О чем статья?
Короткая статейка о том, как сгенерировать пароли необходимые для разнообразных сервисов автоматически устанавливаемых с помощью SaltStack.
Трудности генерации паролей.
Очень часто приходится автоматически устанавливать сервисы или приложения, которые требуют указания паролей для доступов к каким-то своим частям (например, к web интерфейсу или к управлению своим API). Не менее часто приходится конфигурировать пользователей баз данных, которые будут затем использоваться в сервисах использующих эти базы и т. д.
Типичная проблема, — генерация паролей для всех подобных случаев. Есть несколько решений этой проблемы:
1. Прописать пароли вручную в pillar файл
pillar/passwords.sls
service1:
web-access-password: '9KTE2aN11GYOJmZGOoqV'
db-access-password: '2pGbSlSFkHPY22TwqUus'
Ну и потом в любом другом пилларе или в стейте использовать указанные пароли для генерации доступов.
Все вроде бы нормально и понятно, — но есть одно но — если вы будете распространять стейт использующий указанный пиллар, то пароли будут сохраняться в том же неизменном виде. Мало того, — даже все однотипные серверы, для которых будут применен этот стейт будут иметь одинаковый пароль. Естественно нет смысла объяснять чем это может грозить с точки зрения информационной безопасности.
2. Сгенерировать пароли средствами SaltStack.
Есть одна интересная ф-ция в SaltStack в модуле grains get_or_set_hash, которая может сгенерировать пароль для последующего использования определенного grain. Пароли получаются достаточно комплексными (из-за дефолтного набора символов, которые можно переопределить при вызове), использовать их в стейтах легко (просто считать соответствующий grain с миниона). Единственное, о чем стоит помнить, — генерация пароля происходит только при первом вызове этой ф-ции (и сам пароль помещается в /etc/salt/grains файл), все последующие — будут просто читать этот грейн из файла как если бы вызывался salt['grains.get']('stored-password-grain-name').
Один из самых существенных недостатков этого способа — отсутствие возможности читать сгенерированные таким образом пароли в pillar файлах, что часто бывает полезно при использовании разнообразных формул (SaltStack Formulas).
3. Пред. генерация паролей в pillar файле.
Еще один способ, который я использую достаточно часто — предварительное генерирование паролей с помощью Jinja2.
В общем случае, для пред. генерации используется minion установленный на той же машине что и Salt Master. Если не хочется подключать такой minion к самому мастеру, можно воспользоваться masterless конфигурацией, но я предпочитаю использовать минион подключенным к мастеру, обозначив его grains:roles:local-minion и создав отдельную запись в конфигурации мастера:
master/top.sls
base:
'roles:local-minion':
- match: grain
- local-minion-state
Суть способа пред. генерации паролей заключается в том, чтобы создать jinja шаблон pillar файла с паролем(-лями) примерно такого вида:
master/files/some-srv-password.sls.jinja2
some-srv:
password: '{{salt['random.get_str'](30)}}'
тут используется ф-ция get_str модуля random.
Следующим шагом будет описание стейта для локального миниона, который генерирует pillar файл с паролями.
master/local-minion-state.sls
passwords-file:
file.managed:
- name: /srv/salt/pillar/some-srv-password.sls # или другое место, где pillar файлы могут быть считаны мастером
- source: salt://files/some-srv-password.sls.jinja2
- template: jinja
После этого, перед применением стейтов зависящих от наличия пред. генерированных паролей, запускаем описанный стейт:
~# salt-call --local state.sls local-minion-state # masterless
or
~# salt -C 'G@roles:local-minion' state.sls local-minion-state
После исполнения стейта, получим pillar файл содержащий сгенерированный пароль. Для его использования выполним include в другом pillar файле:
pillar/some-srv.sls
include:
- some-srv-password
some-srv:
username: Fred
. . .
В итоге, при запросе salt 'minion-with-some-srv-pillar-connected' pillar.items получим примерно такое:
pillar:
. . .
some-srv:
. . .
username:
Fred
password:
AoEK8u4Uvo_r9MKtooSUxZV1Y_DLoy
затем доступ к данным пароля можно получить простым вызовом salt['pillar.get']('some-srv:password').
Заключение.
Из-за достаточно большой гибкости системы SaltStack решение этой задачи скорее всего не ограничивается только лишь 3-мя способами описанными в статье, — вполне возможно, что Вы придумаете не менее продуктивный и удобный способ.
В любом случае — надеюсь описанное в статье пригодится начинающим и не только пользователям SaltStack. Удачи!
Автор: eugenechepurniy
