Ansible加密

最新推荐文章于 2024-06-22 23:46:45 发布
最新推荐文章于 2024-06-22 23:46:45 发布
阅读量1.4k 收藏 26
点赞数 21
文章标签： ansible
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/S483374558/article/details/135263717
版权
本文介绍了如何使用Ansible的vault功能对playbook进行加密，包括加密整个文件、查看加密内容、运行加密playbook、密码管理以及对单个字符串加密的操作过程。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

  • 对整个playbook进行加密
  • 查看加密文件
  • 运行加密的playbook
  • 对playbook进行解密
  • 使用密码文件
  • 对单个字符串进行加密

前面写了许多playbook，这些playbook都是以明文的方式存在的，有时想对这些playbook进行加密，可以使用ansible-vault命令来实现。本章实验都在/home/demo6下操作，先把 demo6目录创建出来并把ansible.cfg 和 hosts拷贝

[bdqn@RHEL813 ~]$ mkdir demo6
[bdqn@RHEL813 ~]$ cp ansible.cfg hosts demo6/
[bdqn@RHEL813 ~]$ cd demo6
[bdqn@RHEL813 demo6]$ ls
ansible.cfg  hosts
[bdqn@RHEL813 demo6]$

 1. 对整个脚本进行加密

创建test1.yaml，内容如下。

[bdqn@RHEL813 demo6]$ cat test1.yaml 
---
- hosts: server2
  gather_facts: false
  vars:
          aa: haha001
  tasks:
          - name: 打印一个变量
            debug: msg="{{aa}}"
[bdqn@RHEL813 demo6]$
现在这个文件是以明文的方式存储的，对这个文件进行加密，加密的语法如下。 
ansible‐vault encrypt file
这里的意思是对file文件进行加密，需要按提示输人密码。下面对test1.yaml进行加密,命
令如下。 
[bdqn@RHEL813 demo6]$ ansible-vault encrypt test1.yaml 
New Vault password: 
Confirm New Vault password: 
Encryption successful
[bdqn@RHEL813 demo6]$
下面查看 testl.yaml的内容，命令如下。 
[bdqn@RHEL813 demo6]$ cat test1.yaml 
$ANSIBLE_VAULT;1.1;AES256
62343461616535376532626534633031376434323636653532383530336536373237393132323463
3038653739616337316330616239623335363166353865660a373137626338386335643261343761
62653438643865643931613434373635663335646561393434376332646136316666356431613335
3132383830323864330a306564373864376532326436383762316631356361303236323736663734
35663538373439333030363037643461633438333230383064636135326138326139653536303035
39306166386463333933386363396237343834643263336334653338363761643263366338633735
33626536356237363633633864653430343635363466343332663434623566616633323333373837
36373339316263383233363737303766663566656637643166386664633433653531613432316362
39363131303039353637653739643663373966316563653931343266663765616663326333633363
62353637646663393138336663373136393639353761653936623231336436636230383434373261
35353766313665613631376335313631306333666266333232383463653630353237396537353734
62333933353365303635
[bdqn@RHEL813 demo6]$
可以看到,此文件已经是被加密的了。

2. 查看文件内容

如果要查看加密文件的内容，可以使用ansible-vault view file命令，需要输入解密密
码。下面查看 test1.yaml 的内容,命令如下。 
[bdqn@RHEL813 demo6]$ ansible-vault view test1.yaml 
Vault password: 
---
- hosts: server2
  gather_facts: false
  vars:
          aa: haha001
  tasks:
          - name: 打印一个变量
            debug: msg="{{aa}}"
[bdqn@RHEL813 demo6]$
这样就可以看到文件的内容了，但是此文件并没有被解密，依然是加密的文件。
如果密码输入错误，则看不到文件的内容，如下所示。 
[bdqn@RHEL813 demo6]$ ansible-vault view test1.yaml 
Vault password: 
ERROR! Decryption failed (no vault secrets were found that could decrypt) on test1.yaml for test1.yaml
[bdqn@RHEL813 demo6]$

3. 运行Playbook

如果直接运行加密后的YAML文件，则会报错，如下所示。

[bdqn@RHEL813 demo6]$ ansible-playbook test1.yaml 
ERROR! Attempting to decrypt but no vault secrets found
[bdqn@RHEL813 demo6]$
因为这个playbook是被加密的，要运行它必须输入解密密码才行。在运行时，可以加上-
-ask-vault-pass选项提示用户输入解密密码,命令如下。 
[bdqn@RHEL813 demo6]$ ansible-playbook --ask-vault-pass test1.yaml
Vault password: 

PLAY [server2] ***********************************************************************************************************************************************

TASK [打印一个变量] ************************************************************************************************************************************************
ok: [server2] => {
    "msg": "haha001"
}

PLAY RECAP ***************************************************************************************************************************************************
server2                    : ok=1    changed=0    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0   

[bdqn@RHEL813 demo6]$
这样playbook就可以正常地运行了。
如果要修改加密密码，可以使用ansible-vault rekey file命令来实现，需要先输入一次解密密码，然后输入两次新密码，如下所示。 
[bdqn@RHEL813 demo6]$ ansible-vault rekey test1.yaml 
Vault password: 
New Vault password: 
Confirm New Vault password: 
Rekey successful
[bdqn@RHEL813 demo6]$

4. 对脚本进行加密

如果要对文件进行解密，可以使用ansible-vault decrypt file命令，然后输人解密密码即
可对加密文件进行解密。下面对test1.yaml进行解密,命令如下。 
[bdqn@RHEL813 demo6]$ ansible-vault decrypt test1.yaml 
Vault password: 
Decryption successful
[bdqn@RHEL813 demo6]$
输入密码之后提示解密成功。下面查看test1.yaml的内容，命令如下。 
[bdqn@RHEL813 demo6]$ cat test1.yaml 
---
- hosts: server2
  gather_facts: false
  vars:
          aa: haha001
  tasks:
          - name: 打印一个变量
            debug: msg="{{aa}}"
[bdqn@RHEL813 demo6]$
已经可以正常查看了。

5. 使用密码文件

加密、解密、查看等损作热雯要输入密加里扣密码写人一个文件中，在执行 ansible-
vault命令时加上“--vault-id密码文件”选项，即可不需要输人密码了。
先把密码写入aa.xt中,命令如下。 
[bdqn@RHEL813 demo6]$ echo haha001 > aa.txt
[bdqn@RHEL813 demo6]$ cat aa.txt 
haha001
[bdqn@RHEL813 demo6]$
对test1.yaml进行加密，命令如下。 
[bdqn@RHEL813 demo6]$ ansible-vault encrypt --vault-id aa.txt test1.yaml 
Encryption successful
[bdqn@RHEL813 demo6]$
这里显示加密成功。然后查看test1.yaml的内容，命令如下。 
[bdqn@RHEL813 demo6]$ cat test1.yaml 
$ANSIBLE_VAULT;1.1;AES256
66356632393733333732663336343038386265653335356137613234386463346539346530356232
3731346663633133373939613034646530646230336266390a353566353930363635363263643162
31623539623834373665346561633064646132303734363861333163323366653539343563656539
6534633431623136310a646231326561366634306338636431666661346331343431323130333135
36393665663361633761646662643939663439653364653462326461336437366636663565613333
61336437626130383635366636623064613562386232313862623431303537363330646465646361
39396666393165353030366134626630383564616162643631356361636266633635366566646430
39316666313832663763656230303030396232313131373861626133636436303532343865343932
65643938323866363263386363656437313664666666306130656461313662336365633337326537
35376433373466313537653864396636363938613538366564383066386634386635393737623764
65366165633432633063646436333532356366386530323135303134373030656134366365353566
31656435333030336566
[bdqn@RHEL813 demo6]$
可以看到,已经被加密了。下面通过ansible-vault view查看test1.yaml的内容，命令如
下。 
[bdqn@RHEL813 demo6]$ ansible-vault view --vault-id aa.txt test1.yaml 
---
- hosts: server2
  gather_facts: false
  vars:
          aa: haha001
  tasks:
          - name: 打印一个变量
            debug: msg="{{aa}}"
[bdqn@RHEL813 demo6]$
这里会直接读取密码文件中的密码，所以不需要我们再次输入密码。
加上-vault-id aa.txt选项运行playbook，命令如下。 
[bdqn@RHEL813 demo6]$ ansible-playbook --vault-id aa.txt test1.yaml 

PLAY [server2] ***********************************************************************************************************************************************

TASK [打印一个变量] ************************************************************************************************************************************************
ok: [server2] => {
    "msg": "haha001"
}

PLAY RECAP ***************************************************************************************************************************************************
server2                    : ok=1    changed=0    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0   

[bdqn@RHEL813 demo6]$
此时 playbook也可以正常运行了。解密test1.yaml，命令如下。 
[bdqn@RHEL813 demo6]$ ansible‐vaultypt ‐‐vault‐id aa.txt test1.yaml
Decryption successful
可以看到，不需要输入密码，就解密完成了。

5.1 对单个字符串进行加密

可以不对整个文件进行加密，只加密某个字符串，命令如下。 
[bdqn@RHEL813 demo6]$ cat test1.yaml 
---
- hosts: server2
  gather_facts: false
  vars:
          aa: haha001
  tasks:
          - name: 打印一个变量
            debug: msg="{{aa}}"
[bdqn@RHEL813 demo6]$
这里变量aa的值为haha001，是一个明文，可以单独对字符串 haha001进行加密，命令
如下。 
[bdqn@RHEL813 demo6]$ ansible-vault encrypt_string --vault-id aa.txt haha001
!vault |
          $ANSIBLE_VAULT;1.1;AES256
          37363236613436646565643665396663633437346437376364383536313764376163656261366537
          6634373462346435616432356464373933316261616435350a386134646161313138616432633937
          36653031633134633738613061633730353138646665663938636331623366313939633035636365
          6562633838653038370a373632613438636164396666316162616439643166343136323336666630
          6365
Encryption successful
[bdqn@RHEL813 demo6]$
上面的加粗字就是加密后的密码，因为输出太长，这里用了省略号。
修改 test1.yaml的内容，把 haha001换成加密后的密文，内容如下。 
[bdqn@RHEL813 demo6]$ cat test1.yaml 
---
- hosts: server2
  gather_facts: false
  vars:
          aa: !vault |
                       $ANSIBLE_VAULT;1.1;AES256
                       37363236613436646565643665396663633437346437376364383536313764376163656261366537
                       6634373462346435616432356464373933316261616435350a386134646161313138616432633937
                       36653031633134633738613061633730353138646665663938636331623366313939633035636365
                       6562633838653038370a373632613438636164396666316162616439643166343136323336666630
                       6365
  tasks:
          - name: 打印一个变量
            debug: msg="{{aa}}"
[bdqn@RHEL813 demo6]$
需要注意的是，aa后面的这个值不能用引号引起来。
运行此 plavbook，并指定密码文件，命令如下。 
[bdqn@RHEL813 demo6]$ ansible-playbook --vault-id aa.txt test1.yaml 

PLAY [server2] ***********************************************************************************************************************************************

TASK [打印一个变量] ************************************************************************************************************************************************
ok: [server2] => {
    "msg": "haha001"
}

PLAY RECAP ***************************************************************************************************************************************************
server2                    : ok=1    changed=0    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0   

[bdqn@RHEL813 demo6]$

可以看到，已经正常运行了。

Ansible变量与加密管理
时羽天的博客
10-28 911
Ansible变量与加密管理
Ansible中的变量及加密
LRJ2034203479的博客
07-28 795
介绍Jinja2是Python下一个被广泛应用的模版引擎他的设计思想来源于Django的模板引擎，并扩展了其语法和一系列强大的功能。对新建文件linuxfile进行加密（linuxfile文件密码为key文件中的内容westos）编辑westos.yml文件，指定变量linuxfile，在编辑test.yml文件，如下。事实变量是ansible在受控主机中自动检测出的变量，事实变量中还有与主机相关的信息。对已经存在的vsftp.yml文件进行加密。编辑加密的文件linuxfile，密钥为key文件。...
Ansible加密和解密的使用 (2).docx
08-05
ansible加解密的方法，提供基于playbook的加密方法，提供playbook中变量的机密方法，提供对于普通文件的加密的方法
Ansible（ansible-vault）的加密与解密
Huihuizaizi的博客
03-29 1932
Ansible（ansible-vault）的加密与解密
ansible加密汇总
热门推荐
qq_28686911的博客
08-04 6万+
文件加解密 ansible-vault 加密 ansible-vault encrypt file 解密 ansible-vault decrypt file 查看加密文件 ansible-vault view file 读取密钥文件 –vault-password-file ansible all -m ping --vault-password-file passwdfile
ansible中的变量及加密
m0_61086860的博客
08-01 661
playbook
Ansible加密解密实践：使用ansible-vault与自动化密码文件
"Ansible加密和解密的使用主要依赖于`ansible-vault`工具，该工具提供了对Ansible文件的加密和解密功能，确保敏感信息的安全存储。Ansible-vault支持AES256加密算法，这是一种强大的对称加密方式，需要一个密码作为...
掌握Ansible加密解密：VSCode插件使用指南
标题“Ansible-vscode-ansible-vault.zip”和描述“Ansible-vscode-ansible-vault.zip,用于使用ansible vault vscode ansible vault扩展进行加密/解密的vscode插件,ansible是一个简单而强大的自动化引擎。...
ansible基础-加密
MaueiceWei999的博客
12-03 367
ansible基础-加密 一 简介 注：本文demo使用ansible2.7稳定版 众所周知，ansible是很火的一个自动化部署工具，在ansible控制节点内，存放着当前环境服务的所有服务的配置信息，其中自然也包括一些敏感的信息，例如明文密码、IP地址等等。 从安全角度来讲，这些敏感数据的文件不应该以明文的形式存在。此时就用到了ansib...
ansible变量和机密
weixin_72898433的博客
10-26 950
ansible变量和机密
ansible实现远程批量创建用户并且对其密码进行加密设置
weixin_44224288的博客
06-18 1691
1.远程批量创建用户 1.编写yaml配置文件 [devops@server1 ansible]$ vim adduer.yml 文件编辑内容如下： --- - hosts: all tasks: - name: create users user: name: "{{ item }}" state: present p...
5.4 Ansible中的变量及加密
m0_48569984的博客
08-28 410
编辑westos.yml文件，指定变量linuxfile，在编辑test.yml文件，如下运行后即可在/mnt/中创建linuxfile。
用ansible命令创建用户，设置用户密码
最新发布
weixin_42685857的博客
06-22 505
ansible webservers -m user -a "name=lisi uid=1010 group=adm groups=daemon,root home=/home/lisi" //在webservers主机下创建lisi用户，uid是1010，属组adm，附加组是daemon，adm，root。ansible webservers -m user -a "name=zhangsan" //在webservers主机下创建用户zhangsan。
使用ansible vault加密
向阳-Y.的博客
09-26 490
使用ansible vault加密 为什么要加密 在playbook或主机清单中，通常会为了配置方便，可能会把密码或密钥等敏感 数据以明文的方式存储在playbook或inventory文件中，很明显这样是不安 全的，ansible已经考虑到这个情况，可以使用ansible­vault对敏感数据进 行加密。 ansible ­valut ansible­vault可以用来创建、编辑、加密、解密和查看文件。ansiblevault可以对ansible中的任何文件进行加密，包括playbook文件， inven
ansible中的加密
qq_42564122的博客
04-18 830
文章目录ansible-vault加密新文件加密文件的查看对加密码文件的编辑加密现有文件对加密文件进行解密：在解密的同时修改文件名加密文件密码的修改 当playbook中的服务配置文件中含有密码等敏感信息时，一般会对其进行加密。 加密工具：ansible-voault 当playbook被加密后无密码无法执行！ ansible-vault 加密新文件 使用ansible-vault creat 目...
ansible管理机密
qq_56216604的博客
04-14 789
ansible加密文件 ansible-vault
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值