当前位置：首页 > news >正文

Ansible（7）——管理机密与事实

news 来源：原创 2025/9/21 12:03:15

一、管理机密：

1、Ansible Vault ：

2、ansible-vault 命令行工具：

（1）创建加密文件：

（2）查看加密文件：

（3）编辑现有加密文件：

（4）加密现有文件：

（5）解密现有文件：

（6）更改加密文件的密码：

3、运行加密 playbook ：

（1）通过密码文件提供密码：

（2）以交互方式提供密码：

4、禁用 Playbook artifact ：

（1）命令行：

（2）修改文件：

二、管理事实：

1、Ansible facts：

2、将事实作为变量注入：

3、事实收集：

（1）关闭事实收集：

（2）收集事实的子集：

4、自定义事实：

（1）常用场景：

（2）创建自定义事实：

（3）使用自定义事实：

5、使用魔法变量：

一、管理机密：

1、Ansible Vault ：

Ansible 可能需要访问密码或 API 密钥等敏感数据，以便配置远程服务器。通常，这些信息以纯文本形式存储在变量清单或其它 Ansible 文件中。若是任何有权访问 Ansible 文件的用户，以及存储这些 Ansible 文件的版本控制系统都能够访问这些敏感数据，将存在很大的安全风险，因此 Ansible 提供了 Ansible Vault 加密敏感变量。

使用随 Ansible 提供的 Ansible Vault ，可以加密和解密任何由 Ansible 使用的结构化数据文件（例如，清单变量、 playbook 中含有的变量文件、在执行 playbook 时作为参数传递的变量文件、以及 Ansible 角色中定义的变量等）。

2、ansible-vault 命令行工具：

若要使用 Ansible Vault ，可通过一个名为 ansible-vault 的命令行工具来创建、编辑、加密、解密和查看文件。

注：Ansible Vault 并不实施自有的加密函数，而是使用外部的 Python 工具集。文件通过 AES256 的对称加密（将密码用作机密密钥）方式加以保护，而这种方式尚未得到第三方正式审核。

（1）创建加密文件：

要创建新的加密文件，可以使用 ansible-vault create filename 命令。该命令将提示输入新的 vault 密码，同时会利用默认的编辑器 vi 打开文件。

注：1）除了通过标准输入途径输入 vault 密码外，还可以使用 vault 密码文件来存储 vault 密码。密码文件是以纯文本形式存储加密密码的文件，密码应当在该文件中存储为一行字符串；

2）由于该文件中包含敏感的纯文本密码，因此密码文件务必要通过文件权限和其他安全措施加以严密保护（在最新的 Ansible 版本中，用于保护文件的密文是 AES256 ）；

3）需要使用密码文件时，用户可通过 --vault-password-file 选项进行指定。

（2）查看加密文件：

用户可以使用 ansible-vault view filename 命令来查看 Ansible Vault 加密的⽂件，⽽不必打开文件进行编辑。

（3）编辑现有加密文件：

编辑现有的加密文件可使用 Ansible Vault 提供的 ansible-vault edit filename 命令。此命令会将文件解密为一个临时文件，并允许用户编辑该文件。而在编辑结束保存文件时，此命令会将其内容进行复制并删除临时文件。

注：edit 子命令会改写文件，因此仅可在进行更改时使用它。若要查看文件的内容而不进行更改，始终应使用 view 子命令。

（4）加密现有文件：

使用 ansible-vault encrypt filename 命令可以加密已存在的⽂件。同时 ansible-vault encrypt filename 命令可取多个欲加密⽂件的文件名称作为参数。

若文件已为加密文件或待加密文件没有内容时，执行此命令均会报错。

1）已加密：

2）没有内容：

注：使用 --output=OUTPUT_FILE 选项，可将加密⽂件以新的名称进行保存。

（5）解密现有文件：

现有的加密⽂件可以通过 ansible-vault decrypt filename 命令进行永久解密。

注：同样，在解密单个⽂件时，也可使用 --output=OUTPUT_FILE 选项将解密⽂件以新的名称进行保存。

（6）更改加密文件的密码：

使用 ansible-vault rekey filename 命令可更改加密⽂件的密码，此命令可同时更新多个数据⽂件的密钥，需要提供原始密码和新密码。

注：若更改密码时，用户需要使用 Vault 密码⽂件，可使用 --new-vault-password-file 选项以实现此操作。

3、运行加密 playbook ：

如需访问通过 Ansible Vault 加密的 playbook ，则需要向 ansible-playbook 命令提供其加密密码。

（1）通过密码文件提供密码：

在执行 playbook 时，使用 --new-vault-password-file 选项可提供加密密码。

注：若运行加密 playbook 时没有提供加密密码，命令将报错。

（2）以交互方式提供密码：

若要以交互方式提供 vault 密码，可使用 --vault-id @prompt 选项实现。

用户还可以通过 ansible-navigator 使用多个 Ansible Vault 密码，将多个 --vault-id 选项或 --vault-password-file 选项传递给 ansible-navigator 命令。

注：必须禁用 playbook artifact 才能以交互方式输入 Vault 密码。若 ansible-navigator 命令需要提示用户输入交互式 Vault 密码，并且 playbook artifact 未禁用，则该命令会挂起。

4、禁用 Playbook artifact ：

（1）命令行：

Playbook artifact 默认处于启用状态，用户可以使用 ansible-navigator --playbook-artifact-enable false 命令禁用 playbook artifact 。

（2）修改文件：

另外，用户还可以通过修改项目 ansible-navigator.yml 文件或主目录中的 .ansible-navigator.yml 文件来禁用 playbook artifact 。

二、管理事实：

1、Ansible facts：

Ansible 事实（ facts ）是 Ansible 从受管主机自动探查到的变量，由 ansible.builtin.setup 模块调取，其包含的信息存储到可重复使用的变量中。此外，用户也可以创建自定义事实，这些事实对于该系统来说是唯一的，存储在受管主机上。

事实	变量
简短的主机名称	ansible_facts['hostname']
完全限定的域名	ansible_facts['fqdn']
基于路由的 IPv4 地址	ansible_facts['default_ipv4']['address']
所有网络接口的名称列表	ansible_facts['interfaces']
/dev/vda1 磁盘分区的大小	ansible_facts['devices']['vda']['partitions']['vda1']['size']
DNS 服务器列表	ansible_facts['dns']['nameservers']
当前运行的内核版本	ansible_facts['kernel']

事实可提供主机名称、内核版本、网络接口、IP 地址、操作系统版本、各种环境变量、CPU 数量、可用内存、可用磁盘空间等信息。

Ansible 事实可以成为 playbook 的一部分。借助事实，用户可以方便地检索受管主机的状态，并根据此状态确定要执行的操作。例如，根据当前内核版本重新启动服务器、根据可用的内存来自定义 MySQL 配置文件、根据主机名称来创建用户等等。

2、将事实作为变量注入：

Ansible 2.5 之前，事实变量是以 ansible_ 字符串为前缀的单个变量注入， Ansible 2.5 之后，事实变量的前缀变为 ansible_facts 。目前仍有许多 playbook 使用作为变量注入的事实，而非使用 ansible_facts.* 新语法。

新老语法对比如下：

新语法	老语法
ansible_facts['hostname']	ansible_hostname
ansible_facts['fqdn']	ansible_fqdn
ansible_facts['default_ipv4']['address']	ansible_default_ipv4['address']
ansible_facts['interfaces']	ansible_interfaces
ansible_facts['devices']['vda']['partitions']['vda1']['size']	ansible_devices['vda']['partitions']['vda1']['size']
ansible_facts['dns']['nameservers']	ansible_dns['nameservers']
ansible_facts['kernel']	ansible_kernel

注：可在配置文件 [default] 中用 inject_facts_as_vars = false 关闭对两种表示方式的兼容。

3、事实收集：

（1）关闭事实收集：

为了加快 playbook 的运行速度，或受管主机不支持 setup 模块，可将事实收集功能关闭，即将 gather_facts 关键字设置为 no 。

注：即使将 gather_facts 关键字设置为 no ，用户也可以在 play 中通过 ansible.builtin.setup 模块手动收集事实。

（2）收集事实的子集：

系统默认会收集所有事实，如仅需收集事实的子集，而非所有事实，同样可以通过 ansible.builtin.setup 模块实现。

如需收集除特定子集以外的所有事实，在子集名称前面添加 ! 即可。

4、自定义事实：

管理员可以自行创建事实，将它们推送到受管主机。自定义事实创建后将由 ansible.builtin.setup 模块收集和读取。

（1）常用场景：

1）基于自定义脚本定义系统的特定值；

2）基于程序执行定义值。

（2）创建自定义事实：

通常情况下， ansible.builtin.setup 模块将从各个受管主机的 /etc/ansible/facts.d 目录中加载自定义事实。这些文件或脚本是采用 INI 或 JSON 格式的纯文本文件，其扩展名必须以 .fact 结尾才可以使用。

1）INI 格式：

在 INI 事实文件中，首先定义事实的顶级分类（例如，[packages] ），后跟欲定义事实的键值对。

2）JSON 格式：

同样的内容以 JSON 格式实现，使用语法如下：

注：⾃定义事实⽂件不能采用同 playbook 相同的 YAML 格式，而 JSON 格式是最为接近的等效格式。

（3）使用自定义事实：

在 playbook 中，自定义事实和默认事实的使用方式相同。

5、使用魔法变量：

魔法变量（ magic variables ）即一些并非是 ansible.buildin.setup 模块采集的事实或配置信息，但是很有用，仍可以被 ansible 使用的变量。

魔法变量有 4 种常用类型如下：

（1）hostvars ：是包含受管主机的变量，可以用于列出受管主机的非事实变量。

注：若还没有为受管主机收集事实，则 hostvars 不会包含该主机的事实。

（2）group_names ：可列出受管主机所属的所有组。

（3）groups ：可列出所有 inventory 中的组（ groups ）和主机（ hosts ）。

（4）inventory_hostname ：可列出当前受管主机在 inventory 中定义的主机名，因为各种原因这可能和事实报告中的主机名不同。

注：更多有关魔法变量的信息可参考https://docs.ansible.com/ansible/latest/reference_appendices/special_variables.html

一、管理机密：

1、Ansible Vault ：

2、ansible-vault 命令行工具：

（1）创建加密文件：

（2）查看加密文件：

（3）编辑现有加密文件：

（4）加密现有文件：

（5）解密现有文件：

（6）更改加密文件的密码：

3、运行加密 playbook ：

（1）通过密码文件提供密码：

（2）以交互方式提供密码：

4、禁用 Playbook artifact ：

（1）命令行：

（2）修改文件：

二、管理事实：

1、Ansible facts：

2、将事实作为变量注入：

3、事实收集：

（1）关闭事实收集：

（2）收集事实的子集：

4、自定义事实：

（1）常用场景：

（2）创建自定义事实：

（3）使用自定义事实：

5、使用魔法变量：

相关文章：