Ich richte einen MySQL-Server ein und möchte, dass Ansible das mysql-rootPasswort während der Installation setzt.

Mit Hilfe des Internets habe ich diese Lösung gefunden:

- name: Set MySQL root password before installing
  debconf: name='mysql-server' question='mysql-server/root_password' value='{{mysql_root_pwd | quote}}' vtype='password'
- name: Confirm MySQL root password before installing
  debconf: name='mysql-server' question='mysql-server/root_password_again' value='{{mysql_root_pwd | quote}}' vtype='password'
- name: Install Mysql
  apt: pkg=mysql-server state=latest

mysql_root_pwdist eine Variable, die aus dem Ansible Vault geladen wird. Das läuft gut, aber jetzt gibt es auf dem Server viele Zeilen im Protokoll:

Apr 10 14:39:59 servername ansible-debconf: Invoked with value=THEPASSWORD vtype=password question=mysql-server/root_password name=mysql-server unseen=None
Apr 10 14:39:59 servername ansible-debconf: Invoked with value=THEPASSWORD vtype=password question=mysql-server/root_password_again name=mysql-server unseen=None

Wie kann ich Ansible daran hindern, Klartextkennwörter in die Protokolldateien zu schreiben?

Um zu verhindern, dass eine Aufgabe mit vertraulichen Informationen in Syslog oder anderen protokolliert wird, legen Sie für die Aufgabe no_log: true fest:

- name: secret stuff
  command: "echo {{secret_root_password}} | sudo su -"
  no_log: true

Die Ausführung der Aufgabe wird weiterhin protokolliert, jedoch mit wenigen Details. Außerdem muss das verwendete Modul no_log unterstützen. Testen Sie daher benutzerdefinierte Module.

Siehe Ansible FAQ für weitere Details. Es kann auf ein ganzes Playbook angewendet werden, jedoch wird die Ausgabe mit "zensiert!" Mitteilungen.

Das beobachtete Verhalten scheint ein Fehler im Debconf-Modul zu sein. Ich habe einen Fehlerbericht eingereicht .

Der Benutzer bcoca bei github wies darauf hin, dass man die no_log: trueDirektive in Tasks verwenden kann, die Passwörter setzen, um die Protokollierung zu verhindern. Dies ist eine Problemumgehung, die für mich funktioniert, bis der Fehler behoben ist.

Ich habe das Problem durch ein Upgrade von Ansible auf 1.6.1 gelöst

sudo pip install ansible==1.6.1

Wie laut Ansible docs :

log_path

Wenn vorhanden und in konfiguriert ansible.cfg, protokolliert Ansible Informationen über die Ausführung am angegebenen Speicherort. Stellen Sie sicher, dass der Benutzer, auf dem Ansible ausgeführt wird, über Berechtigungen für die Protokolldatei verfügt:

log_path=/var/log/ansible.log 

Dieses Verhalten ist nicht standardmäßig aktiviert. Beachten Sie, dass ansible ohne diese Einstellung Modulargumente aufzeichnet, die im Syslog verwalteter Maschinen aufgerufen werden. Passwortargumente sind ausgeschlossen.

Klingt so, als ob die Einstellung log_pathauf Ihrem Steuerknoten dazu führt, dass sich keine Protokolle auf den Zielknoten befinden.

Es gibt einen besseren Weg als nur no_log: Richtig

- name: write in string variables login and password
  set_fact:
    temp_user: "{{ USER_VAR }}"
    temp_pass: "{{ PASSWORD_VAR }}"


- name: Your operation with password in output
  shell: '/opt/hello.sh'
  ignore_errors: True
  no_log: True
  register: myregister

- debug:
    msg: '{{ myregister.stderr | regex_replace(temp_user) | regex_replace(temp_pass) }}'
  when: myregister.stderr != ""

- debug:
    msg: '{{ myregister.stdout | regex_replace(temp_user) | regex_replace(temp_pass) }}'
  when: myregister.stdout != ""

- fail:
    msg: "error shell /opt/hello.sh"
  when: myregister.stderr != ""

Wie Sie sehen, müssen Sie Folgendes hinzufügen:

ignore_errors: true
no_log: true

Und dann machen Sie die Ausgabe des Ergebnisses des Befehls mit regex_replace, wobei:

USER_VAR - Anmeldevariable

PASSWORD_VAR - Kennwortvariable

Mit diesem Ansatz verbergen Sie nicht nur die Kennwörter und Anmeldungen, sondern erhalten auch die Ausgabe Ihres Vorgangs

Dies ist eine Ergänzung zur Antwort von TheDESTROS aus diesem Thread:

1. Schreiben Sie eine Vorlage, die den Befehl mit einem Geheimnis umschließt:

wrapper-script.sh.j2

echo {{ secret_eg_from_ansible_vault }} | su - "ls -l"

2. Rufen Sie das Wrapper-Skript auf und entfernen Sie es sofort:

- name: create template
  template:
    src: wrapper-script.sh.j2
    dest: /tmp/wrapper-script.sh
    mode: 0700
  no_log: True
- name: invoke command with secret and remove it
  shell: /tmp/wrapper-script.sh; rm -f /tmp/wrapper-script.sh

Sie benötigen etwas weniger Code und können die Befehle in Ihren Protokollen ausgeben. Es gibt nur einen Caveeat, wenn das Kommando stdout ein Geheimnis enthält. Wenn Sie die externe Vorlage vermeiden möchten, hilft das copyModul mit dem Parameter contentmöglicherweise dabei, ein kleines Wrapper-Skript im Handumdrehen zu schreiben.

Der no_log: trueAnsatz ist als letzter Ausweg zu verwenden, wenn andere Versuche fehlschlagen, da dadurch die Taskausführung völlig undurchsichtig wird und Sie keine Ahnung haben, wann sie fehlschlägt.

In den Sicherheitspraktiken wird empfohlen, Anmeldeinformationen über stdin oder, wenn dies nicht möglich ist, über Anmeldeinformationsdateien (oder sogar über ausführbare Dateien) anzugeben.

Hier ist ein Beispiel, wie Sie eine sichere Podman-Anmeldung durchführen, indem Sie vermeiden, dass das Kennwort angezeigt wird:

- name: secured login
  become: true
  command: >
    podman login --username={{ user }} --password-stdin ...
  args:
    stdin: "{{ secret }}"
  register: result

Damit wird das Geheimnis nicht enthüllt, resultaber Sie können weiterhin die Ausgabe des Befehls sehen.

Die meisten Tools, die eine Anmeldung benötigen, implementieren einen der genannten sichereren Ansätze. Das Verwenden von Anmeldeinformationen für die CLI im Code entspricht dem Verwenden 123456Ihres Bankkennworts.