hiera-eyaml：加密数据管理的 Puppet 拓展

hiera-eyaml：加密数据管理的 Puppet 拓展

项目介绍

hiera-eyaml 是一个针对 Puppet 社区的重要工具，它扩展了 Hiera，使得 Puppet 管理员能够安全地存储并检索加密的数据。EYAML（Encrypted YAML）允许你将敏感信息如密码、API密钥等以加密形式存储在 Hiera 层次结构中，确保这些数据在磁盘上是安全的，仅在需要时通过 Puppet 以解密形式使用。

项目快速启动

要快速开始使用 hiera-eyaml, 首先确保你的系统已安装 Puppet 和 Hiera。然后，遵循以下步骤：

安装 hiera-eyaml

# 使用 Gem 安装 hiera-eyaml
gem install hiera-eyaml

配置 Hiera

编辑你的 Hiera 配置文件（通常位于 /etc/puppetlabs/puppet/hiera.yaml），添加 eyaml 后端支持:

---
version: 5
hierarchy:
  - name: "OS specific data"
    paths:
      - "%{facts.osfamily}-%{facts.operatingsystemrelease}.yaml"
  - name: "Common data"
    paths:
      - "common.yaml"

backends:
  - eyaml

backend_settings:
  eyaml:
    pkcs7_private_key: '/etc/puppetlabs/puppet/private_key.pem'
    pkcs7_public_key:  '/etc/puppetlabs/puppet/public_key.pem'

defaults:
  datafile: common.yaml

生成公私钥对

使用 hiera-eyaml 工具生成加密所需的公钥和私钥：

eyaml createkeys

这将在当前目录下创建 public_key.pkcs7.pub 和 private_key.pkcs7 文件。

编写加密的 YAML 数据

在一个 .eyaml 文件中存放加密数据，例如：

--- 
production::db_password: "%{ eyaml_lookup('secret_db_password') }"

然后使用 eyaml 命令加密敏感数据：

eyaml encrypt -k private_key.pkcs7 -P public_key.pkcs7.pub -f data.eyaml

在 Puppet 中使用加密数据

现在，你可以在 Puppet 脚本或模块中通过标准的 Hiera 查询来访问这些数据，Puppet 会在运行时自动解密它们。

应用案例和最佳实践

• 密码管理：存储数据库密码、SSH 密钥等。
• 环境变量：管理不同环境间的敏感配置差异。
• API密钥与令牌：处理与外部服务交互的认证信息。

最佳实践包括：

• 分离密钥：生产环境的密钥应与开发测试环境分开管理。
• 定期轮换密钥：增加安全性。
• 限制权限：保护好私钥文件的访问权限。

典型生态项目

虽然 hiera-eyaml 直接服务于 Puppet 生态系统，但其理念可与其他配置管理工具结合，比如 Ansible 的 ansible-vault 提供类似功能。在 Puppet 生态中，结合使用 r10k 进行自动化环境部署，以及 Puppet Dashboard 或 PuppetDB 进行管理监控，可以构建出一套全面的自动化运维方案，其中 hiera-eyaml 扮演着确保数据安全的关键角色。

以上就是关于 hiera-eyaml 的基本介绍、快速启动指南、应用案例及生态系统的概述，希望对你有所帮助！