第 25 章 使用 Ansible 管理 IdM 服务库：存储和检索 secret

流程

1. 导航到 /usr/share/doc/ansible-freeipa/playbooks/vault 目录：

   $ cd /usr/share/doc/ansible-freeipa/playbooks/vault

2. 获取服务实例的公钥。例如，使用 openssl 工具：

   1. 生成 service-private.pem 私钥。

      $ openssl genrsa -out service-private.pem 2048
      Generating RSA private key, 2048 bit long modulus
      .+++
      ...........................................+++
      e is 65537 (0x10001)

   2. 根据私钥生成 service-public.pem 公钥。

      $ openssl rsa -in service-private.pem -out service-public.pem -pubout
      writing RSA key

3. 可选：如果不存在，创建一个清单文件（如 inventory.file）。

   $ touch inventory.file

4. 打开清单文件，并在 [ipaserver] 部分中定义您要配置的 IdM 服务器。例如，要指示 Ansible 配置 server.idm.example.com，请输入：

   [ipaserver]
   server.idm.example.com

5. 生成 ensure-asymmetric-vault-is-present.yml Ansible playbook 文件的副本。例如：

   $ cp ensure-asymmetric-vault-is-present.yml ensure-asymmetric-service-vault-is-present-copy.yml

6. 打开 ensure-asymmetric-vault-is-present-copy.yml 文件进行编辑。
7. 添加一个任务，该任务将 service-public.pem 公钥从 Ansible 控制器复制到 server.idm.example.com 服务器。

8. 通过在 ipavault 任务部分设置以下变量来修改文件的其余部分：

   • 将 ipaadmin_password 变量设置为 IdM 管理员密码。
   • 使用 name 变量定义 vault 的名称，如 secret_vault。
   • 将 vault_type 变量设置为非 对称。
   • 将 service 变量设置为拥有密码库的服务主体，如 HTTP/webserver1.idm.example.com。

   • 将 public_key_file 设置为您的公钥的位置。

     这是当前示例修改的 Ansible playbook 文件：

   ---
   - name: Tests
     hosts: ipaserver
     gather_facts: false
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Copy public key to ipaserver.
       copy:
         src: /path/to/service-public.pem
         dest: /usr/share/doc/ansible-freeipa/playbooks/vault/service-public.pem
         mode: 0600
     - name: Add data to vault, from a LOCAL file.
       ipavault:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: secret_vault
         vault_type: asymmetric
         service: HTTP/webserver1.idm.example.com
         public_key_file: /usr/share/doc/ansible-freeipa/playbooks/vault/service-public.pem

9. 保存这个文件。

10. 运行 playbook:

    $ ansible-playbook --vault-password-file=password_file -v -i inventory.file ensure-asymmetric-service-vault-is-present-copy.yml