Büyük Güvenlik, Basit Adımlar: Ansible Vault ile Gizli Değer Yönetimi

Bu yazı, gizli değerleri güvenli bir şekilde yönetmenin pratik ve güvenilir yollarını anlatır. Ansible Vault kullanımıyla ilgili temel farkları, tipik kullanım senaryolarını ve dikkat edilmesi gereken güvenlik noktalarını tek bir akış halinde toparlar.

• Şifreleme anahtarları: Vault, iki ana yaklaşımı destekler; ansible-vault ile dosya tabanlı şifreleme ve daha karmaşık ortamlarda HashiCorp Vault entegrasyonu gibi harici çözümler. Dosya tabanlı yaklaşımda AES-256 simetrik anahtar kullanılır ve şifreleme/şifre çözme işlemleri komut satırından yapılır.
• Gizli değerlerin tanımlanması: Varsayılan olarak varsayılan içeriğe ek olarak, varsayılan dışı değişkenler de vault ile korunabilir. Örneğin bir varsayılan host parolası bir varsayılan değişken gibi davranmamalı ve sadece vault dosyasında saklanmalıdır.
• Entegre çalışma: Playbook içinde varsayılan şifre yerine vault şifresiyle açılabilir. Aşağıda tipik bir akış şeması verilmiştir: hazırlık (vault dosyası oluştur), en iyi uygulama olarak gruplar halinde saklama, playbook çalıştırırken -vault-password-file ile açma.

• Vault dosyasını oluşturma:

1ansible-vault create secret.yml

• Var olan bir değeri vault’a almak:

1ansible-vault edit secret.yml

• Playbook’ta vault değerlerini kullanma: değişkenler doğrudan include edilen vault dosyasından alınır ve normal değişkenler gibi kullanılır.

12345678910111213
[list]
[*]hosts: all
[/list]
  vars_files:
[list]
[*]secret.yml
[/list]
  tasks:
[list]
[*]debug:
[/list]
        msg: "API_KEY is {{ API_KEY }}"

• Şifreli dosyayı çalıştırma:

1ansible-playbook site.yml --vault-password-file /path/to/.vault_pass.txt

• Alternatif olarak parolayı etiketlemek:

1ANSIBLE_VAULT_PASSWORD_FILE=/path/to/.vault_pass.txt ansible-playbook site.yml -i inventory

• Şifre dosyalarını güvenli saklama: vault_parola dosyasını erişim denetimli bir konuma koyun ve sadece gerekli servis hesaplarına erişim verin.
• Sürümler ve geçmiş: Vault dosyalarının geçmişteki sürümlerini izleyin; eski sürümler içindeki içerikler yanlışlıkla açılabilir. Sık sık anahtar rotasyonu planlayın.
• Erişim politikaları: Gizli değerleri role göre paylaşırken minimum erişim ilkesine uyun. Mümkünse proje bazlı sigorta katmanları ve ekip içi ayrımını yapın.
• Çalışma akışı güvenliği: CI/CD pipeline’larında vault şifresinin hardcoded olarak saklanmaması gerekir. Güvenli bir secret store entegrasyonu düşünün.
• Auditing ve izleme: Değişiklikleri kim hangi vault dosyasını ne zaman değiştirdiğini takip edin. Loglar güvenli ve erişilebilir olmalı.