SA
@Serogava сорян. я чет не то сказал. не увидел что ключ надо
Size: a a a
2021 July 01
SA
SA
ансибл будет искать везде (включая ваулт)
SA
но это не точно. @tgadiev Простите, не подскажете ка кправильно
SL
кажись я понял. надо засунуть его в глобальную переменную, но зашифровать через vault. сейчас у меня прописан путь к ключу. Может прокатит, а может нет.
SL
Либо зашифровать файл через vault, но написать к нему путь тот же. поидее он должен равшифровать его. надо попробовать.
SA
вы можете сам ключ положить в переменную и ее зашифровать
SL
вот как раз эти 2 варианта буду пробовать
TG
Если хост взломают, то никакое шифрование вас не спасет. Все шифры там же будут
SL
Если шифрование обратимое, типо base64, то не спасет.
TG
Не очень понятно, о чем конкретно идет речь. О подключении через бастион?
SL
а том, что ключи, типо id_rsa будут в зашифрованном виде, а не в открытом.
TG
О чем конкретно идет речь? О каком способе подключения и каком расположении ключей?
DO
Понял , исправлю )
TG
Вы на своей собственной машине от себя самого ключи шифровать собрались?
SL
Почти так. Есть агент, где установлен ansible, хочется его обезопасить на случай взлома. Подключение к хостам ansible выполняет через ssh по ключам. Соответственно, если мы имеем скомпрометированный ключ на центральном агенте, то с его помощью можно подключаться к другим хостам. Хочется от этого обезопаситься.
SL
Требования ИБ, чтобы все ключи и пароли не лежали на хостах в открытом доступе.
ВС
Фильтр по айпи и длиннющий пароль на учетки коннекты по ssh и дело в шляпе можно впн по сертификатам еще вкорячить
ВС
Все равно что три презерватива надеть при половом акте ))))
SL
Про фильтр по IP, по этому есть центральный агент, с которого разрешено подключение. Подключаться по паролю не хочется, их все придется держать в vault., это новый сервер + 1 пароль, если у нас инфраструктура в 3 машины это норм, а если она в 500? ssh ключи более простые. ВПН внутри предприятия мне кажется излишним.