5.4. Ansible を使用した IdM サービスのサービスシークレットの取得
以下の手順に従って、Ansible Playbook を使用してサービスの代わりにサービス vault からシークレットを取得します。以下の手順で使用する例では、Playbook を実行して secret_vault という名前の PEM
ファイルを取得し、Ansible インベントリーファイルに ipaservers
として記載されている全ホストの指定の場所に保存します。
サービスは、キータブを使用して IdM に対して、さらに秘密鍵を使用して vault に対して認証を実行します。ansible-freeipa
がインストールされている IdM クライアントから、サービスの代わりにファイルを取得できます。
前提条件
次の要件を満たすように Ansible コントロールノードを設定した。
- Ansible バージョン 2.14 以降を使用している。
-
Ansible コントローラーに
ansible-freeipa
パッケージがインストールされている。 - ~/MyPlaybooks/ ディレクトリーに、IdM サーバーの完全修飾ドメイン名 (FQDN) を使用して Ansible インベントリーファイル を作成している (この例の場合)。
-
この例では、secret.yml Ansible vault に
ipaadmin_password
が保存されていることを前提としています。
-
ターゲットノード (
ansible-freeipa
モジュールが実行されるノード) が、IdM クライアント、サーバー、またはレプリカとして IdM ドメインに含まれている。 - IdM 管理者パスワードを把握している。
- サービスシークレットの保存先の 非対称 vault を作成している。
- vault にシークレットをアーカイブ している。
-
Ansible コントローラーで
private_key_file
変数が指定する場所にサービス vault のシークレットの取得に使用する秘密鍵が保存されている。
手順
/usr/share/doc/ansible-freeipa/playbooks/vault
ディレクトリーに移動します。$ cd /usr/share/doc/ansible-freeipa/playbooks/vault
オプション: inventory.file など、存在しない場合はインベントリーファイルを作成します。
$ touch inventory.file
インベントリーファイルを開き、以下のホストを定義します。
-
[ipaserver]
セクションで、使用する IdM サーバーを定義します。 -
[webservers]
セクションで、シークレットを取得するホストを定義します。たとえば Ansible に対して webserver1.idm.example.com、webserver2.idm.example.com および webserver3.idm.example.com にシークレットを取得するように指示するには以下を実行します。
[ipaserver] server.idm.example.com [webservers] webserver1.idm.example.com webserver2.idm.example.com webserver3.idm.example.com
-
Ansible Playbook ファイル (retrieve-data-asymmetric-vault.yml) のコピーを作成します。以下に例を示します。
$ cp retrieve-data-asymmetric-vault.yml retrieve-data-asymmetric-vault-copy.yml
- retrieve-data-asymmetric-vault-copy.yml ファイルを開いて編集します。
ファイルを変更するには、
ipavault
タスクセクションに以下の変数を設定します。-
ipaadmin_password
変数は IdM 管理者パスワードに設定します。 -
name
変数は vault の名前 (例: secret_vault) に設定します。 -
service
変数は vault のサービス所有者に設定します (例: HTTP/webserver1.idm.example.com)。 -
private_key_file
変数は、サービス vault のシークレットの取得に使用する秘密鍵の場所に設定します。 -
out
変数は、現在の作業ディレクトリーなど、private-key-to-an-externally-signed-certificate.pem シークレットの取得先となる IdM サーバーの場所に設定します。 action
変数はmember
に設定します。今回の例で使用するように変更した Ansible Playbook ファイル:
--- - name: Retrieve data from vault hosts: ipaserver become: no gather_facts: false vars_files: - /home/user_name/MyPlaybooks/secret.yml tasks: - name: Retrieve data from the service vault ipavault: ipaadmin_password: "{{ ipaadmin_password }}" name: secret_vault service: HTTP/webserver1.idm.example.com vault_type: asymmetric private_key: "{{ lookup('file', 'service-private.pem') | b64encode }}" out: private-key-to-an-externally-signed-certificate.pem state: retrieved
-
Playbook に、IdM サーバーから Ansible コントローラーにデータファイルを取得するセクションを追加します。
--- - name: Retrieve data from vault hosts: ipaserver become: no gather_facts: false tasks: [...] - name: Retrieve data file fetch: src: private-key-to-an-externally-signed-certificate.pem dest: ./ flat: true mode: 0600
インベントリーファイルの
webservers
セクションに記載されている Web サーバーに、Ansible コントローラーから取得した private-key-to-an-externally-signed-certificate.pem ファイルを転送するセクションを Playbook に追加します。--- - name: Send data file to webservers become: no gather_facts: no hosts: webservers tasks: - name: Send data to webservers copy: src: private-key-to-an-externally-signed-certificate.pem dest: /etc/pki/tls/private/httpd.key mode: 0444
- ファイルを保存します。
Playbook を実行します。
$ ansible-playbook --vault-password-file=password_file -v -i inventory.file retrieve-data-asymmetric-vault-copy.yml