Какво е Ansible Vault?

Ansible Vault е вградена функция на Ansible, която криптира чувствителни данни като пароли, API ключове и сертификати, така че те могат да бъдат безопасно съхранявани заедно с playbooks и роли в контрол на версиите. Той използва AES-256 симетрично криптиране с PBKDF2 деривация на ключ, което означава, че един пароль се използва както за криптиране, така и за декриптиране. Съдържанието, криптирано с Vault, се идентифицира по заглавката $ANSIBLE_VAULT;1.1;AES256, последвана от hex-кодирано шифротекст.

Ansible Vault решава фундаментално предизвикателство в DevOps: как да се пазят тайни в същото хранилище като кода на инфраструктурата без да се разкриват. Вместо да управляват отделни хранилища на тайни или да разчитат на променливи на окръжението, екипите могат да ангажират криптирани файлове директно в Git и да ги декриптират по време на изпълнение по време на изпълнението на playbook.

Описание на инструмента

Този инструмент криптира и декриптира съдържание на Ansible Vault директно в браузъра. Въведете пароль на vault и обикновен текст, за да произведете напълно съвместим криптиран vault blob, или поставете съществуващ vault blob, за да разкриете оригиналната тайна. Никакви данни не напускат браузъра — всички криптографски операции се изпълняват на клиентската страна.

Примери

Криптиране на обикновен текст:

Вход (обикновен текст):

db_password: s3cur3P@ss!

Изход (криптиран vault):

$ANSIBLE_VAULT;1.1;AES256
33383239333036363833303565653032383832663162356533343630623030613133623032636566
6536303436646561356461623866386133623462383832620a646363626137626635353462386430
34333937313366383038346135656563316236313139333933383139376333353266666436316536
6335376265313432610a313537363637383264646261303637646631346137393964386432313633
3666

Декриптиране на vault съдържание:

Поставете криптирания блок по-горе с правилния пароль, за да възстановите оригиналната стойност db_password: s3cur3P@ss!.

Функции

  • AES-256 криптиране напълно съвместимо с формат Ansible Vault 1.1
  • Само на клиентската страна — никакви данни не се изпращат на сървър
  • Поддържа както криптиране, така и декриптиране с един пароль
  • Моментално преобразуване с живо предварително преглед докато пишете
  • Работи с многоредови тайни, YAML фрагменти и произволен текст

Случаи на употреба

  • Бързо криптиране на нова тайна преди да я ангажирате в Git хранилище, съдържащо Ansible playbooks
  • Декриптиране и проверка на vault съдържание по време на отстраняване на грешки без да е необходимо Ansible да е инсталиран локално
  • Споделяне на криптирани тайни с членове на екипа, които могат да ги декриптират в браузъра, използвайки споделен пароль на vault

Как работи

Ansible Vault 1.1 използва следния процес:

  1. Деривация на ключ — PBKDF2-HMAC-SHA256 извлича 80-байтов ключ от паролата и случайна сол (10 000 итерации). Ключът се разделя на 32-байтов ключ за криптиране, 32-байтов HMAC ключ и 16-байтов IV.
  2. Криптиране — Обикновеният текст се криптира с AES-256-CTR, използвайки извлеченият ключ и IV.
  3. Удостоверяване — HMAC-SHA256 се изчислява над шифротекста, за да се гарантира интегритета.
  4. Кодиране — Солта, HMAC дайджестът и шифротекстът се hex-кодират и комбинират под заглавката $ANSIBLE_VAULT;1.1;AES256.

Декриптирането обръща процеса: паролата отново извлича същите ключове, проверява HMAC и декриптира шифротекста.

Ограничения

  • Поддържа само формат Ansible Vault 1.1 с AES-256 криптиране
  • Не поддържа етикети на vault ID за настройки с множество пароли
  • Големите файлове могат да причинят кратки забавяния в потребителския интерфейс поради CPU-интензивния етап на деривация на ключ