ADMINS24

Настройка Hashicorp Vault и Ansible для безопасного хранения секретов

Администрирование
Обновлено и опубликовано Опубликовано:

Используемые термины: Hashicorp Vault, Ansible.

А Ansible есть свой механизм безопасного хранения секретов, однако, нам может понадобиться использовать централизованное решение. В этом случае, есть решение для интеграции Hashicorp Vault и Ansible. Наша инструкция подойдет к системам на базе Deb (Ubuntu, Debian) или RPM (Rocky Linux, Red Hat, CentOS).

Настройка на стороне Hashicorp Vault
Написание плейбука для Ansible

Настройка Hashicorp Vault

На стороне Hashicorp Vault необходимо создать:

  1. Путь хранения секретов для Ansible и сам секрет.
  2. Политику доступа к созданному секрету.
  3. Токен для возможности подключения с привязкой к созданной политике.

1. Для начала, формируем путь хранения секрета по механизму key-value:

vault secrets enable -path=ansible kv

* в данном примере путь будет начинаться с ansible.

Создаем секрет:

vault kv put ansible/projects/test-project/database
 username=my_user
 password=password135
 host=mariadb.admins24.local
 dbname=testdb

* в данном примере будет создан секрет по пути ansible/projects/test-project/database, в котором будут записи для подключения к базе данных (например, mariadb).

Смотрим, что получилось:

vault kv get ansible/projects/test-project/database

Команда должна нам вернуть что-то на подобие:

====== Data ======
Key         Value
—         ——
dbname      testdb
host        mariadb.admins24.local
password    password135
username    my_user

* мы должны получить данные, которые добавили в секрет.

2. Создаем политику:

vault policy write test-project-ansible — <<EOF
path «ansible/projects/test-project/*» {
  capabilities = [ «read» ]
}
EOF

* в данном примере мы назвали политику test-project-ansible. По нашему правилу мы разрешаем чтение по пути ansible/projects/test-project.

3. Создаем токен для нашей политики:

vault token create -policy=»test-project-ansible»

Мы должны увидеть что-то на подобие:

Key                  Value
—                  ——
token                s.E1jqoGhkgcMcZtbOLENSsW21
token_accessor       E9TGHoaDYw1q8HPpyWZy9xkf
token_duration       768h
token_renewable      true
token_policies       [«default» «test-project-ansible»]
identity_policies    []
policies             [«default» «test-project-ansible»]

Записываем token — его значение нам понадобиться позже.

Настройка Ansible

Переходим к Ansible. Устанавливаем питон-модуль hvac:

pip3 install hvac

Создаем плейбук, в котором нам нужно обращаться к Vault, например:

vi /etc/ansible/vault-playbook.yml

—

— hosts: test_servers
  user: admins24
  become: true
  become_method: su
  become_user: root

  vars:
    vault_url: https://vault.admins24.local:8200
    vault_token: s.E1jqoGhkgcMcZtbOLENSsW21
    vault_secret: ansible/projects/test-project/database
    database_arr: «{{ lookup(‘hashi_vault’, ‘secret={{ vault_secret }} token={{ vault_token }} url={{ vault_url }} validate_certs=False’) }}»

  tasks:
    — name: Echo Vars
      ansible.builtin.debug:
        msg: «Database host: {{ database_arr.host }}, dbname: {{ database_arr.dbname }}, username: {{ database_arr.username }}, password: {{ database_arr.password }}»

* где:

  • vault_url — ссылка для запросов к серверу Vault. Это может быть имя сервера или IP-адресс.
  • vault_token — токен для подключения. Используем тот, что создали в первой части инструкции.
  • vault_secret — полный путь до созданного в Vault секрета.
  • database_arr — переменна, в которую мы запишем значения для каждой из строк нашего секрета.

В результате отработки данного плейбука на экране должны отобразиться значения нашего секрета. В конкретном примере мы получим 4 переменные, которые уже по собственному желанию сможем использовать в сценариях Ansible:

  1. database_arr.host
  2. database_arr.dbname
  3. database_arr.username
  4. database_arr.password

Обратите внимание, что часть после точки соответствует имени параметра в секрете.

Для проверка запустим наш плейбук:

ansible-playbook /etc/ansible/vault-playbook.yml -kK

Мы должны получить что-то на подобие:

ok: [192.168.0.15] => {
    «msg»: «Database host: mariadb.admins24.local, dbname: testdb, username: my_user, password: password135»
}

Цель достигнута — мы можем читать секреты из Hashicorp Vault средствами Ansible.