Comment décrypter une chaîne avec ansible-vault 2.3.0

Question

J'ai attendu ansible 2.3 car il devait introduire la fonction encrypt_string.

Malheureusement je ne suis pas sûr de comment je peux lire la chaîne chiffrée.

J'ai essayé decrypt_string, decrypt (le fichier), view (le fichier) et rien ne fonctionne.

cat test.yml 
---
test: !vault |
     $ANSIBLE_VAULT;1.1;AES256
     37366638363362303836383335623066343562666662386233306537333232396637346463376430
     3664323265333036663736383837326263376637616466610a383430623562633235616531303861
     66313432303063343230613665323930386138613334303839626131373033656463303736366166
     6635346135636437360a313031376566303238303835353364313434363163343066363932346165
     6136

L'erreur que je reçois est ERREUR ! l'entrée n'est pas des données chiffrées en coffre pour test.yml

Comment puis-je déchiffrer la chaîne pour connaître sa valeur sans avoir besoin d'exécuter le jeu de données ?

Answer 1

Vous pouvez également le faire avec la commande ansible simplement pour l'hôte, le groupe ou la combinaison d'inventaire respective, par exemple :

$ ansible my_server -m debug -a 'var=my_secret'
my_server | SUCCESS => {
    "my_secret": "373861663362363036363361663037373661353137303762"
}

Answer 2

Vous pouvez rediriger l'entrée puis indiquer à ansible-vault de renvoyer vers stderr puis rediriger le stdout vers /dev/null car l'outil affiche Décryptage réussi.

La partie /dev/stdin/ peut ne pas être nécessaire dans les nouvelles versions d'Ansible.

Quelque chose comme :

echo 'VOTRE_VALEUR_SECRÈTE' | ansible-vault decrypt /dev/stdin --output=/dev/stderr > /dev/null

Voici un exemple :

echo '$ANSIBLE_VAULT;1.1;AES256
30636561663762383436386639353737363431353033326634623639666132623738643764366530
6332363635613832396361333634303135663735356134350a383265333537383739353864663136
30393363653361373738656361613435626237643633383261663138653466393332333036353737
3335396631613239380a616531626235346361333737353831376633633264326566623339663463
6235' | ansible-vault decrypt /dev/stdin --output=/dev/stderr > /dev/null

J'espère qu'ils mettront en place une méthode plus simple pour faire cela.

Modifier : Variables d'environnement en tant qu'entrée :

Pour obtenir un comportement similaire avec des variables d'environnement multi-lignes sur bash, utilisez printf au lieu de echo

Exemple (mot de passe : 123) :

export chiphertext='$ANSIBLE_VAULT;1.1;AES256
65333363656231663530393762613031336662613262326666386233643763636339366235626334
3236636366366131383962323463633861653061346538360a386566363337383133613761313566
31623761656437393862643936373564313565663633636366396231653131386364336534626338
3430343561626237660a333562616537623035396539343634656439356439616439376630396438
3730'

printf "%s\n" $chiphertext | ansible-vault decrypt /dev/stdin --output=/dev/stderr > /dev/null

Answer 3

Étant donné que les fichiers de coffre-fort entiers ne s'intègrent pas bien dans l'historique de git, utiliser des chaînes de coffre-fort dans les fichiers de variables est la meilleure solution, cela rend également les variables plus claires lorsqu'on les recherche par nom.

Voici un exemple de travail simple:

Je veux mettre fredsSecretString: value dans vars.yml, (sa valeur est fastfredfedfourfrankfurters mais chut, ne laissez pas les gens le savoir !!)

$ ansible-vault encrypt_string 'fastfredfedfourfrankfurters' -n fredsSecretString >> vars.yml
Nouveau mot de passe Vault : fred
Confirmez le nouveau mot de passe Vault : fred
$ cat vars.yml
fredsSecretString: !vault |
          $ANSIBLE_VAULT;1.1;AES256
          36643662303931336362356361373334663632343139383832626130636237333134373034326565
          3736626632306265393565653338356138626433333339310a323832663233316666353764373733
          30613239313731653932323536303537623362653464376365383963373366336335656635666637
          3238313530643164320a336337303734303930303163326235623834383337343363326461653162
          33353861663464313866353330376566346636303334353732383564633263373862

Pour décrypter la valeur, renvoyez la chaîne chiffrée dans ansible-vault comme suit:

    $ echo '$ANSIBLE_VAULT;1.1;AES256
    36643662303931336362356361373334663632343139383832626130636237333134373034326565
    3736626632306265393565653338356138626433333339310a323832663233316666353764373733
    30613239313731653932323536303537623362653464376365383963373366336335656635666637
    3238313530643164320a336337303734303930303163326235623834383337343363326461653162
    33353861663464313866353330376566346636303334353732383564633263373862' |
 ansible-vault decrypt && echo
    Mot de passe Vault : fred
    Décryptage réussi
    fastfredfedfourfrankfurters
    $

Answer 4

Avez-vous essayé de définir la chaîne chiffrée comme une variable, puis d'utiliser -debug pour obtenir sa sortie déchiffrée ?

c.-à-d.

Définissez votre chaîne chiffrée comme une variable test dans votre playbook puis faites :

-debug: msg="Ma valeur secrète est {{test | replace('\n', '')}}"

dans votre playbook puis exécutez le playbook :

$ ansible-playbook -i localhost VotrePlaybook.yml --vault-password-file chemin/vers/votre/fichier_clé_secrète

Answer 5

Bien que les valeurs de chaîne cryptées ne posent aucun problème lors de l'affichage des messages de débogage d'Ansible ou lors de l'utilisation de l'interface en ligne de commande Ansible, il existe une autre solution qui peut être pratique pour les besoins d'automatisation. Vous pouvez utiliser les bibliothèques Python d'Ansible et les utiliser dans votre code (en gros, tout cela se trouve dans ansible.parsing.*)

1) Fournir le mot de passe du coffre-fort et générer le "vault" avec les secrets.

# Charger le mot de passe du coffre-fort et préparer les secrets pour le déchiffrement
loader = DataLoader()
secret = vault.get_file_vault_secret(filename=vault_password_file, loader=loader)
secret.load()
vault_secrets = [('default', secret)]
_vault = vault.VaultLib(vault_secrets)

2) Charger le fichier yaml avec AnsibleLoader :

with codecs.open(input_file, 'r', encoding='utf-8') as f:
    loaded_yaml = AnsibleLoader(f, vault_secrets=_vault.secrets).get_single_data()

3) Si vous devez crypter une nouvelle chaîne et mettre à jour votre dictionnaire :

    new_encrypted_value = objects.AnsibleVaultEncryptedUnicode.from_plaintext(source_system_password, _vault, vault_secrets[0][1])
    loaded_yaml[target_env]['credentials'][external_system_name]['password'] = new_encrypted_variable

4) Une fois le traitement terminé, écrivez de nouveau avec AnsibleDumper :

with open('new_variables.yml','w') as fd:
    yaml.dump(loaded_yaml, fd, Dumper=AnsibleDumper, encoding=None, default_flow_style=False)