第25章 Ansible を使用した IdM サービス Vault の管理: シークレットの保存および取得

手順

1. MyPlaybooks ディレクトリーに移動します。

   $ cd ~/MyPlaybooks/

2. Ansible Playbook ファイル( /usr/share/doc/ansible-freeipa/playbooks/vault/ensure-asymmetric-vault-is-present.yml )のコピーを作成します。以下に例を示します。

   $ cp /usr/share/doc/ansible-freeipa/playbooks/vault/ensure-asymmetric-vault-is-present.yml ensure-asymmetric-vault-is-present-copy.yml

3. サービスインスタンスの公開鍵を取得します。たとえば、openssl ユーティリティーを使用する場合は以下を行います。

   1. service-private.pem 秘密鍵を生成します。

      $ openssl genrsa -out service-private.pem 2048
      Generating RSA private key, 2048 bit long modulus
      .+++
      ...........................................+++
      e is 65537 (0x10001)

   2. 秘密鍵をもとに service-public.pem 公開鍵を生成します。

      $ openssl rsa -in service-private.pem -out service-public.pem -pubout
      writing RSA key

4. ensure-asymmetric-vault-is-present-copy.yml ファイルを開いて編集します。
5. Ansible コントローラーから server.idm.example.com サーバーに service-public.pem の公開鍵をコピーするタスクを追加します。

6. ipavault タスクセクションに以下の変数を設定して、残りのファイルを変更します。

   • ipaadmin_password 変数は IdM 管理者パスワードに設定します。
   • secret_vault などの name 変数を使用して Vault の名前を定義します。
   • vault_type 変数は asymmetric に設定します。
   • service 変数は、Vault を所有するサービスのプリンシパル (例: HTTP/webserver1.idm.example.com) に設定します。

   • public_key_file は、公開鍵の場所に設定します。

     以下は、今回の例で使用するように変更した Ansible Playbook ファイルです。

   ---
   - name: Tests
     hosts: ipaserver
     gather_facts: false
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Copy public key to ipaserver.
       copy:
         src: /path/to/service-public.pem
         dest: /usr/share/doc/ansible-freeipa/playbooks/vault/service-public.pem
         mode: 0600
     - name: Add data to vault, from a LOCAL file.
       ipavault:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: secret_vault
         vault_type: asymmetric
         service: HTTP/webserver1.idm.example.com
         public_key_file: /usr/share/doc/ansible-freeipa/playbooks/vault/service-public.pem

7. ファイルを保存します。

8. Playbook を実行します。

   $ ansible-playbook --vault-password-file=password_file -v -i inventory.file ensure-asymmetric-service-vault-is-present-copy.yml