第 24 章 使用 Ansible 管理 IdM 用户库：存储和检索 secret
本章论述了如何使用 Ansible vault 模块在身份管理中管理用户密码库。具体来说，它描述了用户可以如何使用 Ansible playbook 执行以下三个连续操作：
用户可以通过两个不同的 IdM 客户端进行存储和检索。
先决条件
- 密钥恢复授权中心 (KRA) 证书系统组件已安装在您的 IdM 域中的一个或多个服务器上。详情请参阅在 IdM 中安装密钥恢复授权。
24.1. 使用 Ansible 在 IdM 中存在标准用户库
按照以下流程，使用 Ansible playbook 创建具有一个或多个私有 vault 的 vault 容器，以安全地存储敏感信息。在以下步骤中使用的示例中，idm_user 用户创建名为 my_vault 的标准类型库。标准密码库类型确保无需 idm_user 在访问该文件时进行身份验证。idm_user 能够从用户登录的任何 IdM 客户端检索 文件。
先决条件
- 您已在 Ansible 控制器上安装了 ansible-freeipa 软件包，这是您在该流程中执行步骤的主机。
- 您知道 idm_user 的密码。
流程
导航到
/usr/share/doc/ansible-freeipa/playbooks/vault目录：$ cd /usr/share/doc/ansible-freeipa/playbooks/vault创建一个清单文件，如 inventory.file ：
$ touch inventory.file打开 inventory.file，并在
[ipaserver]部分中定义您要配置的 IdM 服务器。例如，要指示 Ansible 配置 server.idm.example.com，请输入：[ipaserver] server.idm.example.com
生成 ensure-standard-vault-is-present.yml Ansible playbook 文件的副本。例如：
$ cp ensure-standard-vault-is-present.yml ensure-standard-vault-is-present-copy.yml- 打开 ensure-standard-vault-is-present-copy.yml 文件进行编辑。
通过在
ipavault任务部分设置以下变量来调整文件：-
将
ipaadmin_principal变量设置为 idm_user。 -
将
ipaadmin_password变量设置为 idm_user 密码。 -
将
user变量设置为 idm_user。 -
将
name变量设置为 my_vault。 将
vault_type变量设置为 standard。对于当前示例为修改过的 Ansible playbook 文件：
--- - name: Tests hosts: ipaserver gather_facts: false vars_files: - /home/user_name/MyPlaybooks/secret.yml tasks: - ipavault: ipaadmin_principal: idm_user ipaadmin_password: idm_user_password user: idm_user name: my_vault vault_type: standard-
将
- 保存这个文件。
运行 playbook:
$ ansible-playbook --vault-password-file=password_file -v -i inventory.file ensure-standard-vault-is-present-copy.yml
