Como posso reduzir a verbosidade de determinadas tarefas Ansible para não vazar senhas no syslog?

Às vezes eu gostaria de usar o Ansible lineinfileou os blockinfilemódulos para escrever uma senha em algum arquivo de configuração. Se fizer isso, toda a linha ou bloco, incluindo a senha, terminará no meu syslog.

Como não considero syslogum local seguro para armazenar minhas senhas, como posso dizer ao Ansible para não vazar minha senha syslog? Espero que exista uma maneira de fazer isso, caso contrário, consideraria esse um grande problema de segurança no Ansible.

Você pode reproduzi-lo, por exemplo, com este comando ad-hoc:

ansible localhost -m blockinfile -a 'dest=/tmp/ansible_password_leak create=yes block="Password = {{password}}"' -e 'password=secret'

Aqui está o que acaba em syslog:

ansible-blockinfile: Invoked with directory_mode=None force=None remote_src=None insertafter=None owner=None follow=False marker=# {mark} ANSIBLE MANAGED BLOCK group=None insertbefore=None create=True setype=None content=None serole=None state=present dest=/tmp/ansible_password_leak selevel=None regexp=None validate=None src=None seuser=None delimiter=None mode=None backup=False block=Password = secret

Por exemplo, usei o Ansible 2.0.0.2 do PPA oficial do Ansible Ubuntu em um sistema Debian "Jessie" 8.

O no_log atributo oculta dados no syslog. Pode ser aplicado a uma única tarefa

- name: secret task
  shell: /usr/bin/do_something --value={{ secret_value }}
  no_log: True

ou o manual:

- hosts: all
  no_log: True

A depuração não é realmente possível quando ativada, portanto, é recomendável usá-la apenas para tarefas únicas. Este recurso está disponível desde a versão 1.5 do Ansible . Conforme declarado no anúncio do release 1.5:

Agora, as tarefas também podem usar a opção "no_log = True" para impedir que tarefas confidenciais atinjam o syslog. (Parâmetros que pareciam senhas já foram filtrados)

senhas devem ser filtradas na maioria dos casos.

Desenvolvi um plug-in de retorno de chamada para ocultar senhas para saídas padrão; ele analisa o dicionário de saída da chave que contém a senha ; para cada uma delas, substitui o valor por ********.

Crie um arquivo nomeado protect_data.pyna pasta ./plugins/callback add adicione este código:

from ansible.plugins.callback.default import CallbackModule as CallbackModule_default
import os, collections

class CallbackModule(CallbackModule_default):
    CALLBACK_VERSION = 2.0
    CALLBACK_TYPE = 'stdout'
    CALLBACK_NAME = 'protect_data'

    def __init__(self, display=None):
        super(CallbackModule, self).__init__(display)

    def hide_password(self, result):
        ret = {}
        for key, value in result.iteritems():
            if isinstance(value, collections.Mapping):
                ret[key] = self.hide_password(value)
            else:
                if "password" in key:
                    ret[key] = "********"
                else:
                    ret[key] = value
        return ret

    def _dump_results(self, result, indent=None, sort_keys=True, keep_invocation=False):
        return super(CallbackModule, self)._dump_results(self.hide_password(result), indent, sort_keys, keep_invocation)

No arquivo ansible.cfg :

• descomente a linha stdout_callbacke defina esse nome de plugin como value ( stdout_callback=protect_data)
• linha de descomentário callback_pluginse valor definido./plugins/callback

A saída é modificada apenas para este plug-in, se você usar outro plug-in para exibir a saída ( logentries, ...), precisará fazer o mesmo com ele

Pode-se sugerir que o uso do Vault evitaria o problema.