Làm cách nào tôi có thể giảm mức độ chi tiết của một số tác vụ Ansible nhất định để không rò rỉ mật khẩu vào syslog?

Đôi khi tôi muốn sử dụng Ansible's lineinfilehoặc blockinfilecác mô-đun để ghi mật khẩu vào một số tệp cấu hình. Nếu tôi làm như vậy, toàn bộ dòng hoặc khối, mật khẩu bao gồm, kết thúc trong của tôi syslog.

Vì tôi không coi sysloglà nơi an toàn để lưu mật khẩu của mình, làm sao tôi có thể bảo Ansible không rò rỉ mật khẩu của mình syslog? Tôi hy vọng có một cách để làm điều này, nếu không tôi sẽ coi đây là một vấn đề bảo mật lớn trong Ansible.

Bạn có thể sao chép nó chẳng hạn với lệnh ad-hoc này:

ansible localhost -m blockinfile -a 'dest=/tmp/ansible_password_leak create=yes block="Password = {{password}}"' -e 'password=secret'

Đây là những gì kết thúc trong syslog:

ansible-blockinfile: Invoked with directory_mode=None force=None remote_src=None insertafter=None owner=None follow=False marker=# {mark} ANSIBLE MANAGED BLOCK group=None insertbefore=None create=True setype=None content=None serole=None state=present dest=/tmp/ansible_password_leak selevel=None regexp=None validate=None src=None seuser=None delimiter=None mode=None backup=False block=Password = secret

Ví dụ, tôi đã sử dụng Ansible 2.0.0.2 từ Ansible Ubuntu PPA chính thức trên hệ thống Debian "Jessie" 8.

Các no_log thuộc tính da dữ liệu trong syslog. Nó có thể được áp dụng cho một nhiệm vụ duy nhất

- name: secret task
  shell: /usr/bin/do_something --value={{ secret_value }}
  no_log: True

hoặc vở kịch:

- hosts: all
  no_log: True

Gỡ lỗi là không thực sự có thể khi được kích hoạt vì vậy chỉ nên sử dụng nó cho các tác vụ đơn lẻ. Tính năng này có sẵn kể từ phiên bản 1.5 của Ansible . Như đã nêu trong thông báo phát hành cho phiên bản 1.5:

Các tác vụ giờ đây cũng có thể có tùy chọn "no_log = True" để ngăn các tác vụ nhạy cảm nhấn syslog. (Các tham số trông giống như mật khẩu đã được lọc)

mật khẩu nên được lọc trong hầu hết các trường hợp.

Tôi đã phát triển một plugin gọi lại để ẩn mật khẩu cho đầu ra mặc định, nó phân tích từ điển ouput cho khóa có chứa mật khẩu , đối với mỗi trong số chúng, nó thay thế giá trị bằng ********.

Tạo một tệp có tên protect_data.pytrong thư mục ./plugins/callback thêm mã này:

from ansible.plugins.callback.default import CallbackModule as CallbackModule_default
import os, collections

class CallbackModule(CallbackModule_default):
    CALLBACK_VERSION = 2.0
    CALLBACK_TYPE = 'stdout'
    CALLBACK_NAME = 'protect_data'

    def __init__(self, display=None):
        super(CallbackModule, self).__init__(display)

    def hide_password(self, result):
        ret = {}
        for key, value in result.iteritems():
            if isinstance(value, collections.Mapping):
                ret[key] = self.hide_password(value)
            else:
                if "password" in key:
                    ret[key] = "********"
                else:
                    ret[key] = value
        return ret

    def _dump_results(self, result, indent=None, sort_keys=True, keep_invocation=False):
        return super(CallbackModule, self)._dump_results(self.hide_password(result), indent, sort_keys, keep_invocation)

Trong tệp ansible.cfg :

• dòng uncomment với stdout_callbackvà đặt tên plugin này là value ( stdout_callback=protect_data)
• dòng uncomment với callback_pluginsvà đặt giá trị./plugins/callback

Đầu ra chỉ được sửa đổi cho plugin này, nếu bạn sử dụng một plugin khác để hiển thị đầu ra ( logentries, ...), bạn phải làm tương tự với nó

Người ta có thể đề xuất rằng sử dụng Vault thay vào đó sẽ khắc phục vấn đề.