Я настраиваю сервер MySQL и хочу, чтобы Ansible установил mysql-rootпароль во время установки.

С помощью Интернета я придумал это решение:

- name: Set MySQL root password before installing
  debconf: name='mysql-server' question='mysql-server/root_password' value='{{mysql_root_pwd | quote}}' vtype='password'
- name: Confirm MySQL root password before installing
  debconf: name='mysql-server' question='mysql-server/root_password_again' value='{{mysql_root_pwd | quote}}' vtype='password'
- name: Install Mysql
  apt: pkg=mysql-server state=latest

mysql_root_pwdпеременная, загружаемая из Ansible Vault. Это работает нормально, но теперь на сервере есть много строк в журнале:

Apr 10 14:39:59 servername ansible-debconf: Invoked with value=THEPASSWORD vtype=password question=mysql-server/root_password name=mysql-server unseen=None
Apr 10 14:39:59 servername ansible-debconf: Invoked with value=THEPASSWORD vtype=password question=mysql-server/root_password_again name=mysql-server unseen=None

Как я могу запретить Ansible записывать пароли в виде открытого текста в файлы журналов?

Чтобы предотвратить регистрацию задачи с конфиденциальной информацией, в системном журнале или другом, установите no_log: true для задачи:

- name: secret stuff
  command: "echo {{secret_root_password}} | sudo su -"
  no_log: true

Выполнение задачи будет по-прежнему регистрироваться, но с небольшими деталями. Кроме того, используемый модуль должен поддерживать no_log, поэтому тестируйте пользовательские модули.

Смотрите Ansible FAQ для более подробной информации. Это может быть применено ко всей пьесе, однако результат становится немного неприятным с «цензурой!» Сообщения.

Наблюдаемое поведение кажется ошибкой в ​​модуле debconf. Я подал отчет об ошибке .

Пользователь bcoca на github указал, что no_log: trueдиректива может использоваться в задачах, которые устанавливают пароли, чтобы предотвратить ведение журнала. Это обходной путь, который работает для меня, пока ошибка не будет исправлена.

Я решил обновить версию Ansible до 1.6.1

sudo pip install ansible==1.6.1

Согласно Ansible документам :

log_path

Если он присутствует и настроен ansible.cfg, Ansible будет регистрировать информацию о казнях в указанном месте. Убедитесь, что у пользователя, работающего с Ansible, есть права доступа к файлу журнала:

log_path=/var/log/ansible.log 

Это поведение не включено по умолчанию. Обратите внимание, что ansible без этой настройки будет записывать аргументы модуля, вызываемые в системном журнале управляемых машин. Аргументы пароля исключены.

Похоже, что установка log_pathна вашем контрольном узле приведет к тому, что на целевых узлах не будет журналов.

Существует лучший способ, чем просто no_log: True

- name: write in string variables login and password
  set_fact:
    temp_user: "{{ USER_VAR }}"
    temp_pass: "{{ PASSWORD_VAR }}"


- name: Your operation with password in output
  shell: '/opt/hello.sh'
  ignore_errors: True
  no_log: True
  register: myregister

- debug:
    msg: '{{ myregister.stderr | regex_replace(temp_user) | regex_replace(temp_pass) }}'
  when: myregister.stderr != ""

- debug:
    msg: '{{ myregister.stdout | regex_replace(temp_user) | regex_replace(temp_pass) }}'
  when: myregister.stdout != ""

- fail:
    msg: "error shell /opt/hello.sh"
  when: myregister.stderr != ""

Как видите, вам нужно добавить:

ignore_errors: true
no_log: true

А затем сделайте вывод результата команды с помощью regex_replace, где:

USER_VAR - переменная входа

PASSWORD_VAR - переменная пароля

При таком подходе вы будете не только скрывать пароли и логины, но и получать результаты своей работы.

Это дополнение к ответу TheDESTROS из этой темы:

1. напишите шаблон, который обернет команду секретом:

обертка-script.sh.j2

echo {{ secret_eg_from_ansible_vault }} | su - "ls -l"

2. Вызовите скрипт-обертку и удалите его сразу:

- name: create template
  template:
    src: wrapper-script.sh.j2
    dest: /tmp/wrapper-script.sh
    mode: 0700
  no_log: True
- name: invoke command with secret and remove it
  shell: /tmp/wrapper-script.sh; rm -f /tmp/wrapper-script.sh

Вам нужно немного меньше кода и вы можете выводить команды из ваших журналов. Предусмотрено только одно предупреждение, если секрет находится в командах stdout. Если вы хотите избежать внешнего шаблона, copyмодуль с параметром contentможет помочь написать небольшой скрипт-оболочку на лету.

Этот no_log: trueподход следует использовать в качестве последнего средства, если другие попытки потерпят неудачу, потому что это сделает выполнение задачи полностью непрозрачным, и у вас не будет никакой подсказки, когда она потерпит неудачу.

Практики безопасности рекомендуют вводить учетные данные из stdin или, когда это невозможно, использовать файлы учетных данных (или даже исполняемые файлы).

Вот пример того, как выполнить безопасный вход в систему podman, не раскрывая пароль:

- name: secured login
  become: true
  command: >
    podman login --username={{ user }} --password-stdin ...
  args:
    stdin: "{{ secret }}"
  register: result

При этом секрет не будет раскрыт, resultно вы все равно сможете увидеть вывод команды.

Большинство инструментов, требующих входа, реализуют один из упомянутых более безопасных подходов. Использование учетных данных для CLI в коде похоже 123456на пароль вашего банка.