Zelfstudie: Azure Key Vault gebruiken om VM-geheimen op te slaan met Ansible

Artikel
10/23/2023

In deze quickstart maakt en haalt u geheimen op uit de Azure-sleutelkluis met Ansible.

Belangrijk

Ansible 2.9 (of hoger) is vereist om de voorbeeldplaybooks in dit artikel uit te voeren.

In dit artikel leert u het volgende:

Een Azure Key Vault-exemplaar maken
Een geheimarchief maken in Azure Key Vault
Geheimen ophalen uit Azure Key Vault met Ansible

Vereisten

Azure-abonnement: als u nog geen abonnement op Azure hebt, maakt u een gratis Azure-account aan voordat u begint.

Azure-service-principal: maak een service-principal, noteer de volgende waarden: appId, displayName, wachtwoord en tenant.

Ansible installeren: Voer een van de volgende opties uit:
- Ansible installeren en configureren op een virtuele Linux-machine
- Azure Cloud Shell configureren

Een Azure-sleutelkluis maken

Ansible heeft een resourcegroep nodig om uw resources te implementeren.

Maak een Ansible-playbook met de naam create_kv.yml Voeg de volgende taak toe om een resourcegroep te maken:

---
- name: Create Azure key vault
  hosts: localhost
  connection: local
  tasks:

  - name: Create resource group
    azure_rm_resourcegroup:
      name: ansible-kv-test-rg
      location: eastus

Definieer de vereiste variabelen voor de tenant-id, de id van het service-principal-object en de kluisnaam.
```
---
vars:
  tenant_id: <tenantId>
  object_id: <servicePrincipalObjectId>
  vault_name: <vaultName>
```
Vervang , <servicePrincipalObjectId>en <vaultName> door <tenantId>de juiste waarden. De object-id wordt gebruikt om toegang te verlenen tot geheimen in de sleutelkluis.

sleutelpunt:
- Azure Key Vault-namen moeten wereldwijd uniek zijn. De sleutelkluis en sleutels/geheimen erin worden geopend via https://{vault-name}.vault.azure.net URI.

Configureer het Azure Key Vault-exemplaar door de create_kv.yml taak toe te voegen.

---
- name: Create key vault instance
  azure_rm_keyvault:
    resource_group: ansible-kv-test-rg
    vault_name: "{{ vault_name }}"
    enabled_for_deployment: yes
    vault_tenant: "{{ tenant_id }}"
    sku:
      name: standard
    access_policies:
      - tenant_id: "{{ tenant_id }}"
        object_id: "{{ object_id }}"
        secrets:
          - get
          - list
          - set
          - delete

Voer het create_kv.yml playbook uit.

ansible-playbook create_kv.yml

PLAY [localhost] *******************************************************************************************************

TASK [Gathering Facts] *************************************************************************************************
ok: [localhost]

TASK [Create resource group] *******************************************************************************************
ok: [localhost]

TASK [Create key vault instance] ************************************************************************************
ok: [localhost]

PLAY RECAP *************************************************************************************************************
localhost                  : ok=3    changed=0    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0

Een Azure Key Vault-playbook maken voltooien

In deze sectie vindt u het volledige Ansible-voorbeeldplaybook voor het maken van een Azure-sleutelkluis.

- hosts: localhost
  connection: local

  vars:
    tenant_id: <tenantId>
    object_id: <servicePrincipalObjectId>
    vault_name: <vaultName>

  tasks:
  - name: Create resource group 
    azure_rm_resourcegroup:
      name: ansible-kv-test-rg
      location: eastus

  - name: Create instance of Key Vault
    azure_rm_keyvault:
      resource_group: ansible-kv-test-rg
      vault_name: "{{ vault_name }}"
      enabled_for_deployment: yes
      vault_tenant: "{{ tenant_id }}"
      sku:
        name: standard
      access_policies:
        - tenant_id: "{{ tenant_id }}"
          object_id: "{{ object_id }}"
          secrets:
            - get
            - list
            - set
            - delete

Een geheim maken in de sleutelkluis

Voordat het geheim kan worden gemaakt, hebt u de sleutelkluis-URI nodig.

Maak een ander playbook met de naam create_kv_secret.yml. Kopieer de volgende code naar het playbook:

---
- hosts: localhost
  connection: local

  tasks:

  - name: Get Key Vault by name
    azure_rm_keyvault_info:
      resource_group: ansible-kv-test-rg
      name: <vaultName>
    register: keyvault

  - name: set KeyVault uri fact
    set_fact: keyvaulturi="{{ keyvault['keyvaults'][0]['vault_uri'] }}"

  - name: Create a secret
    azure_rm_keyvaultsecret:
      secret_name: adminPassword
      secret_value: <secretValue>
      keyvault_uri: "{{ keyvaulturi }}"

Vervang <vaultName> door de naam van uw sleutelkluisnaam en <secretValue> door de waarde voor het geheim.

Sleutelpunt:

De azure_rm_keyvault_info en set_facts modules registreren de sleutelkluis-URI als een variabele. Deze variabele wordt vervolgens doorgegeven aan de azure_rm_keyvaultsecret module om het geheim te maken.

Voer het create_kv_secret.yml playbook uit.

ansible-playbook create_kv_secret.yml

PLAY [localhost] *******************************************************************************************************

TASK [Gathering Facts] *************************************************************************************************
ok: [localhost]

TASK [Get Key Vault by name] *******************************************************************************************
ok: [localhost]

TASK [set KeyVault uri fact] *******************************************************************************************
ok: [localhost]

TASK [Create a secret] *************************************************************************************************
ok: [localhost]

PLAY RECAP *************************************************************************************************************
localhost                  : ok=4    changed=0    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0

Geheimen ophalen uit de sleutelkluis

Geheimen die zijn opgeslagen in Azure Key Vault, kunnen worden gebruikt om Ansible-variabelen te vullen.

Maak een nieuw playbook dat wordt aangeroepen get_kv_secrets.yml om sleutelkluisgeheimen op te halen met Ansible.

Ansible 2.9 met azure_preview_modules

---
- hosts: localhost
  connection: local
  roles: 
    -  { role: azure.azure_preview_modules }

  vars:
    tenant_id: <tenantId>
    vault_name: <vaultName>
    secret_name: adminPassword
    client_id: <servicePrincipalApplicationId>
    client_secret: <servicePrincipalSecret>

  tasks:
  - name: Get Key Vault by name
    azure_rm_keyvault_info:
      resource_group: ansible-kv-test-rg
      name: "{{ vault_name }}"
    register: keyvault

  - name: Set key vault URI fact
    set_fact: keyvaulturi="{{ keyvault['keyvaults'][0]['vault_uri'] }}"

  - name: Set key vault secret fact
    set_fact: secretValue={{ lookup('azure_keyvault_secret',secret_name,vault_url=keyvaulturi, client_id=client_id, secret=client_secret, tenant_id=tenant_id) }}

  - name: Output key vault secret
    debug:
      msg: "{{ secretValue }}"

Vervang , <vaultName>, <servicePrincipalApplicationId>en <servicePrincipalSecret> door <tenantId>de juiste waarden.

Zie de Ansible Galaxy-pagina voor meer informatieazure_preview_modules.

Ansible 2.10 met azure.azcollection

---
- hosts: localhost
  connection: local
  collections:
    - azure.azcollection

  vars:
    vault_name: ansible-kv-test-01
    secret_name: adminPassword

  tasks:

  - name: Get Key Vault by name
    azure_rm_keyvault_info:
      resource_group: ansible-kv-test-rg
      name: "{{ vault_name }}"
    register: keyvault

  - name: Set key vault URI fact
    set_fact: keyvaulturi="{{ keyvault['keyvaults'][0]['vault_uri'] }}"

  - name: Get secret value
    azure_rm_keyvaultsecret_info:
      vault_uri: "{{ keyvaulturi }}"
      name: "{{ secret_name }}"
    register: kvSecret

  - name: set secret fact
    set_fact: secretValue="{{ kvSecret['secrets'][0]['secret'] }}"

  - name: Output key vault secret
    debug: 
      msg="{{ secretValue }}"

Vervang door <vaultName> de juiste waarde.

Zie Ansible-verzameling voor Azure voor meer informatie.azcollection

Voer het get-secret-value.yml playbook uit.
```
ansible-playbook get-secret-value.yml
```
```
TASK [Output key vault secret] *************************************************
ok: [localhost] => {
    "msg": "<plainTextPassword>"
}
```
Controleer of de uitvoer die wordt vervangen <plainTextPassword> de waarde voor tekst zonder opmaak is van het geheim dat eerder is gemaakt in Azure Key Vault.

Volledige voorbeeld van Ansible-playbook

In deze sectie vindt u het volledige Ansible-voorbeeldplaybook voor het configureren van een Azure Windows-VM met behulp van een sleutelkluisgeheim.

---
- name: Create Azure VM
  hosts: localhost
  connection: local
  gather_facts: false
  collections:
    - azure.azcollection

  vars:
    vault_uri: <key_vault_uri>
    secret_name: <key_vault_secret_name>

  tasks:

  - name: Get latest version of a secret
    azure_rm_keyvaultsecret_info:
      vault_uri: "{{ vault_uri }}"
      name: "{{ secret_name }}"
    register: kvSecret

  - name: Set secret fact
    set_fact: secret_value="{{ kvSecret['secrets'][0]['secret'] }}"

  - name: Create resource group
    azure_rm_resourcegroup:
      name: myResourceGroup
      location: eastus

  - name: Create virtual network
    azure_rm_virtualnetwork:
      resource_group: myResourceGroup
      name: vNet
      address_prefixes: "10.0.0.0/16"

  - name: Add subnet
    azure_rm_subnet:
      resource_group: myResourceGroup
      name: subnet
      address_prefix: "10.0.1.0/24"
      virtual_network: vNet

  - name: Create public IP address
    azure_rm_publicipaddress:
      resource_group: myResourceGroup
      allocation_method: Static
      name: pip
    register: output_ip_address

  - name: Output public IP
    debug:
      msg: "The public IP is {{ output_ip_address.state.ip_address }}"
  
  - name: Create Network Security Group
    azure_rm_securitygroup:
      resource_group: myResourceGroup
      name: networkSecurityGroup
      rules:
        - name: 'allow_rdp'
          protocol: Tcp
          destination_port_range: 3389
          access: Allow
          priority: 1001
          direction: Inbound

  - name: Create a network interface
    azure_rm_networkinterface:
      name: nic
      resource_group: myResourceGroup
      virtual_network: vNet
      subnet_name: subnet
      security_group: networkSecurityGroup
      ip_configurations:
        - name: default
          public_ip_address_name: pip
          primary: True

  - name: Create VM
    azure_rm_virtualmachine:
      resource_group: myResourceGroup
      name: win-vm
      vm_size: Standard_DS1_v2
      admin_username: azureuser
      admin_password: "{{ secret_value }}"
      network_interfaces: nic
      os_type: Windows
      image:
          offer: WindowsServer
          publisher: MicrosoftWindowsServer
          sku: 2019-Datacenter
          version: latest
    no_log: true

Vervang <key_vault_uri> en <key_vault_secret_name> door de juiste waarden.

Resources opschonen

Sla de volgende code op als delete_rg.yml.

---
- hosts: localhost
  tasks:
    - name: Deleting resource group - "{{ name }}"
      azure_rm_resourcegroup:
        name: "{{ name }}"
        state: absent
      register: rg
    - debug:
        var: rg

Voer het playbook uit met behulp van de ansible-playbook-opdracht . Vervang de tijdelijke aanduiding door de naam van de resourcegroep die u wilt verwijderen. Alle resources in de resourcegroep worden verwijderd.
```
ansible-playbook delete_rg.yml --extra-vars "name=<resource_group>"
```
Belangrijkste punten:
- Vanwege de register variabele en debug sectie van het playbook worden de resultaten weergegeven wanneer de opdracht is voltooid.

Voer az group delete uit om de resourcegroep te verwijderen. Alle resources in de resourcegroep worden verwijderd.
```
az group delete --name <resource_group>
```
Controleer of de resourcegroep is verwijderd met behulp van az group show.
```
az group show --name <resource_group>
```

Voer Remove-AzResourceGroup uit om de resourcegroep te verwijderen. Alle resources in de resourcegroep worden verwijderd.
```
Remove-AzResourceGroup -Name <resource_group>
```
Controleer of de resourcegroep is verwijderd met behulp van Get-AzResourceGroup.
```
Get-AzResourceGroup -Name <resource_group>
```

Volgende stappen

Ansible in Azure

Delen via