教程：通过 Ansible 使用 Azure Key Vault 存储 VM 机密

项目
10/23/2023

在本快速入门中，你将使用 Ansible 创建机密并从 Azure 密钥保管库中检索机密。

重要

运行本文中的示例 playbook 需要 Ansible 2.9（或更高版本）。

在本文中，学习如何：

创建 Azure 密钥保管库实例
在 Azure 密钥保管库中创建机密存储
使用 Ansible 从 Azure 密钥保管库中获取机密

先决条件

Azure 订阅：如果没有 Azure 订阅，请在开始之前创建一个免费帐户。

Azure 服务主体：创建服务主体，记下以下值：appId、displayName、密码和租户。

安装 Ansible - 执行以下任一选项：
- 在 Linux 虚拟机上安装和配置 Ansible
- 配置 Azure Cloud Shell

创建 Azure Key Vault

Ansible 需要一个资源组来部署资源。

创建一个名为 create_kv.yml 的 Ansible playbook，并添加以下任务来创建一个资源组：

---
- name: Create Azure key vault
  hosts: localhost
  connection: local
  tasks:

  - name: Create resource group
    azure_rm_resourcegroup:
      name: ansible-kv-test-rg
      location: eastus

定义租户 ID、服务主体对象 ID 和保管库名称所需的变量。
```
---
vars:
  tenant_id: <tenantId>
  object_id: <servicePrincipalObjectId>
  vault_name: <vaultName>
```
替换<tenantId>和<servicePrincipalObjectId><vaultName>替换为相应的值。 objectId 用于授予对 Key Vault 中的机密的访问权限。

要点：
- Azure 密钥保管库名称必须全局唯一。通过 https://{vault-name}.vault.azure.net URI 访问密钥保管库及其中的密钥/机密。

通过添加 create_kv.yml 任务来配置 Azure 密钥保管库实例。

---
- name: Create key vault instance
  azure_rm_keyvault:
    resource_group: ansible-kv-test-rg
    vault_name: "{{ vault_name }}"
    enabled_for_deployment: yes
    vault_tenant: "{{ tenant_id }}"
    sku:
      name: standard
    access_policies:
      - tenant_id: "{{ tenant_id }}"
        object_id: "{{ object_id }}"
        secrets:
          - get
          - list
          - set
          - delete

运行 create_kv.yml playbook。

ansible-playbook create_kv.yml

PLAY [localhost] *******************************************************************************************************

TASK [Gathering Facts] *************************************************************************************************
ok: [localhost]

TASK [Create resource group] *******************************************************************************************
ok: [localhost]

TASK [Create key vault instance] ************************************************************************************
ok: [localhost]

PLAY RECAP *************************************************************************************************************
localhost                  : ok=3    changed=0    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0

完成 Azure Key Vault playbook 的创建

本部分列出了用于创建 Azure 密钥保管库的完整示例 Ansible playbook。

- hosts: localhost
  connection: local

  vars:
    tenant_id: <tenantId>
    object_id: <servicePrincipalObjectId>
    vault_name: <vaultName>

  tasks:
  - name: Create resource group 
    azure_rm_resourcegroup:
      name: ansible-kv-test-rg
      location: eastus

  - name: Create instance of Key Vault
    azure_rm_keyvault:
      resource_group: ansible-kv-test-rg
      vault_name: "{{ vault_name }}"
      enabled_for_deployment: yes
      vault_tenant: "{{ tenant_id }}"
      sku:
        name: standard
      access_policies:
        - tenant_id: "{{ tenant_id }}"
          object_id: "{{ object_id }}"
          secrets:
            - get
            - list
            - set
            - delete

在 Key Vault 中创建机密

需要具有密钥保管库 URI，然后才可创建机密。

再创建一个名为 create_kv_secret.yml 的 playbook。将以下代码复制到该 playbook 中：

---
- hosts: localhost
  connection: local

  tasks:

  - name: Get Key Vault by name
    azure_rm_keyvault_info:
      resource_group: ansible-kv-test-rg
      name: <vaultName>
    register: keyvault

  - name: set KeyVault uri fact
    set_fact: keyvaulturi="{{ keyvault['keyvaults'][0]['vault_uri'] }}"

  - name: Create a secret
    azure_rm_keyvaultsecret:
      secret_name: adminPassword
      secret_value: <secretValue>
      keyvault_uri: "{{ keyvaulturi }}"

将 <vaultName> 替换为密钥保管库的名称，将 <secretValue> 替换为机密的值。

要点：

azure_rm_keyvault_info 和 set_facts 模块将密钥保管库 URI 注册为变量。该变量随后传递到 azure_rm_keyvaultsecret 模块来创建机密。

运行 create_kv_secret.yml playbook。

ansible-playbook create_kv_secret.yml

PLAY [localhost] *******************************************************************************************************

TASK [Gathering Facts] *************************************************************************************************
ok: [localhost]

TASK [Get Key Vault by name] *******************************************************************************************
ok: [localhost]

TASK [set KeyVault uri fact] *******************************************************************************************
ok: [localhost]

TASK [Create a secret] *************************************************************************************************
ok: [localhost]

PLAY RECAP *************************************************************************************************************
localhost                  : ok=4    changed=0    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0

从密钥保管库获取机密

存储在 Azure 密钥保管库中的机密可用于填充 Ansible 变量。

使用 Ansible 新建一个名为 get_kv_secrets.yml 的 playbook 来检索密钥保管库机密。

带有 azure_preview_modules 的 Ansible 2.9

---
- hosts: localhost
  connection: local
  roles: 
    -  { role: azure.azure_preview_modules }

  vars:
    tenant_id: <tenantId>
    vault_name: <vaultName>
    secret_name: adminPassword
    client_id: <servicePrincipalApplicationId>
    client_secret: <servicePrincipalSecret>

  tasks:
  - name: Get Key Vault by name
    azure_rm_keyvault_info:
      resource_group: ansible-kv-test-rg
      name: "{{ vault_name }}"
    register: keyvault

  - name: Set key vault URI fact
    set_fact: keyvaulturi="{{ keyvault['keyvaults'][0]['vault_uri'] }}"

  - name: Set key vault secret fact
    set_fact: secretValue={{ lookup('azure_keyvault_secret',secret_name,vault_url=keyvaulturi, client_id=client_id, secret=client_secret, tenant_id=tenant_id) }}

  - name: Output key vault secret
    debug:
      msg: "{{ secretValue }}"

替换 <tenantId>、 <vaultName>替换 <servicePrincipalApplicationId>和 <servicePrincipalSecret> 替换为相应的值。

若要详细了解 azure_preview_modules，请查看 Ansible Galaxy 页面。

将 Ansible 2.10 与 azure.azcollection 配合使用

---
- hosts: localhost
  connection: local
  collections:
    - azure.azcollection

  vars:
    vault_name: ansible-kv-test-01
    secret_name: adminPassword

  tasks:

  - name: Get Key Vault by name
    azure_rm_keyvault_info:
      resource_group: ansible-kv-test-rg
      name: "{{ vault_name }}"
    register: keyvault

  - name: Set key vault URI fact
    set_fact: keyvaulturi="{{ keyvault['keyvaults'][0]['vault_uri'] }}"

  - name: Get secret value
    azure_rm_keyvaultsecret_info:
      vault_uri: "{{ keyvaulturi }}"
      name: "{{ secret_name }}"
    register: kvSecret

  - name: set secret fact
    set_fact: secretValue="{{ kvSecret['secrets'][0]['secret'] }}"

  - name: Output key vault secret
    debug: 
      msg="{{ secretValue }}"

将 <vaultName> 替换为适当的值。

若要详细了解 azcollection，请参阅适用于 Azure 的 Ansible 集合。

运行 get-secret-value.yml playbook。

ansible-playbook get-secret-value.yml

TASK [Output key vault secret] *************************************************
ok: [localhost] => {
    "msg": "<plainTextPassword>"
}

确认替换 <plainTextPassword> 的输出是之前在 Azure 密钥保管库中创建的机密的纯文本值。

完整的示例 Ansible playbook

本部分列出了用于使用密钥保管库机密配置 Azure Windows VM 的完整示例 Ansible playbook。

---
- name: Create Azure VM
  hosts: localhost
  connection: local
  gather_facts: false
  collections:
    - azure.azcollection

  vars:
    vault_uri: <key_vault_uri>
    secret_name: <key_vault_secret_name>

  tasks:

  - name: Get latest version of a secret
    azure_rm_keyvaultsecret_info:
      vault_uri: "{{ vault_uri }}"
      name: "{{ secret_name }}"
    register: kvSecret

  - name: Set secret fact
    set_fact: secret_value="{{ kvSecret['secrets'][0]['secret'] }}"

  - name: Create resource group
    azure_rm_resourcegroup:
      name: myResourceGroup
      location: eastus

  - name: Create virtual network
    azure_rm_virtualnetwork:
      resource_group: myResourceGroup
      name: vNet
      address_prefixes: "10.0.0.0/16"

  - name: Add subnet
    azure_rm_subnet:
      resource_group: myResourceGroup
      name: subnet
      address_prefix: "10.0.1.0/24"
      virtual_network: vNet

  - name: Create public IP address
    azure_rm_publicipaddress:
      resource_group: myResourceGroup
      allocation_method: Static
      name: pip
    register: output_ip_address

  - name: Output public IP
    debug:
      msg: "The public IP is {{ output_ip_address.state.ip_address }}"
  
  - name: Create Network Security Group
    azure_rm_securitygroup:
      resource_group: myResourceGroup
      name: networkSecurityGroup
      rules:
        - name: 'allow_rdp'
          protocol: Tcp
          destination_port_range: 3389
          access: Allow
          priority: 1001
          direction: Inbound

  - name: Create a network interface
    azure_rm_networkinterface:
      name: nic
      resource_group: myResourceGroup
      virtual_network: vNet
      subnet_name: subnet
      security_group: networkSecurityGroup
      ip_configurations:
        - name: default
          public_ip_address_name: pip
          primary: True

  - name: Create VM
    azure_rm_virtualmachine:
      resource_group: myResourceGroup
      name: win-vm
      vm_size: Standard_DS1_v2
      admin_username: azureuser
      admin_password: "{{ secret_value }}"
      network_interfaces: nic
      os_type: Windows
      image:
          offer: WindowsServer
          publisher: MicrosoftWindowsServer
          sku: 2019-Datacenter
          version: latest
    no_log: true

将 <key_vault_uri> 和 <key_vault_secret_name> 替换为相应的值。

清理资源

将以下代码另存为 delete_rg.yml。

---
- hosts: localhost
  tasks:
    - name: Deleting resource group - "{{ name }}"
      azure_rm_resourcegroup:
        name: "{{ name }}"
        state: absent
      register: rg
    - debug:
        var: rg

使用 ansible-playbook 命令运行 playbook。将占位符替换为要删除的资源组的名称。将删除资源组内的所有资源。
```
ansible-playbook delete_rg.yml --extra-vars "name=<resource_group>"
```
要点：
- 由于 playbook 的 register 变量和 debug 部分，因此在命令完成时，将显示结果。

运行 az group delete 以删除资源组。将删除资源组内的所有资源。
```
az group delete --name <resource_group>
```
使用 az group show 验证资源组是否已删除。
```
az group show --name <resource_group>
```

运行 Remove-AzResourceGroup 以删除资源组。将删除资源组内的所有资源。
```
Remove-AzResourceGroup -Name <resource_group>
```
使用 Get-AzResourceGroup 验证资源组是否已删除。
```
Get-AzResourceGroup -Name <resource_group>
```

后续步骤

Azure 上的 Ansible