第85章 Ansible を使用した IdM サービス vault の管理: シークレットの保存および取得

手順

1. /usr/share/doc/ansible-freeipa/playbooks/vault ディレクトリーに移動します。

   $ cd /usr/share/doc/ansible-freeipa/playbooks/vault

2. サービスインスタンスの公開鍵を取得します。たとえば、openssl ユーティリティーを使用する場合は以下を行います。

   1. service-private.pem 秘密鍵を生成します。

      $ openssl genrsa -out service-private.pem 2048
      Generating RSA private key, 2048 bit long modulus
      .+++
      ...........................................+++
      e is 65537 (0x10001)

   2. 秘密鍵をもとに service-public.pem 公開鍵を生成します。

      $ openssl rsa -in service-private.pem -out service-public.pem -pubout
      writing RSA key

3. オプション: inventory.file など、存在しない場合はインベントリーファイルを作成します。

   $ touch inventory.file

4. インベントリーファイルを開き、[ipaserver] セクションに、設定する IdM サーバーを定義します。たとえば、Ansible に対して server.idm.example.com を設定するように指示するには、次のコマンドを実行します。

   [ipaserver]
   server.idm.example.com

5. Ansible Playbook ファイル ensure-asymmetric-vault-is-present.yml のコピーを作成します。以下に例を示します。

   $ cp ensure-asymmetric-vault-is-present.yml ensure-asymmetric-service-vault-is-present-copy.yml

6. ensure-asymmetric-vault-is-present-copy.yml ファイルを開いて編集します。
7. Ansible コントローラーから server.idm.example.com サーバーに service-public.pem の公開鍵をコピーするタスクを追加します。

8. ipavault タスクセクションに以下の変数を設定して、残りのファイルを変更します。

   • ipaadmin_password 変数は IdM 管理者パスワードに設定します。
   • secret_vault などの name 変数を使用して vault の名前を定義します。
   • vault_type 変数は asymmetric に設定します。
   • service 変数は、vault を所有するサービスのプリンシパル (例: HTTP/webserver1.idm.example.com) に設定します。

   • public_key_file は、公開鍵の場所に設定します。

     以下は、今回の例で使用するように変更した Ansible Playbook ファイルです。

   ---
   - name: Tests
     hosts: ipaserver
     gather_facts: false
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Copy public key to ipaserver.
       copy:
         src: /path/to/service-public.pem
         dest: /usr/share/doc/ansible-freeipa/playbooks/vault/service-public.pem
         mode: 0600
     - name: Add data to vault, from a LOCAL file.
       ipavault:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: secret_vault
         vault_type: asymmetric
         service: HTTP/webserver1.idm.example.com
         public_key_file: /usr/share/doc/ansible-freeipa/playbooks/vault/service-public.pem

9. ファイルを保存します。

10. Playbook を実行します。

    $ ansible-playbook --vault-password-file=password_file -v -i inventory.file ensure-asymmetric-service-vault-is-present-copy.yml