Capítulo 56. Uso de Ansible para gestionar las bóvedas de servicio de IdM: almacenamiento y recuperación de secretos

Procedimiento

1. Navegue hasta el directorio /usr/share/doc/ansible-freeipa/playbooks/vault:

   $ cd /usr/share/doc/ansible-freeipa/playbooks/vault

   Copy to Clipboard Toggle word wrap

2. Obtener la clave pública de la instancia de servicio. Por ejemplo, utilizando la utilidad openssl:

   1. Generar la clave privada service-private.pem.

      $ openssl genrsa -out service-private.pem 2048
      Generating RSA private key, 2048 bit long modulus
      .+++
      ...........................................+++
      e is 65537 (0x10001)

      Copy to Clipboard Toggle word wrap

   2. Generar la clave pública service-public.pem a partir de la clave privada.

      $ openssl rsa -in service-private.pem -out service-public.pem -pubout
      writing RSA key

      Copy to Clipboard Toggle word wrap

3. Opcional: Crear un archivo de inventario si no existe, por ejemplo inventory.file:

   $ touch inventory.file

   Copy to Clipboard Toggle word wrap

4. Abra su archivo de inventario y defina el servidor IdM que desea configurar en la sección [ipaserver]. Por ejemplo, para indicar a Ansible que configure server.idm.example.com, introduzca:

   [ipaserver]
   server.idm.example.com

   Copy to Clipboard Toggle word wrap

5. Haga una copia del archivo de playbook de Ansible ensure-asymmetric-vault-is-present.yml. Por ejemplo:

   $ cp ensure-asymmetric-vault-is-present.yml ensure-asymmetric-service-vault-is-present-copy.yml

   Copy to Clipboard Toggle word wrap
6. Abra el archivo ensure-asymmetric-vault-is-present-copy.yml para editarlo.
7. Añade una tarea que copie la clave pública service-public.pem desde el controlador de Ansible al servidor server.idm.example.com.

8. Modifique el resto del archivo estableciendo las siguientes variables en la sección de tareas ipavault:

   • Establezca la variable ipaadmin_password con la contraseña del administrador de IdM.
   • Defina el nombre de la bóveda utilizando la variable name, por ejemplo secret_vault.
   • Establezca la variable vault_type en asymmetric.
   • Establezca la variable service con el director del servicio propietario de la bóveda, por ejemplo HTTP/webserver1.idm.example.com.

   • Establezca en public_key_file la ubicación de su clave pública.

     Este es el archivo de Ansible playbook modificado para el ejemplo actual:

   ---
   - name: Tests
     hosts: ipaserver
     become: true
     gather_facts: false
     tasks:
     - name: Copy public key to ipaserver.
       copy:
         src: /path/to/service-public.pem
         dest: /usr/share/doc/ansible-freeipa/playbooks/vault/service-public.pem
         mode: 0600
     - name: Add data to vault, from a LOCAL file.
       ipavault:
         ipaadmin_password: Secret123
         name: secret_vault
         vault_type: asymmetric
         service: HTTP/webserver1.idm.example.com
         public_key_file: /usr/share/doc/ansible-freeipa/playbooks/vault/service-public.pem

   Copy to Clipboard Toggle word wrap
9. Guarda el archivo.

10. Ejecuta el libro de jugadas:

    $ ansible-playbook -v -i inventory.file ensure-asymmetric-service-vault-is-present-copy.yml

    Copy to Clipboard Toggle word wrap