Estoy configurando un servidor MySQL y quiero que Ansible establezca la mysql-rootcontraseña durante la instalación.

Con la ayuda de internet se me ocurrió esta solución:

- name: Set MySQL root password before installing
  debconf: name='mysql-server' question='mysql-server/root_password' value='{{mysql_root_pwd | quote}}' vtype='password'
- name: Confirm MySQL root password before installing
  debconf: name='mysql-server' question='mysql-server/root_password_again' value='{{mysql_root_pwd | quote}}' vtype='password'
- name: Install Mysql
  apt: pkg=mysql-server state=latest

mysql_root_pwdes una variable cargada desde la Bóveda de Ansible. Esto funciona bien, pero ahora en el servidor hay muchas líneas en el registro:

Apr 10 14:39:59 servername ansible-debconf: Invoked with value=THEPASSWORD vtype=password question=mysql-server/root_password name=mysql-server unseen=None
Apr 10 14:39:59 servername ansible-debconf: Invoked with value=THEPASSWORD vtype=password question=mysql-server/root_password_again name=mysql-server unseen=None

¿Cómo puedo evitar que Ansible escriba contraseñas de texto claro en los archivos de registro?

Para evitar que se registre una tarea con información confidencial, en syslog u otro, configure no_log: true en la tarea:

- name: secret stuff
  command: "echo {{secret_root_password}} | sudo su -"
  no_log: true

La ejecución de la tarea aún se registrará, pero con pocos detalles. Además, el módulo utilizado debe admitir no_log, por lo que debe probar módulos personalizados.

Consulte las preguntas frecuentes de Ansible para obtener más detalles. Se puede aplicar a un libro de jugadas completo, sin embargo, el resultado se vuelve un poco desagradable con "censurado". mensajes

El comportamiento observado parece ser un error en el módulo debconf. Presenté un informe de error .

El usuario bcoca en github señaló que se puede usar la no_log: truedirectiva en tareas, que establecen contraseñas, para evitar el registro. Esta es una solución alternativa, que funciona para mí hasta que se solucione el error.

Lo resolví actualizando la versión Ansible a 1.6.1

sudo pip install ansible==1.6.1

Según los documentos de Ansible :

log_path

Si está presente y configurado ansible.cfg, Ansible registrará información sobre ejecuciones en la ubicación designada. Asegúrese de que el usuario que ejecuta Ansible tenga permisos en el archivo de registro:

log_path=/var/log/ansible.log 

Este comportamiento no está activado de forma predeterminada. Tenga en cuenta que ansible, sin esta configuración, registrará los argumentos del módulo llamados al registro del sistema de las máquinas administradas. Los argumentos de contraseña están excluidos.

Parece que la configuración log_pathen su nodo de control dará como resultado que no haya registros en los nodos de destino.

Hay una mejor manera que simplemente no_log: True

- name: write in string variables login and password
  set_fact:
    temp_user: "{{ USER_VAR }}"
    temp_pass: "{{ PASSWORD_VAR }}"


- name: Your operation with password in output
  shell: '/opt/hello.sh'
  ignore_errors: True
  no_log: True
  register: myregister

- debug:
    msg: '{{ myregister.stderr | regex_replace(temp_user) | regex_replace(temp_pass) }}'
  when: myregister.stderr != ""

- debug:
    msg: '{{ myregister.stdout | regex_replace(temp_user) | regex_replace(temp_pass) }}'
  when: myregister.stdout != ""

- fail:
    msg: "error shell /opt/hello.sh"
  when: myregister.stderr != ""

Como puede ver, necesita agregar:

ignore_errors: true
no_log: true

Y luego realice la salida del resultado del comando con regex_replace, donde:

USER_VAR - variable de inicio de sesión

PASSWORD_VAR - variable de contraseña

Con este enfoque, no solo ocultará las contraseñas y los inicios de sesión, sino que también obtendrá el resultado de su operación

Esta es una adición a la respuesta de TheDESTROS de este hilo:

1. escribe una plantilla, que envuelve el comando con un secreto:

wrapper-script.sh.j2

echo {{ secret_eg_from_ansible_vault }} | su - "ls -l"

2. Invoque el script de envoltura y elimínelo de inmediato:

- name: create template
  template:
    src: wrapper-script.sh.j2
    dest: /tmp/wrapper-script.sh
    mode: 0700
  no_log: True
- name: invoke command with secret and remove it
  shell: /tmp/wrapper-script.sh; rm -f /tmp/wrapper-script.sh

Necesita un poco menos de código y puede encontrar los comandos en sus registros. Solo hay una caverna, si hay un secreto en los comandos stdout. Si desea evitar la plantilla externa, el copymódulo con el parámetro contentpuede ayudar a escribir un pequeño script de envoltura sobre la marcha.

El no_log: trueenfoque se utilizará como último recurso si otros intentos fallan porque hará que la ejecución de la tarea sea totalmente opaca y no tendrá idea de cuándo falla.

Las prácticas de seguridad recomiendan dar credenciales de stdin o, cuando no sea posible, usar archivos de credenciales (o incluso ejecutables).

Aquí hay un ejemplo sobre cómo realizar un inicio de sesión de podman seguro evitando exponer la contraseña:

- name: secured login
  become: true
  command: >
    podman login --username={{ user }} --password-stdin ...
  args:
    stdin: "{{ secret }}"
  register: result

Con esto, el secreto no se expondrá, resultpero aún podrá ver la salida del comando.

La mayoría de las herramientas que necesitan iniciar sesión implementan uno de los enfoques más seguros mencionados. Usar credenciales en CLI en el código es como tener 123456como contraseña de su banco.