Şifreleri syslog'a sızdırmamak için bazı Ansible görevlerinin ayrıntı düzeyini nasıl azaltabilirim?

Bazen bazı yapılandırma dosyalarına şifre yazmak için Ansible'ın lineinfileveya blockinfilemodüllerinin kullanılmasını isterim . Bunu yaparsam, tüm satır veya blok, şifre dahil, benim içinde biter syslog.

syslogŞifreleri saklamak için güvenli bir yer olarak düşünmediğim için Ansible'a şifremi sızdırmadığını nasıl söyleyebilirim syslog? Umarım bunu yapmanın bir yolu vardır, aksi takdirde bunu Ansible'da büyük bir güvenlik sorunu olarak görürüm.

Örneğin bu ad-hoc komutuyla çoğaltabilirsiniz:

ansible localhost -m blockinfile -a 'dest=/tmp/ansible_password_leak create=yes block="Password = {{password}}"' -e 'password=secret'

İşte sonuç syslog:

ansible-blockinfile: Invoked with directory_mode=None force=None remote_src=None insertafter=None owner=None follow=False marker=# {mark} ANSIBLE MANAGED BLOCK group=None insertbefore=None create=True setype=None content=None serole=None state=present dest=/tmp/ansible_password_leak selevel=None regexp=None validate=None src=None seuser=None delimiter=None mode=None backup=False block=Password = secret

Örnek için Debian "Jessie" 8 sisteminde resmi Ansible Ubuntu PPA'sından Ansible 2.0.0.2 kullandım .

no_log Nitelik syslog gizler verileri. Tek bir göreve uygulanabilir

- name: secret task
  shell: /usr/bin/do_something --value={{ secret_value }}
  no_log: True

ya da oyun kitabını:

- hosts: all
  no_log: True

Hata ayıklama etkinleştirildiğinde gerçekten mümkün değildir, bu nedenle yalnızca tek görevler için kullanılması önerilir. Bu özellik, Ansible'ın 1.5 sürümünden beri kullanılabilir . 1.5 sürümüne ilişkin sürüm duyurusunda belirtildiği gibi:

Görevler artık hassas görevlerin syslog'a çarpmasını önlemek için "no_log = True" seçeneğini de alabilir. (Parola gibi görünen parametreler zaten filtrelenmiştir)

şifreler çoğu durumda filtrelenmelidir.

Varsayılan çıktılar için şifreleri gizlemek için bir geri arama eklentisi geliştirdim, şifre içeren anahtar için çıkış sözlüğünü ayrıştırdı , her biri için değeri ******** ile değiştirdi.

./Plugins/callback add protect_data.pyklasöründe bir dosya oluşturun bu kodu ekleyin:

from ansible.plugins.callback.default import CallbackModule as CallbackModule_default
import os, collections

class CallbackModule(CallbackModule_default):
    CALLBACK_VERSION = 2.0
    CALLBACK_TYPE = 'stdout'
    CALLBACK_NAME = 'protect_data'

    def __init__(self, display=None):
        super(CallbackModule, self).__init__(display)

    def hide_password(self, result):
        ret = {}
        for key, value in result.iteritems():
            if isinstance(value, collections.Mapping):
                ret[key] = self.hide_password(value)
            else:
                if "password" in key:
                    ret[key] = "********"
                else:
                    ret[key] = value
        return ret

    def _dump_results(self, result, indent=None, sort_keys=True, keep_invocation=False):
        return super(CallbackModule, self)._dump_results(self.hide_password(result), indent, sort_keys, keep_invocation)

Ansible.cfg dosyasında :

• uncomment line ile stdout_callbackbu eklenti adını bir değer ( stdout_callback=protect_data)
• callback_pluginsve set değeri ile birlikte bırakma satırı./plugins/callback

Çıktı yalnızca bu eklenti için değiştirilir, çıktıyı ( logentries, ...) görüntülemek için başka bir eklenti kullanırsanız , bununla aynı şeyi yapmanız gerekir

Bunun yerine Apps Kasası'nı kullanmanın sorunu çözeceği söylenebilir.