Всем привет! В гайде ансибла вроде как написано, что чтобы он

Question

Всем привет! В гайде ансибла вроде как написано, что чтобы он

мог выкатить на сервера свои плейбуки, то нужно положить ключ на эти сервера. Звучит не секурно. Какие существуют хорошие практики для того, чтобы безопасно выкатывать плейбуки ?

#devops #programming #russian

0

10.10.2023

18 ответов

21 просмотр

Nick Kritsky 🇺🇦

Почему не секурно? Ансиблу же надо как-то запускаться на удалённых машинах. Поясни

0

10.10.2023

Dima Haponov

Nick Kritsky 🇺🇦
Почему не секурно? Ансиблу же надо как-то запускат...

ну да - vault

0

10.10.2023

Artyom G

так доступ на сервера в любом случае так или иначе надо обеспечить... ну еще можно pull рассмотреть если такой вариант применим

0

10.10.2023

Nick Kritsky 🇺🇦

Dima Haponov
ну да - vault

Так и в случае волта - паблик ключи на таргетах лежат.

0

10.10.2023

Dima Haponov

Nick Kritsky 🇺🇦
Так и в случае волта - паблик ключи на таргетах ле...

да

0

10.10.2023

Nick Kritsky 🇺🇦

Вот я и пытаюсь понять что ему в этой схеме не понравилось.

0

10.10.2023

iCheater iCheater Автор вопроса

У нас появились разные мнения как это реализовать. Я согласен положить 1 ключ, на все сервера, у условием что этот ключ есть только у ансибля, но коллега хотел чтобы ключ был и у него, чтобы работать с этими серверами) На что я возразил, мол у нас есть teleport) А так, в идеальном мире отдельный ключ для отдельной железки.

0

10.10.2023

Dima Haponov

Nick Kritsky 🇺🇦
Так и в случае волта - паблик ключи на таргетах ле...

я бы использовал инструменты управления ключами и централизованные системы аутентификации, типа SSH ключей или инструменты управления идентификацией и доступом (IAM).

0

10.10.2023

Dima Haponov

Nick Kritsky 🇺🇦
Вот я и пытаюсь понять что ему в этой схеме не пон...

хотя вот да - тут постановка вопроса не правильная, что автор вообще хочет =)

0

10.10.2023

iCheater iCheater Автор вопроса

Dima Haponov
хотя вот да - тут постановка вопроса не правильная...

- было любопытно «нормальная ли практика хранить на всех серверах одинаковый паблик ключ, например для ансибла» - было любопытно узнать какие есть альтернативы, мол тот же телепорт и или выяснилось the vault (я думал что он только креды раскидывает) - также было любопытно узнать как у кого в проде сейчас это дело организовано)

0

10.10.2023

Artyom G

iCheater iCheater
У нас появились разные мнения как это реализовать....

ну раз уж есть телепорт то можно и ansible настроить для хождения на сервера через него

0

10.10.2023

Andrey Kartashov

iCheater iCheater
- было любопытно «нормальная ли практика хранить н...

нормальная практика. если пользователь один, то зачем ему куча ключей

0

10.10.2023