如何在避免将凭据存储在文件中的同时运行Ansible Azure剧本？

背景

1. 我们使用Ansible来配置和管理Azure基础结构。目前，我们“手动”运行Ansible，即我们手动执行各种自动化任务的剧本。没有CI基础架构。
2. 可能不相关，但我们使用动态脚本管理库存azure_rm.py。
3. 我们鼓励我们尽可能地安全，即
   1. 不要~/.vault_pass在任何本地文件中或任何本地文件中存储保险柜密码
   2. 不要在其中存储Azure机密 ~/.azure/credentials
   3. 不要将任何安全的东西存储在中.bashrc。

在这种情况下，我很难提出一种连贯的策略来确保我的剧本可以访问Azure机密，同时遵循上述准则。

题

如何避免在文件上存储Ansible Vault和Azure凭据，同时又确保我的剧本可以访问它们？

我尝试过的

到目前为止，我已经提出了一个包装器脚本

1. 向用户询问保险柜密码
2. 用它来解密Vault Shell脚本
3. 评估脚本，该脚本将Azure环境变量加载到环境中；
4. 在已设置的环境上运行剧本。

有更好的解决方案（更优雅，更简单，更“ Ansible”）吗？

保险柜密码

首先，您应该熟悉保管库密码文件可以是可执行脚本的事实。在这种情况下，Ansible执行它，并期望接收密码作为其输出。

例如，您可以使用gpg-agent或keychain存储您的实际密码，并在需要时将其解锁。在此博客文章中了解更多信息：https : //benincosa.com/?p=3235

如果您有点偏执，可以在调用密码脚本时添加通知，如下所示：

#!/bin/bash
PARENT_PROCESS=$(ps -p $PPID -o args | tail -n 1)
osascript -e "display notification \"Vault password used by ${PARENT_PROCESS}\" with title \"Ansible\" sound name \"default\""
gpg --batch --use-agent --no-tty --decrypt key.gpg 2>/dev/null

该文件库密码脚本key.gpg用作实际文件库密钥，并且在使用脚本时还显示带有父进程名称的弹出通知（对于MacOS）。Gpg代理会缓存解锁密码一段时间，因此无需每次启动Playbook时都输入密码。

只需设置vault_password_file = ./vault_pass.sh您的ansible.cfg。

环境

您说您azure_rm.py用作动态清单脚本。这意味着您必须在启动ansible-playbook之前将凭据设置到环境变量中，以便它能够使用它们。

您可以制作两个文件：

secure_env （使用保管库加密）：

export AZURE_SECRET=xxx;export AZURE_SUBSCRIPTION_ID=xxx;

set_env （纯文本）：

echo -n "Setting secure vars... "
eval $(ansible-vault view secure_env)
echo "done."

打开新终端以执行自动化任务时，必须运行：

source set_env

此时，bash会评估set_env和secure_env（通过ansible-vault解密）。执行此命令后，您已为当前shell定义了Azure凭据，因此您可以照常执行剧本：

ansible-playbook provision-my-azure-instances.yml

因此，使用此两种方法，你可以存储key.gpg和secure_env在你的仓库; 然后在新的终端呼叫中，source set_env一次输入gpg密码（以解锁将来对key.gpg的使用）；然后ansible-playbook在没有密码的情况下拨打任意次数的电话。

请阅读https://docs.ansible.com/ansible/2.4/vault.html 由于Ansible 2.4可以使用--vault-id @prompt。

使用ansible-vault加密文件：

ansible-vault encrypt /path/to/encrypted/file

运行剧本，它将导致：

fatal: [localhost]: FAILED! => {"msg": "A vault password or secret must be
specified to decrypt /path/to/encrypted/file"}

有多种解密文件的选项，包括@prompt：

ansible-playbook some-playbook --vault-id @prompt

将提示：

Vault password (default):

输入保险库密码后，剧本应该会成功。