建站
咨詢
售后
建站咨詢
新聞中心
【】Ansible是一種出色的自動(dòng)化和編排工具，因簡(jiǎn)單性和易用性而受到許多開(kāi)發(fā)人員的歡迎。Ansible隨帶的最重要功能之一是Ansible Vault。顧名思義，Ansible Vault是一項(xiàng)安全功能，用于加密或保護(hù)劇本(playbook)或文件中的敏感信息，而不是任由信息采用純文本格式：若出現(xiàn)泄露，將構(gòu)成嚴(yán)重威脅。這類(lèi)數(shù)據(jù)包括密碼、API令牌和SSL證書(shū)等。你可以在擁有密碼等敏感信息的劇本中加密字符串組成的整個(gè)劇本YAML文件。
創(chuàng)新互聯(lián)公司是一家專(zhuān)注于做網(wǎng)站、網(wǎng)站制作與策劃設(shè)計(jì),石棉網(wǎng)站建設(shè)哪家好?創(chuàng)新互聯(lián)公司做網(wǎng)站,專(zhuān)注于網(wǎng)站建設(shè)10余年,網(wǎng)設(shè)計(jì)領(lǐng)域的專(zhuān)業(yè)建站公司;建站業(yè)務(wù)涵蓋:石棉等地區(qū)。石棉做網(wǎng)站價(jià)格咨詢:028-86922220
本指南介紹了Ansible Vault可以幫助你保護(hù)敏感或機(jī)密信息，將窺視者拒之門(mén)外的各種方法。
使用Ansible Vault創(chuàng)建加密文件
Ansible Vault使用ansible-vault命令行實(shí)用工具，借助AES256算法來(lái)加密敏感信息。這提供了嵌入到已定義密碼中的對(duì)稱(chēng)加密。用戶可以使用同一個(gè)密碼來(lái)加密或解密文件，以便訪問(wèn)內(nèi)容。
要?jiǎng)?chuàng)建加密文件，使用ansible-vault實(shí)用工具，如下所示：
- $ ansible-vault create file.yml
比如要?jiǎng)?chuàng)建一個(gè)文件，將其命名為secret_file.yml，運(yùn)行命令：
- $ ansible-vault create secret_file.yml
圖1
系統(tǒng)會(huì)提示你提供新的保管庫(kù)密碼。輸入你的首選密碼并確認(rèn)。確認(rèn)密碼后，vim編輯器會(huì)啟動(dòng)。
之后，輸入你希望被Ansible Vault加密的文件內(nèi)容并保存文件。以下是一些示例文本。
- Hello, this is my secret file
你查看文件時(shí)，會(huì)發(fā)現(xiàn)它已使用AES256算法加密，如下所示：
- $ vim secret_file.yml
圖2
使用Ansible Vault編輯加密文件
要對(duì)現(xiàn)有的加密文件進(jìn)行更改，使用以下語(yǔ)法：
- $ ansible-vault edit file.yml
以我們之前創(chuàng)建的示例文件為例，編輯文件的命令將是：
- $ ansible-vault edit secret_file.yml
系統(tǒng)會(huì)再次提示你輸入保管庫(kù)密碼，提供密碼后，會(huì)授予你訪問(wèn)文件的權(quán)限以進(jìn)行修改。
圖3
查看加密文件
要查看加密文件，使用以下語(yǔ)法：
- $ ansible-vault view file.yml
使用我們的文件，因此命令將是：
- $ ansible-vault view secret_file.yml
圖4
使用Ansible Vault加密現(xiàn)有文件
假設(shè)你想要加密現(xiàn)有的未加密文件，比如清單文件，你該怎么做?為此，使用語(yǔ)法：
- $ ansible-vault encrypt file.yml
比如說(shuō)，要加密文件file1.yml，執(zhí)行以下命令：
- $ ansible-vault encrypt file1.yml
指定保管庫(kù)密碼，確認(rèn)密碼后即可加密文件。
圖5
使用Ansible Vault解密文件
要解密文件、還原成純文本格式，運(yùn)行以下命令：
- $ ansible-vault decrypt file1.yml
如果一切順利，你會(huì)收到“解密成功”的消息。現(xiàn)在，你可以使用cat命令來(lái)查看文件的內(nèi)容。
圖6
重置Ansible保管庫(kù)密碼
另外，你可以重置或更改保管庫(kù)密碼。可以使用ansible vault命令中的rekey選項(xiàng)完成該操作，如下所示：
- $ ansible-vault rekey secret_file.yml
先指定當(dāng)前的保管庫(kù)密碼??，然后再創(chuàng)建一個(gè)新密碼并確認(rèn)密碼。
圖7
Ansible Playbook中運(yùn)行時(shí)解密內(nèi)容
Ansible 2.4之前，運(yùn)行時(shí)解密文件需要使用帶–ask-vault-pass參數(shù)的ansible或ansible-playbook命令，如下所示：
- $ ansible-playbook playbook_example.yml --ask-vault-pass
然后會(huì)提示你輸入保管庫(kù)密碼，解密會(huì)在運(yùn)行時(shí)開(kāi)始。
圖8
然而，該方法已被棄用。從Ansible 2.4開(kāi)始，提示輸入密碼的標(biāo)準(zhǔn)方法是使用–vault-id選項(xiàng)，如下所示：
- $ ansible-playbook playbook_example.yml --vault-id @prompt
@prompt將提示輸入密碼。
圖9
避免每次運(yùn)行過(guò)程中解密文件時(shí)提示輸入密碼，一個(gè)簡(jiǎn)單技巧是將保管庫(kù)密碼存儲(chǔ)在文件中。
Ansible 2.4之前，實(shí)現(xiàn)此操作的方法是使用–vault-password-file參數(shù)，指定含有已存儲(chǔ)密碼的那個(gè)文件的路徑。
例如在下面的演示中，密碼文件位于/etc/ansible/vault_pass.txt文件中。
- $ ansible-playbook playbook_example.yml --vault-password-file /etc/ansible/vault_pass.txt
然而，與–ask-vault-pass選項(xiàng)一樣，已停止使用–vault-password-file選項(xiàng)，讓位于–vault-id選項(xiàng)。因此，該命令如下所示：
- $ ansible-playbook playbook_example.yml --vault-id /etc/ansible/vault_pass.txt
在Ansible Playbook中加密變量
除了加密整個(gè)劇本外，ansible-vault還使你能夠僅加密變量。在大多數(shù)情況下，這些變量帶有高度機(jī)密和敏感的信息，比如密碼和API密鑰。
下面的劇本旨在打印輸出變量my_secret的值，該變量含有定義為P@ssword123的密碼。
圖10
通常，以純文本形式存儲(chǔ)密碼是壞主意，因?yàn)槿绻腥藫碛辛藙”疚募?，你就岌岌可?！?/p>
因此為你提供2個(gè)選項(xiàng)：加密整個(gè)文件或加密變量的值。
要加密變量，使用如下所示的crypto_string選項(xiàng)。
- $ ansible-vault encrypt_string ‘string’ –name ‘variable_name
要加密劇本示例中變量my_secret的值，命令將是：
- $ ansible-vault encrypt_string 'P@ssword123' --name 'my_secret'
圖11
上面的輸出表明密碼已使用AES 256加密進(jìn)行了加密。之后，從!vault |拷貝整個(gè)加密的代碼。前往劇本文件，刪除明文密碼值，然后粘貼加密后的值，如下所示。
圖12
保存并退出文件?，F(xiàn)在運(yùn)行劇本，證實(shí)它是否仍會(huì)顯示my_secret變量中存儲(chǔ)的密碼值。
圖13
上面的輸出顯示劇本提供了預(yù)期的結(jié)果，表明我們已成功加密了變量。
標(biāo)題名稱(chēng)：如何使用AnsibleVault保護(hù)敏感數(shù)據(jù)?
鏈接地址：http://www.5511xx.com/article/dhoojhe.html
