5.2. 使用 Ansible 在 IdM 中存在非对称服务库

流程

1. 进入到 ~/MyPlaybooks/ 目录：

   $ cd ~/MyPlaybooks/

2. 获取服务实例的公钥。例如，使用 openssl 工具：

   1. 生成 service-private.pem 私钥。

      $ openssl genrsa -out service-private.pem 2048
      Generating RSA private key, 2048 bit long modulus
      .+++
      ...........................................+++
      e is 65537 (0x10001)

   2. 根据私钥生成 service-public.pem 公钥。

      $ openssl rsa -in service-private.pem -out service-public.pem -pubout
      writing RSA key

3. 从相关集合目录中生成 ensure-asymmetric-vault-is-present.yml Ansible playbook 文件的一个副本。例如：

   $ cp /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/vault/ensure-asymmetric-vault-is-present.yml ensure-asymmetric-service-vault-is-present-copy.yml

4. 打开 ensure-asymmetric-vault-is-present-copy.yml 文件进行编辑。
5. 添加一个任务，该任务将 service-public.pem 公钥从 Ansible 控制器复制到 server.idm.example.com 服务器。

6. 通过在 freeipa.ansible_freeipa.ipavault 任务部分中设置以下变量来修改文件的其余部分：

   • 表示 ipaadmin_password 变量的值已在 secret.yml Ansible vault 文件中定义。
   • 使用 name 变量定义 vault 的名称，如 secret_vault。
   • 将 vault_type 变量设置为非 对称。
   • 将 service 变量设置为拥有密码库的服务主体，如 HTTP/webserver1.idm.example.com。

   • 将 public_key_file 设置为您的公钥的位置。

     这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Tests
     hosts: ipaserver
     gather_facts: false
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Copy public key to ipaserver.
       copy:
         src: /path/to/service-public.pem
         dest: /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/vault/service-public.pem
         mode: 0600
     - name: Add data to vault, from a LOCAL file.
       freeipa.ansible_freeipa.ipavault:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: secret_vault
         vault_type: asymmetric
         service: HTTP/webserver1.idm.example.com
         public_key_file: /usr/share/ansible/collections/ansible_collections/freeipa/ansible_freeipa/playbooks/vault/service-public.pem

7. 保存这个文件。

8. 运行 playbook：

   $ ansible-playbook --vault-password-file=password_file -v -i inventory.file ensure-asymmetric-service-vault-is-present-copy.yml