строка шифрования ансайта - PullRequest
Новая
       24

строка шифрования ансайта

1 голос
/ 25 апреля 2019

Я пытаюсь зашифровать какой-нибудь пароль, но хотел бы зашифровать только часть строки, а не весь файл. Итак, есть команда ansible-vault encrypt_string, которая предоставляет вам зашифрованный вывод, однако, когда я добавляю его в мою книгу воспроизведения .yaml, он не смог расшифровать.

команда, используемая для простого пароля для шифрования:

ansible-vault encrypt_string 'Test123!' --name 'ansible_password'

результат:

ansible_password:! Хранилище | $ ANSIBLE_VAULT; 1.1; AES256 30333733643939646130396638646138636338636162316536313236666334653233666334656338306634353434 3132326265313639623039653261336265343733383730340a663565323932636138633365386332 36363534326263326633623238653464376637646632363839313464333830363436643561626534 6338613837393539350a383962663766373466376138376666393639373631313861663866333663 6137 Шифрование успешно

^

форматирование немного длинновато с длинными строками

Итак, я пытаюсь поместить это значение в мою пьесу следующим образом: 

---
- name: Copy needed files to target machine
  hosts: prod
  vars:
          ansible_user: test_admin
          ansible_password: !vault $ANSIBLE_VAULT;1.1;AES256;303337336439396461303966386461386363386361623165363132366663346563383066343534343132326265313639623039653261336265343733383730340a663565323932636138633365386332363635343262633266336232386534643766376466323638393134643338303634366435616265346338613837393539350a3839626637663734663761383766663936393736313138616638663336636137
          ansible_connection: winrm
          ansible_winrm_transport: credssp
          ansible_winrm_server_cert_validation: ignore


  tasks:
  - name: Copy test
    win_copy:
       src: /etc/winmachines/hosts
       dest: C:\test\

Затем я хочу выполнить playbook командой:

ansible-playbook copy.yaml -i hosts.ini

результат: 

PLAY [Copy needed files to target machine] ********************************************************************************************************

TASK [Gathering Facts] ****************************************************************************************************************************
fatal: [10.5.17.5]: FAILED! => {"msg": "Attempting to decrypt but no vault secrets found"}
        to retry, use: --limit @deleted

PLAY RECAP ****************************************************************************************************************************************
10.5.17.5                  : ok=0    changed=0    unreachable=0    failed=1

при запуске playbook с параметром --ask-vault-password:

ansible-playbook copy.yaml -i hosts.ini --ask-vault-pass 

PLAY [Copy needed files to target machine] ********************************************************************************************************

TASK [Gathering Facts] ****************************************************************************************************************************
 [WARNING]: There was a vault format error: Vault vaulttext format error: need more than 1 value to unpack

fatal: [10.5.17.5]: FAILED! => {"msg": "Vault vaulttext format error: need more than 1 value to unpack"}
        to retry, use: --limit @deleted

PLAY RECAP ****************************************************************************************************************************************
10.5.17.5                  : ok=0    changed=0    unreachable=0    failed=1

Я пытался по-разному выводить результаты шифрования, но каждый раз при сбое из-за этой проблемы или проблемы синтаксиса.

При вводе путём доставки с выхода я получаю синтаксическую ошибку, подобную этой: 

ERROR! Syntax Error while loading YAML.
  could not find expected ':'

The error appears to have been in : line 8, column 11, but may
be elsewhere in the file depending on the exact syntax problem.

The offending line appears to be:

          $ANSIBLE_VAULT;1.1;AES256
          34323264326266303364656561616663306566356636616238623931613032343131643839336338
          ^ here

Когда все в одной строке удаляется "|" получил эту ошибку: 

TASK [Gathering Facts] ****************************************************************************************************************************
fatal: [10.5.17.5]: FAILED! => {"msg": "AES256 343232643262663033646565616166633065663566366162386239316130323431316438393363383331346231343361386432666461646639386135666335380a373862336531613034393262653432313038303432636536313139353932356637343139393938666536383061383233613136643063353761386339323562640a3963306632393865613237666364386566623938356465336363613163646338 cipher could not be found"}

Есть идеи?

1 Ответ

2 голосов
/ 25 апреля 2019

Ваш формат неверный.Формат, заданный ansible-vault encrypt_string 'Test123!' --name 'ansible_password' - это то, что вы должны использовать.

Для справки: https://github.com/ansible/ansible/blob/devel/lib/ansible/parsing/vault/init.py#L153.Анализатор хранилища ищет $ANSIBLE_VAULT;1.1;AES256 (или аналогичный; vaulttext_envelope) в первой строке , как определено splitlines ().Удаление новых строк нарушает это ожидание.

В выводе encrypt_string синтаксис в точности корректен для вставки в вашу книгу игр.| (символ канала) имеет особое значение в yaml.Это многострочный блок, который сохраняет переводы строки.Это должен быть последний символ в этой строке.Сохраняйте постоянный отступ при использовании многострочных блоков.Поскольку остаток join отредактирован на https://github.com/ansible/ansible/blob/devel/lib/ansible/parsing/vault/init.py#L165,, вам не нужно сохранять новые строки в самом зашифрованном тексте.

Это означает, что должно работать любое из следующего: 

ansible_password: !vault |
    $ANSIBLE_VAULT;1.1;AES256
    30333733643939646130396638646138636338636162316536313236666334656338306634353434
    3132326265313639623039653261336265343733383730340a663565323932636138633365386332
    36363534326263326633623238653464376637646632363839313464333830363436643561626534
    6338613837393539350a383962663766373466376138376666393639373631313861663866333663
    6137

ansible_password: !vault |
    $ANSIBLE_VAULT;1.1;AES256
    303337336439396461303966386461386363386361623165363132366663346563383066343534343132326265313639623039653261336265343733383730340a663565323932636138633365386332363635343262633266336232386534643766376466323638393134643338303634366435616265346338613837393539350a3839626637663734663761383766663936393736313138616638663336636137

ansible_password: !vault "$ANSIBLE_VAULT;1.1;AES256\r\n303337336439396461303966386461386363386361623165363132366663346563383066343534343132326265313639623039653261336265343733383730340a663565323932636138633365386332363635343262633266336232386534643766376466323638393134643338303634366435616265346338613837393539350a3839626637663734663761383766663936393736313138616638663336636137"

обратите внимание, что в последнем примере я не использовал трубу и \r\n в качестве символа новой строки.

Также ссылка: https://yaml -multiline.info /

Добавление полного примера для ясности: 

---
- name: Copy needed files to target machine
  hosts: prod
  vars:
    ansible_user: test_admin
    ansible_password: !vault |
      $ANSIBLE_VAULT;1.1;AES256;
      30333733643939646130396638646138636338636162316536313236666334656338306634353434
      30333733643939646130396638646138636338636162316536313236666334656338306634353434
      3132326265313639623039653261336265343733383730340a663565323932636138633365386332
      36363534326263326633623238653464376637646632363839313464333830363436643561626534
      6338613837393539350a383962663766373466376138376666393639373631313861663866333663
      6137

    ## Notice indentation above
    ## the block started with | will end when indentation changes.
    ansible_connection: winrm
    ansible_winrm_transport: credssp
    ansible_winrm_server_cert_validation: ignore

В качестве отступа, выберите табуляции ИЛИ пробелы, но используйте оба.Я рекомендую пробелы вообще, но вдвойне так для python и yaml.Если ваш редактор / ide не делает подсветку синтаксиса, вы должны переключиться на тот, который делает.И получить какой-то ямл линтер.yamllint.com будет работать в краткосрочной перспективе, но в долгосрочной перспективе вы должны получить что-то автоматическое и встроенное в ваш редактор.Удачи!

...