Vault والأسرار

جزء من دورة Ansible

كل ما كتبته حتى الآن كان آمناً لتعرضه على أي شخص. قوائم الأجهزة والقوالب والقيم الافتراضية للأدوار: لا شيء منها يؤذيك لو قرأه غريب. ثم تصل إلى المهمة التي تنشئ مستخدم قاعدة البيانات، وهي تحتاج كلمة مرور. تكتبها في group_vars/db.yml، ثم تعمل commit وpush، فتصبح كلمة المرور تلك في تاريخ مشروعك إلى الأبد، يقرأها كل من يملك وصولاً إلى المستودع، وتبقى مقروءة حتى بعد أن تحذف السطر، لأن git يتذكر الأسطر المحذوفة أيضاً.

جواب Ansible هو Vault، أداة تعمية صغيرة مدمجة في الأمر ansible-vault. تتيح للملف أن يعيش في مستودعك كنصّ مشفّر غير مقروء، وتتيح لـ Ansible فكّ تشفيره في الذاكرة لحظة تشغيل دليل التشغيل (playbook). الملف آمن للرفع. وعبارة المرور هي الشيء الوحيد الذي تُبقيه خارج المستودع، وهي سرٌّ واحد بدل خمسين. ...