DevOps知识中心
DevOps知识中心

Ansible Vault 安全凭证管理最佳实践

借助 Ansible Vault 掌握安全凭证管理。这本综合指南详细介绍了必要的最佳实践，包括加密所有敏感数据、使用专用的保管库文件来组织机密信息，以及安全管理保管库密码。了解如何将 Vault 有效地集成到您的 CI/CD 管道中，并确保精细的访问控制。遵循这些实用且可操作的策略，实现强大的 Ansible 安全性，保护您的基础设施免受未经授权的访问。

32 浏览量

Ansible Vault 安全凭证管理最佳实践

在基础设施即代码和自动化部署的世界中，安全地管理敏感数据至关重要。Ansible，一个强大的配置管理和应用程序部署工具，为此挑战提供了一个健壮的解决方案：Ansible Vault。它允许您加密 Ansible 项目中的敏感数据，如密码、API 密钥和私钥，确保它们永远不会以明文形式存储。

本文深入探讨了有效使用 Ansible Vault 的最佳实践。我们将探讨如何将 Vault 集成到您的工作流中，管理 Vault 密码，构建您的密钥，并在整个基础设施中维护安全状态。采用这些实践对于保护您的系统免受未经授权的访问并遵守安全标准至关重要。

理解 Ansible Vault

Ansible Vault 为文件和变量提供加密。当您使用 Ansible Vault 加密文件或字符串时，没有正确的密码将无法读取。Ansible 在运行 playbook 时会自动解密 Vaulted 内容，前提是它可以访问 Vault 密码。这种机制允许您将敏感信息安全地存储在未加密的 Ansible 内容旁边，即使在公共版本控制系统中也是如此。

Ansible Vault 核心命令

以下是一些您将经常使用的基本 ansible-vault 命令：

  • ansible-vault create <filename>: 创建一个新加密文件。Ansible 将提示您输入密码。
    bash ansible-vault create group_vars/all/vault.yml
  • ansible-vault edit <filename>: 编辑现有加密文件。Ansible 将解密它以供编辑，并在保存时重新加密。
    bash ansible-vault edit group_vars/all/vault.yml
  • ansible-vault encrypt <filename>: 加密现有明文文件。
    bash ansible-vault encrypt host_vars/webserver1/secrets.yml
  • ansible-vault decrypt <filename>: 将现有加密文件解密回明文。
    bash ansible-vault decrypt host_vars/webserver1/secrets.yml
  • ansible-vault view <filename>: 查看加密文件而不永久解密。
    bash ansible-vault view group_vars/all/vault.yml
  • ansible-vault rekey <filename>: 更改加密文件或文件的密码。
    bash ansible-vault rekey group_vars/all/vault.yml
  • ansible-vault encrypt_string '<string_to_encrypt>' --name '<variable_name>': 加密单个字符串以在未加密的文件中使用。
    bash ansible-vault encrypt_string 'MySuperSecretPassword' --name 'db_password' # 输出： # db_password: !vault |\n $ANSIBLE_VAULT;1.1;AES256\n <encrypted_string>\n

Ansible Vault 核心最佳实践

有效实施 Ansible Vault 需要遵循一些关键的最佳实践。

1. 加密所有敏感信息

这是黄金法则。任何如果泄露会带来安全风险的数据——密码、API 密钥、TLS 证书、私钥、数据库凭证、敏感配置参数——必须 使用 Ansible Vault 加密。请勿在您的存储库中以明文形式存储这些信息。

2. 使用专用的 Vault 文件进行隔离

与其将所有密钥放入一个单一的、庞大的 Vault 文件中，不如对其进行逻辑组织。这可以提高可读性、可维护性，并允许更精细化的访问控制。常见的策略包括：

  • 特定于环境的 Vault: group_vars/development/vault.yml, group_vars/staging/vault.yml, group_vars/production/vault.yml。
  • 特定于角色的 Vault: roles/my_app/vars/vault.yml。
  • 特定于主机的 Vault: host_vars/webserver1/vault.yml。
  • 包罗万象的密钥: group_vars/all/vault.yml 用于所有主机/组共有的密钥。

这种结构有助于管理不同环境或组件的不同密钥值。

# 示例：group_vars/production/vault.yml
--- 
nginx_ssl_cert: | # 多行证书
  -----BEGIN CERTIFICATE-----
  <ENCRYPTED_CERT_DATA>
  -----END CERTIFICATE-----
nginx_ssl_key: | # 多行私钥
  -----BEGIN PRIVATE KEY-----
  <ENCRYPTED_KEY_DATA>
  -----END PRIVATE KEY-----
db_root_password: ENC[AES256,...]
aws_access_key_id: ENC[AES256,...]

3. 安全地管理 Vault 密码

您的 Vaulted 数据的安全性最终取决于您的 Vault 密码的安全性。切勿在脚本中硬编码密码或将其提交到版本控制。

  • 使用 Vault 密码文件: 最常见和推荐的方法是将 Vault 密码存储在一个单独的、未提交的文件中。此文件可以包含明文密码或一个从安全来源检索密码的脚本。使用 ansible.cfg 或命令行将 Ansible 指向此文件。

    ```bash

    示例：~/.vault_password.txt (权限：0600)

    MySuperSecretVaultPassword123!
    ```

    在 ansible.cfg 中：
    ini [defaults] vault_password_file = ~/.vault_password.txt

    在命令行中：
    bash ansible-playbook playbook.yml --vault-password-file ~/.vault_password.txt

  • 环境变量: 对于 CI/CD 管道，使用环境变量来指定 Vault 密码文件路径很常见。

    bash export ANSIBLE_VAULT_PASSWORD_FILE=~/.vault_password.txt ansible-playbook playbook.yml

  • 外部密钥管理系统: 对于企业级安全，将 Ansible Vault 与 HashiCorp Vault、AWS Secrets Manager、Azure Key Vault 或 CyberArk 等专用密钥管理系统集成。这些系统可以在运行时安全地提供 Vault 密码文件的内容，从而无需本地存储。

  • 提示: 对于交互式运行，您始终可以使用 --ask-vault-pass (-k) 来提示输入密码。

    bash ansible-playbook playbook.yml --ask-vault-pass

    提示: 确保 ~/.vault_password.txt 具有严格的权限（例如，chmod 600 ~/.vault_password.txt），以便只有您可以读取它。

4. 精细访问控制

限制谁可以访问 Vault 密码。不同的团队或环境可能需要不同的密钥，因此需要不同的 Vault 密码。考虑：

  • 单独的 Vault 密码: 为开发、暂存和生产环境使用唯一的 Vault 密码。如果密码泄露，这可以限制影响范围。
  • 限制对密码文件的访问: 确保只有授权的个人或自动化系统才能访问提供 Vault 密码的文件或机制。

5. 版本控制集成

Ansible Vault 的主要优点之一是它允许将加密文件安全地提交到版本控制系统（如 Git）。这意味着您可以跟踪密钥的更改，查看历史记录，并进行协作，而不会暴露敏感数据。

关键: 始终确保您的 vault_password_file（或生成它的脚本）通过 .gitignore 条目明确排除在版本控制之外。

# .gitignore 示例
.vault_password.txt
*.vault_password

6. 最小化 Vault 范围

仅加密包含敏感数据的特定变量或文件。如果只有一小部分是敏感的，请避免加密整个配置文件。这使得 diff 更易于阅读，减少了合并冲突，并简化了审计。

例如，不要加密整个 vars/main.yml，而是创建一个 vars/vault.yml 或在 vars/main.yml 中使用 ansible-vault encrypt_string 来加密单个变量。

7. 定期重新设置 Vault 密码

定期轮换您的 Vault 密码。这是一项标准的 D安全措施，如果密码泄露，可以减少攻击者利用的机会窗口。使用 ansible-vault rekey 更改一个或多个 Vaulted 文件的密码。

8. 测试和验证

始终先在非生产环境中测试带有 Vaulted 凭证的 Ansible playbook。确保 Ansible 可以正确解密并使用变量而不会出现问题。这有助于在配置错误影响生产系统之前发现它们。

集成 CI/CD 管道

使用 CI/CD 自动化部署需要特别注意如何处理 Vault 密码。

  • 安全地注入密码: CI/CD 平台（例如 Jenkins、GitLab CI、GitHub Actions、CircleCI）通常提供功能来安全地存储敏感变量，并在管道执行期间将它们作为环境变量注入。配置您的管道以通过 ANSIBLE_VAULT_PASSWORD_FILE 传递 Vault 密码（或检索它的脚本路径），或者通过安全的环境变量直接提供密码，然后由包装脚本将其写入临时文件。

    ```yaml

    示例：GitLab CI .gitlab-ci.yml 片段

    deploy_job:
    stage: deploy
    script:
    - echo "$ANSIBLE_VAULT_PASS" > .vault_pass
    - chmod 600 .vault_pass
    - ansible-playbook site.yml --vault-password-file .vault_pass
    variables:
    ANSIBLE_VAULT_PASS: $CI_VAULT_PASSWORD # CI_VAULT_PASSWORD 是一个掩码/受保护的 CI/CD 变量
    ```

    警告: 在 CI/CD 日志中，即使密码被掩码，也要极其小心不要将敏感密码回显到控制台输出。如果可能，直接将密钥传递到临时文件，或使用专用的 CI/CD 密钥助手。

结论

Ansible Vault 是在自动化工作流中维护敏感数据安全性的不可或缺的工具。通过遵循这些最佳实践——加密所有敏感数据，将密钥组织在专用的 Vault 文件中，安全地管理 Vault 密码，强制执行精细访问，并周密地集成到 CI/CD 管道中——您可以显著增强基础设施的安全态势。持续应用这些原则将保护您的凭证，并为更健壮、更安全的操作环境做出贡献。