Oktatóanyag: Virtuálisgép-titkos kódok tárolása az Azure Key Vault használatával az Ansible használatával
Ebben a rövid útmutatóban titkos kulcsokat fog létrehozni és lekérni az Azure Key Vaultból az Ansible használatával.
Fontos
Az Ansible 2.9 -et (vagy újabb verziót) a jelen cikkben szereplő minta forgatókönyvek futtatásához kell futtatni.
Ebben a cikkben az alábbiakkal ismerkedhet meg:
- Azure Key Vault-példány létrehozása
- Titkos tár létrehozása az Azure Key Vaultban
- Titkos kulcsok lekérése az Azure Key Vaultból az Ansible használatával
Előfeltételek
- Azure-előfizetés: Ha nem rendelkezik Azure-előfizetéssel, első lépésként mindössze néhány perc alatt létrehozhat egy ingyenes fiókot.
- Azure-szolgáltatásnév: Hozzon létre egy egyszerű szolgáltatást, és jegyezze fel a következő értékeket: appId, displayName, password és tenant.
Az Ansible telepítése: Válasszon az alábbi lehetőségek közül:
- Az Ansible telepítése és konfigurálása Linux rendszerű virtuális gépen
- Az Azure Cloud Shell konfigurálása
Azure Key Vault létrehozása
Az Ansible-nek erőforráscsoportra van szüksége az erőforrások üzembe helyezéséhez.
Hozzon létre egy Ansible-forgatókönyvet, amely
create_kv.yml
a következő feladatot adja hozzá egy erőforráscsoport létrehozásához:--- - name: Create Azure key vault hosts: localhost connection: local tasks: - name: Create resource group azure_rm_resourcegroup: name: ansible-kv-test-rg location: eastus
Adja meg a bérlőazonosítóhoz, a szolgáltatásnév objektumazonosítóhoz és a tároló nevéhez szükséges változókat.
--- vars: tenant_id: <tenantId> object_id: <servicePrincipalObjectId> vault_name: <vaultName>
Cserélje le
<tenantId>
a ,<servicePrincipalObjectId>
és<vaultName>
a megfelelő értékeket. Az objectId a kulcstartóban lévő titkos kódokhoz való hozzáférés engedélyezésére szolgál.kulcspont:
- Az Azure Key Vault nevének globálisan univerzálisan egyedinek kell lennie. A kulcstartó és a benne lévő kulcsok/titkos kulcsok URI-n keresztül
https://{vault-name}.vault.azure.net
érhetők el.
- Az Azure Key Vault nevének globálisan univerzálisan egyedinek kell lennie. A kulcstartó és a benne lévő kulcsok/titkos kulcsok URI-n keresztül
Konfigurálja az Azure Key Vault-példányt a
create_kv.yml
feladat hozzáadásával.--- - name: Create key vault instance azure_rm_keyvault: resource_group: ansible-kv-test-rg vault_name: "{{ vault_name }}" enabled_for_deployment: yes vault_tenant: "{{ tenant_id }}" sku: name: standard access_policies: - tenant_id: "{{ tenant_id }}" object_id: "{{ object_id }}" secrets: - get - list - set - delete
Futtassa a
create_kv.yml
forgatókönyvet.ansible-playbook create_kv.yml
PLAY [localhost] ******************************************************************************************************* TASK [Gathering Facts] ************************************************************************************************* ok: [localhost] TASK [Create resource group] ******************************************************************************************* ok: [localhost] TASK [Create key vault instance] ************************************************************************************ ok: [localhost] PLAY RECAP ************************************************************************************************************* localhost : ok=3 changed=0 unreachable=0 failed=0 skipped=0 rescued=0 ignored=0
Azure Key Vault-forgatókönyv létrehozása
Ez a szakasz az Azure Key Vault létrehozásához szükséges teljes Ansible-minta forgatókönyvet sorolja fel.
- hosts: localhost
connection: local
vars:
tenant_id: <tenantId>
object_id: <servicePrincipalObjectId>
vault_name: <vaultName>
tasks:
- name: Create resource group
azure_rm_resourcegroup:
name: ansible-kv-test-rg
location: eastus
- name: Create instance of Key Vault
azure_rm_keyvault:
resource_group: ansible-kv-test-rg
vault_name: "{{ vault_name }}"
enabled_for_deployment: yes
vault_tenant: "{{ tenant_id }}"
sku:
name: standard
access_policies:
- tenant_id: "{{ tenant_id }}"
object_id: "{{ object_id }}"
secrets:
- get
- list
- set
- delete
Titkos kulcs létrehozása a Key Vaultban
A titkos kód létrehozása előtt szüksége lesz a keyvault URI-ra.
Hozzon létre egy másik forgatókönyvet .
create_kv_secret.yml
Másolja a következő kódot a forgatókönyvbe:--- - hosts: localhost connection: local tasks: - name: Get Key Vault by name azure_rm_keyvault_info: resource_group: ansible-kv-test-rg name: <vaultName> register: keyvault - name: set KeyVault uri fact set_fact: keyvaulturi="{{ keyvault['keyvaults'][0]['vault_uri'] }}" - name: Create a secret azure_rm_keyvaultsecret: secret_name: adminPassword secret_value: <secretValue> keyvault_uri: "{{ keyvaulturi }}"
Cserélje le
<vaultName>
a kulcstartó nevére és<secretValue>
a titkos kulcs értékére.Kulcspont:
- A
azure_rm_keyvault_info
modulok változókéntset_facts
regisztrálják a key vault URI-t. Ezt a változót ezután átadja a modulnak aazure_rm_keyvaultsecret
titkos kód létrehozásához.
- A
Futtassa a
create_kv_secret.yml
forgatókönyvet.ansible-playbook create_kv_secret.yml
PLAY [localhost] ******************************************************************************************************* TASK [Gathering Facts] ************************************************************************************************* ok: [localhost] TASK [Get Key Vault by name] ******************************************************************************************* ok: [localhost] TASK [set KeyVault uri fact] ******************************************************************************************* ok: [localhost] TASK [Create a secret] ************************************************************************************************* ok: [localhost] PLAY RECAP ************************************************************************************************************* localhost : ok=4 changed=0 unreachable=0 failed=0 skipped=0 rescued=0 ignored=0
Titkos kulcsok lekérése a Key Vaultból
Az Azure Key Vaultban tárolt titkos kulcsok felhasználhatók az Ansible változók feltöltésére.
Hozzon létre egy új forgatókönyvet, amely a
get_kv_secrets.yml
Key Vault titkos kulcsait kéri le az Ansible használatával.Ansible 2.9 azure_preview_modules
--- - hosts: localhost connection: local roles: - { role: azure.azure_preview_modules } vars: tenant_id: <tenantId> vault_name: <vaultName> secret_name: adminPassword client_id: <servicePrincipalApplicationId> client_secret: <servicePrincipalSecret> tasks: - name: Get Key Vault by name azure_rm_keyvault_info: resource_group: ansible-kv-test-rg name: "{{ vault_name }}" register: keyvault - name: Set key vault URI fact set_fact: keyvaulturi="{{ keyvault['keyvaults'][0]['vault_uri'] }}" - name: Set key vault secret fact set_fact: secretValue={{ lookup('azure_keyvault_secret',secret_name,vault_url=keyvaulturi, client_id=client_id, secret=client_secret, tenant_id=tenant_id) }} - name: Output key vault secret debug: msg: "{{ secretValue }}"
Cserélje le
<tenantId>
a ,<vaultName>
,<servicePrincipalApplicationId>
és<servicePrincipalSecret>
a megfelelő értékeket.További információkért
azure_preview_modules
lásd az Ansible Galaxy oldalt.Ansible 2.10 az azure.azcollection használatával
--- - hosts: localhost connection: local collections: - azure.azcollection vars: vault_name: ansible-kv-test-01 secret_name: adminPassword tasks: - name: Get Key Vault by name azure_rm_keyvault_info: resource_group: ansible-kv-test-rg name: "{{ vault_name }}" register: keyvault - name: Set key vault URI fact set_fact: keyvaulturi="{{ keyvault['keyvaults'][0]['vault_uri'] }}" - name: Get secret value azure_rm_keyvaultsecret_info: vault_uri: "{{ keyvaulturi }}" name: "{{ secret_name }}" register: kvSecret - name: set secret fact set_fact: secretValue="{{ kvSecret['secrets'][0]['secret'] }}" - name: Output key vault secret debug: msg="{{ secretValue }}"
Cserélje le
<vaultName>
a megfelelő értékre.További információ:
azcollection
Ansible-gyűjtemény az Azure-hoz.Futtassa a
get-secret-value.yml
forgatókönyvet.ansible-playbook get-secret-value.yml
TASK [Output key vault secret] ************************************************* ok: [localhost] => { "msg": "<plainTextPassword>" }
Győződjön meg arról, hogy a lecserélt
<plainTextPassword>
kimenet a korábban az Azure Key Vaultban létrehozott titkos kód egyszerű szöveges értéke.
Teljes Ansible-mintaforgatókönyv
Ez a szakasz a teljes Ansible-minta forgatókönyvet sorolja fel egy Azure Windows rendszerű virtuális gép kulcstartó-titkos kóddal való konfigurálásához.
---
- name: Create Azure VM
hosts: localhost
connection: local
gather_facts: false
collections:
- azure.azcollection
vars:
vault_uri: <key_vault_uri>
secret_name: <key_vault_secret_name>
tasks:
- name: Get latest version of a secret
azure_rm_keyvaultsecret_info:
vault_uri: "{{ vault_uri }}"
name: "{{ secret_name }}"
register: kvSecret
- name: Set secret fact
set_fact: secret_value="{{ kvSecret['secrets'][0]['secret'] }}"
- name: Create resource group
azure_rm_resourcegroup:
name: myResourceGroup
location: eastus
- name: Create virtual network
azure_rm_virtualnetwork:
resource_group: myResourceGroup
name: vNet
address_prefixes: "10.0.0.0/16"
- name: Add subnet
azure_rm_subnet:
resource_group: myResourceGroup
name: subnet
address_prefix: "10.0.1.0/24"
virtual_network: vNet
- name: Create public IP address
azure_rm_publicipaddress:
resource_group: myResourceGroup
allocation_method: Static
name: pip
register: output_ip_address
- name: Output public IP
debug:
msg: "The public IP is {{ output_ip_address.state.ip_address }}"
- name: Create Network Security Group
azure_rm_securitygroup:
resource_group: myResourceGroup
name: networkSecurityGroup
rules:
- name: 'allow_rdp'
protocol: Tcp
destination_port_range: 3389
access: Allow
priority: 1001
direction: Inbound
- name: Create a network interface
azure_rm_networkinterface:
name: nic
resource_group: myResourceGroup
virtual_network: vNet
subnet_name: subnet
security_group: networkSecurityGroup
ip_configurations:
- name: default
public_ip_address_name: pip
primary: True
- name: Create VM
azure_rm_virtualmachine:
resource_group: myResourceGroup
name: win-vm
vm_size: Standard_DS1_v2
admin_username: azureuser
admin_password: "{{ secret_value }}"
network_interfaces: nic
os_type: Windows
image:
offer: WindowsServer
publisher: MicrosoftWindowsServer
sku: 2019-Datacenter
version: latest
no_log: true
Cserélje le és <key_vault_secret_name>
cserélje le <key_vault_uri>
a megfelelő értékeket.
Clean up resources
Mentse a következő kódot.
delete_rg.yml
--- - hosts: localhost tasks: - name: Deleting resource group - "{{ name }}" azure_rm_resourcegroup: name: "{{ name }}" state: absent register: rg - debug: var: rg
Futtassa a forgatókönyvet az ansible-playbook paranccsal. Cserélje le a helyőrzőt a törölni kívánt erőforráscsoport nevére. Az erőforráscsoporton belüli összes erőforrás törlődik.
ansible-playbook delete_rg.yml --extra-vars "name=<resource_group>"
Főbb pontok:
register
A forgatókönyv változója ésdebug
szakasza miatt az eredmények a parancs befejeződésekor jelennek meg.