIG9uIHRoZSBob3N0IGFuZCB0aGUgY29udGFpbmVyOgoxMjcuMC4wLjEga3ViZXJuZXRlcy5kb2NrZXIuaW50ZXJuYWwKIyBFbmQgb2Ygc2VjdGlvbgo=

Как я могу расшифровать это в одном CLI?

Ответы [ 2 ]

0 голосов
/ 24 сентября 2019

Если вам нужен один вкладыш, который работает с любым файлом yaml (не только в инвентаре), содержащим встроенные переменные хранилища, и если вы готовы установить пакет pip для этого, есть решение, использующее yq, процессор yaml, построенный поверх jq

предварительное требование: Установить yq

pip install yq

Использование

Вы можете получить свой результат с помощью следующей команды: 

yq .ldapconfig inventory/group_vars/env1 | ansible_vault decrypt

Если вам нужно набрать пароль в хранилище в интерактивном режиме, не забудьте добавить соответствующую опцию 

yq .ldapconfig inventory/group_vars/env1 | ansible_vault --ask-vault-pass decrypt
0 голосов
/ 24 сентября 2019

Мы можем использовать команду Ansible adhoc, чтобы получить интересующую переменную, ldap_config.Для начала мы собираемся использовать этот adhoc для получения строки зашифрованного хранилища Ansible: 

$ ansible -i "localhost," all               \
    -m debug                                \
    -a 'msg="{{ ldap_config }}"'            \
    --vault-password-file=~/.vault_pass.txt \
    -e@inventory/group_vars/env1
localhost | SUCCESS => {
    "msg": "ABCD......."

Обратите внимание, что мы:

  • с использованием модуля debug ираспечатав переменную msg={{ ldap_config }}
  • , указав ansible путь к секрету для расшифровки зашифрованных строк
  • с использованием нотации -e@< ...path to file...> для передачи файла с зашифрованными переменными хранилища

Теперь мы можем использовать фильтры Jinja2, чтобы выполнить остальную часть анализа: 

$ ansible -i "localhost," all                             \
     -m debug                                             \
     -a 'msg="{{ ldap_config | b64decode | from_yaml }}"' \
     --vault-password-file=~/.vault_pass.txt              \
     -e@inventory/group_vars/env1
localhost | SUCCESS => {
    "msg": {
        "apiVersion": "v1",
        "bindDN": "uid=readonly,cn=users,cn=accounts,dc=mydom,dc=com",
        "bindPassword": "my secret password to ldap",
        "ca": "",
        "insecure": true,
        "kind": "LDAPSyncConfig",
        "rfc2307": {
            "groupMembershipAttributes": [
                "member"
            ],
            "groupNameAttributes": [
                "cn"
            ],
            "groupUIDAttribute": "dn",
            "groupsQuery": {
                "baseDN": "cn=groups,cn=accounts,dc=mydom,dc=com",
                "derefAliases": "never",
                "filter": "(objectclass=groupOfNames)",
                "scope": "sub"
            },
            "tolerateMemberNotFoundErrors": false,
            "tolerateMemberOutOfScopeErrors": false,
            "userNameAttributes": [
                "uid"
            ],
            "userUIDAttribute": "dn",
            "usersQuery": {
                "baseDN": "cn=users,cn=accounts,dc=mydom,dc=com",
                "derefAliases": "never",
                "scope": "sub"
            }
        },
        "url": "ldap://192.168.1.10:389"
    }
}

ПРИМЕЧАНИЕ: В приведенном выше разделе -a 'msg="{{ ldap_config | b64decode | from_yaml }}" это то, что делает тяжелыйподъем с точки зрения преобразования из Base64 в YAML.

Ссылки

...