В статье про передачу секретных ключей на сервер написано: «Когда ваши

данные переданы, Ansible может записать эти данные открытым способом в имеющуюся файловую систему. Это может произойти если не применяется pipelining»

Я так понял, достаточно установить ansible_ssh_pipelining в true чтобы секретные данные не сохранялись в файлы?

Я тоже не понимаю чего написано в этом абзаце. Скажите чего хотите сделать.

Есть такое понятие как "секреты", это логин и пароль к субд, ключи api, ключи шифрования и т.п. Хранить секреты открытым текстом в конфигах на сервере небезопасно, так как злоумышленник получивший права на чтение файлов сможет эти секреты получить. Можно повысить безопасность если хранить секреты вне сервера и передавать их на сервер при запуске чтобы они хранились в ОЗУ и нигде на диск не записывались. Конечно же, их можно вытащить из ОЗУ, но это уже сложнее чем написать cat conf* Каким образом можно безопасно передать секреты (или, если этот термин непривычен, читайте "переменные") от ансибл серверному приложению напрямую без сохранения их в файл на сервере?

это не задача ansible. используйте hashicorp vault и научите ваше по с ним работать.

Похоже, вы не слышали про ansible vault

похоже что вы задали вопрос который я неверно трактовал.

Да. Меня в данном контексте не волнует как хранить секреты, есть разные сервисы для этого. Вопрос в том можно ли это секреты передать при деплое. Обычное использование хашикорп предполагает что после того как я введу мастер ключ на сервере хранилище разблокируется и сервер сможет уже обращаться к хранилищу без каких-то ограничений, что небезопасно. Я же задумал сделать сервер который не имеет доступа к хранилищу. Админ по своей инициативе передаёт ключи серверу. Сам сервер не может их забрать

почему это без ограничений? У волта есть политики. Более того, если смотреть на всякие операторы итп вещи, то там необходимые тебе секреты вообще передаются в аннотациях к приложению и загружаются инит-контейнером

Можно ссылку на док где такое обьясняется?

Не сильно-то это и сложно gcore и strings прекрасно позволяют читать из памяти все строки без больших усилий

gcore требует sudo

Доклад Тинькова про vault и kubernetes