Identity Management での Vault の操作

手順

1. idm_user の Kerberos Ticket Granting Ticket (TGT) を取得します。

   $ kinit idm_user

   Copy to Clipboard Toggle word wrap

2. ipa Vault-add コマンドに --type standard オプションを指定して、標準 Vault を作成します。

   $ ipa vault-add my_vault --type standard
   ----------------------
   Added vault "my_vault"
   ----------------------
     Vault name: my_vault
     Type: standard
     Owner users: idm_user
     Vault user: idm_user

   Copy to Clipboard Toggle word wrap
   重要

   最初のユーザー Vault の作成には、同じユーザーが使用されているようにしてください。ユーザーの最初の Vault を作成すると、ユーザーの Vault コンテナーも作成されます。作成エージェントは Vault コンテナーの所有者になります。

   たとえば、admin などの別のユーザーが user1 の最初のユーザー Vault を作成する場合には、ユーザーの Vault コンテナーの所有者も admin になり、user1 はユーザー Vault にアクセスしたり、新しいユーザー Vault を作成したりできません。

3. ipa vault-archive コマンドに --in オプションを指定して、secret.txt ファイルを Vault にアーカイブします。

   $ ipa vault-archive my_vault --in secret.txt
   -----------------------------------
   Archived data into vault "my_vault"
   -----------------------------------

   Copy to Clipboard Toggle word wrap

手順

1. idm_client に idm_user として SSH 接続します。

   $ ssh idm_user@idm_client.idm.example.com

   Copy to Clipboard Toggle word wrap

2. idm_user としてログインします。

   $ kinit user

   Copy to Clipboard Toggle word wrap

3. --out オプションを指定した ipa vault-retrieve コマンドを使用して、Vault の内容を取得し、secret_exported.txt ファイルに保存します。

   $ ipa vault-retrieve my_vault --out secret_exported.txt
   --------------------------------------
   Retrieved data from vault "my_vault"
   --------------------------------------

   Copy to Clipboard Toggle word wrap

手順

1. MyPlaybooks ディレクトリーに移動します。

   $ cd ~/MyPlaybooks/

   Copy to Clipboard Toggle word wrap

2. /usr/share/doc/ansible-freeipa/playbooks/vault/ensure-standard-vault-is-present.yml Ansible Playbook ファイルのコピーを作成します。以下に例を示します。

   $ cp /usr/share/doc/ansible-freeipa/playbooks/vault/ensure-standard-vault-is-present.yml ensure-standard-vault-is-present-copy.yml

   Copy to Clipboard Toggle word wrap
3. ensure-standard-vault-is-present-copy.yml ファイルを開いて編集します。

4. ipavault タスクセクションに以下の変数を設定して、ファイルを調整します。

   • ipaadmin_principal 変数は idm_user に設定します。
   • ipaadmin_password 変数は idm_user のパスワードに設定します。
   • user 変数は idm_user に設定します。
   • name 変数は my_vault に設定します。

   • vault_type 変数は standard に設定します。

     今回の例で使用するように変更した Ansible Playbook ファイル:

   ---
   - name: Tests
     hosts: ipaserver
     gather_facts: false
   
     tasks:
     - ipavault:
         ipaadmin_principal: idm_user
         ipaadmin_password: idm_user_password
         user: idm_user
         name: my_vault
         vault_type: standard

   Copy to Clipboard Toggle word wrap
5. ファイルを保存します。

6. Playbook を実行します。

   $ ansible-playbook -v -i inventory.file ensure-standard-vault-is-present-copy.yml

   Copy to Clipboard Toggle word wrap

手順

1. MyPlaybooks ディレクトリーに移動します。

   $ cd ~/MyPlaybooks/

   Copy to Clipboard Toggle word wrap

2. /usr/share/doc/ansible-freeipa/playbooks/vault/data-archive-in-symmetric-vault.yml Ansible Playbook ファイルのコピーを作成します。以下に例を示します。

   $ cp /usr/share/doc/ansible-freeipa/playbooks/vault/data-archive-in-symmetric-vault.yml data-archive-in-symmetric-vault-copy.yml

   Copy to Clipboard Toggle word wrap
3. data-archive-in-standard-vault-copy.yml ファイルを開いて編集します。

4. ipavault タスクセクションに以下の変数を設定して、ファイルを調整します。

   • ipaadmin_principal 変数は idm_user に設定します。
   • ipaadmin_password 変数は idm_user のパスワードに設定します。
   • user 変数は idm_user に設定します。
   • name 変数は my_vault に設定します。
   • in 変数は機密情報が含まれるファイルへのパスに設定します。

   • action 変数は member に設定します。

     今回の例で使用するように変更した Ansible Playbook ファイル:

   ---
   - name: Tests
     hosts: ipaserver
     gather_facts: false
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - ipavault:
         ipaadmin_principal: idm_user
         ipaadmin_password: idm_user_password
         user: idm_user
         name: my_vault
         in: /usr/share/doc/ansible-freeipa/playbooks/vault/password.txt
         action: member

   Copy to Clipboard Toggle word wrap
5. ファイルを保存します。

6. Playbook を実行します。

   $ ansible-playbook -v -i inventory.file data-archive-in-standard-vault-copy.yml

   Copy to Clipboard Toggle word wrap

手順

1. MyPlaybooks ディレクトリーに移動します。

   $ cd ~/MyPlaybooks/

   Copy to Clipboard Toggle word wrap

2. /usr/share/doc/ansible-freeipa/playbooks/vault/data-archive-in-symmetric-vault.yml Ansible Playbook ファイルのコピーを作成します。以下に例を示します。

   $ cp /usr/share/doc/ansible-freeipa/playbooks/vault/retrive-data-symmetric-vault.yml retrieve-data-symmetric-vault-copy.yml

   Copy to Clipboard Toggle word wrap

3. インベントリーファイルを開き、明確に定義されたセクションで、シークレットを取得する IdM クライアントを記載します。たとえば、Ansible に対して host01.idm.example.com にシークレットを取得して配置するよう指示するには、次のコマンドを実行します。

   [ipahost]
   host01.idm.example.com

   Copy to Clipboard Toggle word wrap
4. retrieve-data-standard-vault.yml-copy.yml ファイルを編集のために開きます。
5. hosts 変数は ipahost に設定して、ファイルを調整します。

6. ipavault タスクセクションに以下の変数を設定して、ファイルを調整します。

   • ipaadmin_principal 変数は idm_user に設定します。
   • ipaadmin_password 変数は idm_user のパスワードに設定します。
   • user 変数は idm_user に設定します。
   • name 変数は my_vault に設定します。
   • out 変数は、シークレットをエクスポートするファイルの完全パスに設定します。

   • state 変数は retrieved に設定します。

     今回の例で使用するように変更した Ansible Playbook ファイル:

   ---
   - name: Tests
     hosts: ipahost
     gather_facts: false
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - ipavault:
         ipaadmin_principal: idm_user
         ipaadmin_password: idm_user_password
         user: idm_user
         name: my_vault
         out: /tmp/password_exported.txt
         state: retrieved

   Copy to Clipboard Toggle word wrap
7. ファイルを保存します。

8. Playbook を実行します。

   $ ansible-playbook -v -i inventory.file retrieve-data-standard-vault.yml-copy.yml

   Copy to Clipboard Toggle word wrap

検証

1. host01 に user01 として SSH 接続します。

   $ ssh user01@host01.idm.example.com

   Copy to Clipboard Toggle word wrap

2. Ansible Playbook ファイルに out 変数で指定したファイルを表示します。

   $ vim /tmp/password_exported.txt

   Copy to Clipboard Toggle word wrap

手順

1. 管理者としてログインします。

   $ kinit admin

   Copy to Clipboard Toggle word wrap

2. サービスインスタンスの公開鍵を取得します。たとえば、openssl ユーティリティーを使用する場合は以下を行います。

   1. service-private.pem 秘密鍵を生成します。

      $ openssl genrsa -out service-private.pem 2048
      Generating RSA private key, 2048 bit long modulus
      .+++
      ...........................................+++
      e is 65537 (0x10001)

      Copy to Clipboard Toggle word wrap

   2. 秘密鍵をもとに service-public.pem 公開鍵を生成します。

      $ openssl rsa -in service-private.pem -out service-public.pem -pubout
      writing RSA key

      Copy to Clipboard Toggle word wrap

3. サービスインスタンス Vault として非対称 Vault を作成し、公開鍵を指定します。

   $ ipa vault-add secret_vault --service HTTP/webserver.idm.example.com --type asymmetric --public-key-file service-public.pem
   ----------------------------
   Added vault "secret_vault"
   ----------------------------
   Vault name: secret_vault
   Type: asymmetric
   Public key: LS0tLS1C...S0tLS0tCg==
   Owner users: admin
   Vault service: HTTP/webserver.idm.example.com@IDM.EXAMPLE.COM

   Copy to Clipboard Toggle word wrap

   Vault にアーカイブされたパスワードはこの鍵で保護されます。

4. サービスシークレットをサービス Vault にアーカイブします。

   $ ipa vault-archive secret_vault --service HTTP/webserver.idm.example.com --in private-key-to-an-externally-signed-certificate.pem
   -----------------------------------
   Archived data into vault "secret_vault"
   -----------------------------------

   Copy to Clipboard Toggle word wrap

   これにより、サービスインスタンスの公開鍵でシークレットが暗号化されます。

手順

1. 管理者としてログインします。

   $ kinit admin

   Copy to Clipboard Toggle word wrap

2. サービスの Kerberos チケットを取得します。

   # kinit HTTP/webserver.idm.example.com -k -t /etc/httpd/conf/ipa.keytab

   Copy to Clipboard Toggle word wrap

3. サービス Vault パスワードを取得します。

   $ ipa vault-retrieve secret_vault --service HTTP/webserver.idm.example.com --private-key-file service-private.pem --out secret.txt
   ------------------------------------
   Retrieved data from vault "secret_vault"
   ------------------------------------

   Copy to Clipboard Toggle word wrap

手順

1. 新規シークレットをサービスインスタンス Vault にアーカイブします。

   $ ipa vault-archive secret_vault --service HTTP/webserver.idm.example.com --in new-private-key-to-an-externally-signed-certificate.pem
   -----------------------------------
   Archived data into vault "secret_vault"
   -----------------------------------

   Copy to Clipboard Toggle word wrap

   これにより、Vault に保存されている現在のシークレットが上書きされます。

2. 不正アクセスがされていないサービスインスタンスのみで新規シークレットを取得します。詳細は、IdM サービスインスタンスのサービスシークレットの取得 を参照してください。

手順

1. MyPlaybooks ディレクトリーに移動します。

   $ cd ~/MyPlaybooks/

   Copy to Clipboard Toggle word wrap

2. /usr/share/doc/ansible-freeipa/playbooks/vault/ensure-asymmetric-vault-is-present.yml Ansible Playbook ファイルのコピーを作成します。以下に例を示します。

   $ cp /usr/share/doc/ansible-freeipa/playbooks/vault/ensure-asymmetric-vault-is-present.yml ensure-asymmetric-vault-is-present-copy.yml

   Copy to Clipboard Toggle word wrap

3. サービスインスタンスの公開鍵を取得します。たとえば、openssl ユーティリティーを使用する場合は以下を行います。

   1. service-private.pem 秘密鍵を生成します。

      $ openssl genrsa -out service-private.pem 2048
      Generating RSA private key, 2048 bit long modulus
      .+++
      ...........................................+++
      e is 65537 (0x10001)

      Copy to Clipboard Toggle word wrap

   2. 秘密鍵をもとに service-public.pem 公開鍵を生成します。

      $ openssl rsa -in service-private.pem -out service-public.pem -pubout
      writing RSA key

      Copy to Clipboard Toggle word wrap
4. ensure-asymmetric-vault-is-present-copy.yml ファイルを編集のために開きます。
5. Ansible コントローラーから server.idm.example.com サーバーに service-public.pem の公開鍵をコピーするタスクを追加します。

6. ipavault タスクセクションに以下の変数を設定して、残りのファイルを変更します。

   • ipaadmin_password 変数は IdM 管理者パスワードに設定します。
   • secret_vault などの name 変数を使用して Vault の名前を定義します。
   • vault_type 変数は asymmetric に設定します。
   • service 変数は、Vault を所有するサービスのプリンシパル (例: HTTP/webserver1.idm.example.com) に設定します。

   • public_key_file は、公開鍵の場所に設定します。

     以下は、今回の例で使用するように変更した Ansible Playbook ファイルです。

   ---
   - name: Tests
     hosts: ipaserver
     gather_facts: false
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Copy public key to ipaserver.
       copy:
         src: /path/to/service-public.pem
         dest: /usr/share/doc/ansible-freeipa/playbooks/vault/service-public.pem
         mode: 0600
     - name: Add data to vault, from a LOCAL file.
       ipavault:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: secret_vault
         vault_type: asymmetric
         service: HTTP/webserver1.idm.example.com
         public_key_file: /usr/share/doc/ansible-freeipa/playbooks/vault/service-public.pem

   Copy to Clipboard Toggle word wrap
7. ファイルを保存します。

8. Playbook を実行します。

   $ ansible-playbook --vault-password-file=password_file -v -i inventory.file ensure-asymmetric-service-vault-is-present-copy.yml

   Copy to Clipboard Toggle word wrap

手順

1. MyPlaybooks ディレクトリーに移動します。

   $ cd ~/MyPlaybooks/

   Copy to Clipboard Toggle word wrap

2. /usr/share/doc/ansible-freeipa/playbooks/vault/data-archive-in-asymmetric-vault.yml Ansible Playbook ファイルのコピーを作成します。以下に例を示します。

   $ cp /usr/share/doc/ansible-freeipa/playbooks/vault/data-archive-in-asymmetric-vault.yml data-archive-in-asymmetric-vault-copy.yml

   Copy to Clipboard Toggle word wrap
3. data-archive-in-asymmetric-vault-copy.yml ファイルを編集のために開きます。

4. ファイルを変更するには、ipavault タスクセクションに以下の変数を設定します。

   • ipaadmin_password 変数は IdM 管理者パスワードに設定します。
   • name 変数は Vault の名前 (例: secret_vault) に設定します。
   • service 変数は Vault のサービス所有者に設定します (例: HTTP/webserver1.idm.example.com)。
   • services 変数を使用して、Vault シークレットにアクセスできる services を定義します。

   • action 変数は member に設定します。

     今回の例で使用するように変更した Ansible Playbook ファイル:

   ---
   - name: Tests
     hosts: ipaserver
     gather_facts: false
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - ipavault:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: secret_vault
         service: HTTP/webserver1.idm.example.com
         services:
         - HTTP/webserver2.idm.example.com
         - HTTP/webserver3.idm.example.com
         action: member

   Copy to Clipboard Toggle word wrap
5. ファイルを保存します。

6. Playbook を実行します。

   $ ansible-playbook --vault-password-file=password_file -v -i inventory.file add-services-to-an-asymmetric-vault.yml

   Copy to Clipboard Toggle word wrap

手順

1. MyPlaybooks ディレクトリーに移動します。

   $ cd ~/MyPlaybooks/

   Copy to Clipboard Toggle word wrap

2. /usr/share/doc/ansible-freeipa/playbooks/vault/data-archive-in-asymmetric-vault.yml Ansible Playbook ファイルのコピーを作成します。以下に例を示します。

   $ cp /usr/share/doc/ansible-freeipa/playbooks/vault/data-archive-in-asymmetric-vault.yml data-archive-in-asymmetric-vault-copy.yml

   Copy to Clipboard Toggle word wrap
3. data-archive-in-asymmetric-vault-copy.yml ファイルを編集のために開きます。

4. ファイルを変更するには、ipavault タスクセクションに以下の変数を設定します。

   • ipaadmin_password 変数は IdM 管理者パスワードに設定します。
   • name 変数は Vault の名前 (例: secret_vault) に設定します。
   • service 変数は Vault のサービス所有者に設定します (例: HTTP/webserver1.idm.example.com)。
   • in 変数は "{{ lookup('file', 'private-key-to-an-externally-signed-certificate.pem')| b64encode }}" に設定します。この設定では、Ansible が IdM サーバーではなく、Ansible コントローラーの作業ディレクトリーから秘密鍵のあるファイルを取得するようになります。

   • action 変数は member に設定します。

     今回の例で使用するように変更した Ansible Playbook ファイル:

   ---
   - name: Tests
     hosts: ipaserver
     gather_facts: false
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - ipavault:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: secret_vault
         service: HTTP/webserver1.idm.example.com
         in: "{{ lookup('file', 'private-key-to-an-externally-signed-certificate.pem') | b64encode }}"
         action: member

   Copy to Clipboard Toggle word wrap
5. ファイルを保存します。

6. Playbook を実行します。

   $ ansible-playbook --vault-password-file=password_file -v -i inventory.file data-archive-in-asymmetric-vault-copy.yml

   Copy to Clipboard Toggle word wrap

手順

1. MyPlaybooks ディレクトリーに移動します。

   $ cd ~/MyPlaybooks/

   Copy to Clipboard Toggle word wrap

2. /usr/share/doc/ansible-freeipa/playbooks/vault/retrieve-data-asymmetric-vault.yml Ansible Playbook ファイルのコピーを作成します。以下に例を示します。

   $ cp /usr/share/doc/ansible-freeipa/playbooks/vault/retrieve-data-asymmetric-vault.yml retrieve-data-asymmetric-vault-copy.yml

   Copy to Clipboard Toggle word wrap

3. インベントリーファイルを開き、以下のホストを定義します。

   • [ipaserver] セクションで、使用する IdM サーバーを定義します。
   • [webservers] セクションで、シークレットを取得するホストを定義します。たとえば Ansible に対して webserver1.idm.example.com、webserver2.idm.example.com および webserver3.idm.example.com にシークレットを取得するように指示するには以下を実行します。

   [ipaserver]
   server.idm.example.com
   
   [webservers]
   webserver1.idm.example.com
   webserver2.idm.example.com
   webserver3.idm.example.com

   Copy to Clipboard Toggle word wrap
4. retrieve-data-asymmetric-vault-copy.yml ファイルを編集のために開きます。

5. ファイルを変更するには、ipavault タスクセクションに以下の変数を設定します。

   • ipaadmin_password 変数は IdM 管理者パスワードに設定します。
   • name 変数は Vault の名前 (例: secret_vault) に設定します。
   • service 変数は Vault のサービス所有者に設定します (例: HTTP/webserver1.idm.example.com)。
   • private_key_file 変数は、サービス Vault のシークレットの取得に使用する秘密鍵の場所に設定します。
   • out 変数は、現在の作業ディレクトリーなど、private-key-to-an-externally-signed-certificate.pem シークレットの取得先となる IdM サーバーの場所に設定します。

   • action 変数は member に設定します。

     今回の例で使用するように変更した Ansible Playbook ファイル:

   ---
   - name: Retrieve data from vault
     hosts: ipaserver
     become: no
     gather_facts: false
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Retrieve data from the service vault
       ipavault:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: secret_vault
         service: HTTP/webserver1.idm.example.com
         vault_type: asymmetric
         private_key: "{{ lookup('file', 'service-private.pem') | b64encode }}"
         out: private-key-to-an-externally-signed-certificate.pem
         state: retrieved

   Copy to Clipboard Toggle word wrap

6. Playbook に、IdM サーバーから Ansible コントローラーにデータファイルを取得するセクションを追加します。

   ---
   - name: Retrieve data from vault
     hosts: ipaserver
     become: no
     gather_facts: false
     tasks:
   [...]
     - name: Retrieve data file
       fetch:
         src: private-key-to-an-externally-signed-certificate.pem
         dest: ./
         flat: true
         mode: 0600

   Copy to Clipboard Toggle word wrap

7. インベントリーファイルの webservers セクションに記載されている Web サーバーに、Ansible コントローラーから取得した private-key-to-an-externally-signed-certificate.pem ファイルを転送するセクションを Playbook に追加します。

   ---
   - name: Send data file to webservers
     become: no
     gather_facts: no
     hosts: webservers
     tasks:
     - name: Send data to webservers
       copy:
         src: private-key-to-an-externally-signed-certificate.pem
         dest: /etc/pki/tls/private/httpd.key
         mode: 0444

   Copy to Clipboard Toggle word wrap
8. ファイルを保存します。

9. Playbook を実行します。

   $ ansible-playbook --vault-password-file=password_file -v -i inventory.file retrieve-data-asymmetric-vault-copy.yml

   Copy to Clipboard Toggle word wrap

手順

1. /usr/share/doc/ansible-freeipa/playbooks/vault ディレクトリーに移動します。

   $ cd /usr/share/doc/ansible-freeipa/playbooks/vault

   Copy to Clipboard Toggle word wrap

2. インベントリーファイルを開き、以下のホストが正しく定義されていることを確認します。

   • [ipaserver] セクションの IdM サーバー

   • [webservers] セクションのシークレット取得先のホスト。たとえば Ansible に対して webserver1.idm.example.com と webserver2.idm.example.com にシークレットを取得するように指示するには、以下を入力します。

     [ipaserver]
     server.idm.example.com
     
     [webservers]
     webserver1.idm.example.com
     webserver2.idm.example.com

     Copy to Clipboard Toggle word wrap
   重要

   このリストに不正アクセスのあった Web サーバーが含まれないようにしてください (現在の例では webserver3.idm.example.com)。

3. data-archive-in-asymmetric-vault.yml Ansible Playbook ファイルのコピーを作成します。次に例を示します。

   $ cp data-archive-in-asymmetric-vault.yml data-archive-in-asymmetric-vault-copy.yml

   Copy to Clipboard Toggle word wrap
4. data-archive-in-asymmetric-vault-copy.yml ファイルを編集のために開きます。

5. ファイルを変更するには、ipavault タスクセクションに以下の変数を設定します。

   • ipaadmin_password 変数は IdM 管理者パスワードに設定します。
   • name 変数は Vault の名前 (例: secret_vault) に設定します。
   • service 変数は Vault のサービス所有者に設定します (例: HTTP/webserver.idm.example.com)。
   • in 変数は "{{ lookup('file', 'new-private-key-to-an-externally-signed-certificate.pem')| b64encode }}" に設定します。この設定では、Ansible が IdM サーバーではなく、Ansible コントローラーの作業ディレクトリーから秘密鍵のあるファイルを取得するようになります。

   • action 変数は member に設定します。

     今回の例で使用するように変更した Ansible Playbook ファイル:

   ---
   - name: Tests
     hosts: ipaserver
     gather_facts: false
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - ipavault:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: secret_vault
         service: HTTP/webserver.idm.example.com
         in: "{{ lookup('file', 'new-private-key-to-an-externally-signed-certificate.pem') | b64encode }}"
         action: member

   Copy to Clipboard Toggle word wrap
6. ファイルを保存します。

7. Playbook を実行します。

   $ ansible-playbook --vault-password-file=password_file -v -i inventory.file data-archive-in-asymmetric-vault-copy.yml

   Copy to Clipboard Toggle word wrap
8. retrieve-data-asymmetric-vault-copy.yml ファイルを開いて編集します。

9. ファイルを変更するには、ipavault タスクセクションに以下の変数を設定します。

   • ipaadmin_password 変数は IdM 管理者パスワードに設定します。
   • name 変数は Vault の名前 (例: secret_vault) に設定します。
   • service 変数は Vault のサービス所有者に設定します (例: HTTP/webserver1.idm.example.com)。
   • private_key_file 変数は、サービス Vault のシークレットの取得に使用する秘密鍵の場所に設定します。
   • out 変数は、現在の作業ディレクトリーなど、new-private-key-to-an-externally-signed-certificate.pem シークレットの取得先となる IdM サーバーの場所に設定します。

   • action 変数は member に設定します。

     今回の例で使用するように変更した Ansible Playbook ファイル:

   ---
   - name: Retrieve data from vault
     hosts: ipaserver
     become: no
     gather_facts: false
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Retrieve data from the service vault
       ipavault:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: secret_vault
         service: HTTP/webserver1.idm.example.com
         vault_type: asymmetric
         private_key: "{{ lookup('file', 'service-private.pem') | b64encode }}"
         out: new-private-key-to-an-externally-signed-certificate.pem
         state: retrieved

   Copy to Clipboard Toggle word wrap

10. Playbook に、IdM サーバーから Ansible コントローラーにデータファイルを取得するセクションを追加します。

    ---
    - name: Retrieve data from vault
      hosts: ipaserver
      become: true
      gather_facts: false
      tasks:
    [...]
      - name: Retrieve data file
        fetch:
          src: new-private-key-to-an-externally-signed-certificate.pem
          dest: ./
          flat: true
          mode: 0600

    Copy to Clipboard Toggle word wrap

11. インベントリーファイルの webservers セクションに記載されている Web サーバーに、Ansible コントローラーから取得した new-private-key-to-an-externally-signed-certificate.pem ファイルを転送するセクションを Playbook に追加します。

    ---
    - name: Send data file to webservers
      become: true
      gather_facts: no
      hosts: webservers
      tasks:
      - name: Send data to webservers
        copy:
          src: new-private-key-to-an-externally-signed-certificate.pem
          dest: /etc/pki/tls/private/httpd.key
          mode: 0444

    Copy to Clipboard Toggle word wrap
12. ファイルを保存します。

13. Playbook を実行します。

    $ ansible-playbook --vault-password-file=password_file -v -i inventory.file retrieve-data-asymmetric-vault-copy.yml

    Copy to Clipboard Toggle word wrap