Zelfstudie: Azure Key Vault gebruiken om VM-geheimen op te slaan met Ansible

  • Artikel
  • 6 minuten om te lezen

In deze quickstart maakt en haalt u geheimen op uit Azure Key Vault met Ansible.

Belangrijk

Ansible 2.9 (of hoger) is vereist om de voorbeeld-playbooks in dit artikel uit te voeren.

In dit artikel leert u het volgende:

  • Een Azure Key Vault-exemplaar maken
  • Een geheim opslag maken in Azure Key Vault
  • Geheimen uit Azure Key Vault halen met Ansible

Vereisten

  • Azure-abonnement: Als u nog geen abonnement op Azure hebt, maak dan een gratis account aan voordat u begint.

Een Azure-sleutelkluis maken

Ansible heeft een resourcegroep nodig om uw resources in te implementeren.

  1. Maak een Ansible-playbook met de create_kv.yml naam en voeg de volgende taak toe om een resourcegroep te maken:

    ---
- name: Create Azure key vault
  hosts: localhost
  connection: local
  tasks:

  - name: Create resource group
    azure_rm_resourcegroup:
      name: ansible-kv-test-rg
      location: eastus

  2. Definieer de vereiste variabelen voor de tenant-id, de object-id van de service-principal en de kluisnaam.

    ---
  vars:
    tenant_id: <tenantId>
    object_id: <servicePrincipalObjectId>
    vault_name: <vaultName>

    Vervang <tenantId> , en door de juiste <servicePrincipalObjectId><vaultName> waarden. De object-id wordt gebruikt om toegang te verlenen tot geheimen in de sleutelkluis.

    sleutelpunt:

    • Namen van Azure-sleutelkluizen moeten wereldwijd uniek zijn. De sleutelkluis en sleutels/geheimen erin zijn toegankelijk via https://{vault-name}.vault.azure.net URI.

  3. Configureer het Azure Key Vault-exemplaar door de taak toe te create_kv.yml voegen.

    ---
  - name: Create key vault instance
    azure_rm_keyvault:
      resource_group: ansible-kv-test-rg
      vault_name: "{{ vault_name }}"
      enabled_for_deployment: yes
      vault_tenant: "{{ tenant_id }}"
      sku:
        name: standard
      access_policies:
        - tenant_id: "{{ tenant_id }}"
          object_id: "{{ object_id }}"
          secrets:
            - get
            - list
            - set
            - delete

  4. Voer het create_kv.yml playbook uit.

    ansible-playbook create_kv.yml

    PLAY [localhost] *******************************************************************************************************

TASK [Gathering Facts] *************************************************************************************************
ok: [localhost]

TASK [Create resource group] *******************************************************************************************
ok: [localhost]

TASK [Create key vault instance] ************************************************************************************
ok: [localhost]

PLAY RECAP *************************************************************************************************************
localhost                  : ok=3    changed=0    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0

Playbook voor Azure Key Vault maken voltooien

In deze sectie vindt u het volledige Voorbeeld van een Ansible-playbook voor het maken van een Azure-sleutelkluis.

- hosts: localhost
  connection: local

  vars:
    tenant_id: <tenantId>
    object_id: <servicePrincipalObjectId>
    vault_name: <vaultName>

  tasks:
  - name: Create resource group 
    azure_rm_resourcegroup:
      name: ansible-kv-test-rg
      location: eastus

  - name: Create instance of Key Vault
    azure_rm_keyvault:
      resource_group: ansible-kv-test-rg
      vault_name: "{{ vault_name }}"
      enabled_for_deployment: yes
      vault_tenant: "{{ tenant_id }}"
      sku:
        name: standard
      access_policies:
        - tenant_id: "{{ tenant_id }}"
          object_id: "{{ object_id }}"
          secrets:
            - get
            - list
            - set
            - delete

Een geheim maken in de sleutelkluis

Voordat het geheim kan worden gemaakt, hebt u de sleutelkault-URI nodig.

  1. Maak nog een playbook met de naam create_kv_secret.yml . Kopieer de volgende code naar het playbook:

    ---
- hosts: localhost
  connection: local

  tasks:

  - name: Get Key Vault by name
    azure_rm_keyvault_info:
      resource_group: ansible-kv-test-rg
      name: <vaultName>
    register: keyvault

  - name: set KeyVault uri fact
    set_fact: keyvaulturi="{{ keyvault['keyvaults'][0]['vault_uri'] }}"

  - name: Create a secret
    azure_rm_keyvaultsecret:
      secret_name: adminPassword
      secret_value: <secretValue>
      keyvault_uri: "{{ keyvaulturi }}"

    Vervang <vaultName> door de naam van de sleutelkluisnaam en door de waarde voor het <secretValue> geheim.

    Sleutelpunt:

    • De azure_rm_keyvault_infoset_facts modules en registreren de sleutelkluis-URI als een variabele. Deze variabele wordt vervolgens doorgegeven aan de azure_rm_keyvaultsecret module om het geheim te maken.

  2. Voer het create_kv_secret.yml playbook uit.

    ansible-playbook create_kv_secret.yml

    PLAY [localhost] *******************************************************************************************************

TASK [Gathering Facts] *************************************************************************************************
ok: [localhost]

TASK [Get Key Vault by name] *******************************************************************************************
ok: [localhost]

TASK [set KeyVault uri fact] *******************************************************************************************
ok: [localhost]

TASK [Create a secret] *************************************************************************************************
ok: [localhost]

PLAY RECAP *************************************************************************************************************
localhost                  : ok=4    changed=0    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0

Geheimen uit key vault halen

Geheimen die zijn opgeslagen in Azure Key Vault kunnen worden gebruikt om Ansible-variabelen te vullen.

  1. Maak een nieuw playbook met de naam get_kv_secrets.yml om sleutelkluisgeheimen op te halen met Ansible.

    Ansible 2.9 met azure_preview_modules

    ---
- hosts: localhost
  connection: local
  roles: 
    -  { role: azure.azure_preview_modules }

  vars:
    tenant_id: <tenantId>
    vault_name: <vaultName>
    secret_name: adminPassword
    client_id: <servicePrincipalApplicationId>
    client_secret: <servicePrincipalSecret>

  tasks:
  - name: Get Key Vault by name
    azure_rm_keyvault_info:
      resource_group: ansible-kv-test-rg
      name: "{{ vault_name }}"
    register: keyvault

  - name: Set key vault URI fact
    set_fact: keyvaulturi="{{ keyvault['keyvaults'][0]['vault_uri'] }}"

  - name: Set key vault secret fact
    set_fact: secretValue={{ lookup('azure_keyvault_secret',secret_name,vault_url=keyvaulturi, client_id=client_id, secret=client_secret, tenant_id=tenant_id) }}

  - name: Output key vault secret
    debug:
      msg: "{{ secretValue }}"

    Vervang <tenantId> , , en door de juiste <vaultName><servicePrincipalApplicationId><servicePrincipalSecret> waarden.

    Zie de pagina azure_preview_modulesazure_preview_modules voor meer informatie over .

    Ansible 2.10 met azure.azcollection

    ---
- hosts: localhost
  connection: local
  collections:
    - azure.azcollection

  vars:
    vault_name: ansible-kv-test-01
    secret_name: adminPassword

  tasks:

  - name: Get Key Vault by name
    azure_rm_keyvault_info:
      resource_group: ansible-kv-test-rg
      name: "{{ vault_name }}"
    register: keyvault

  - name: Set key vault URI fact
    set_fact: keyvaulturi="{{ keyvault['keyvaults'][0]['vault_uri'] }}"

  - name: Get secret value
    azure_rm_keyvaultsecret_info:
      vault_uri: "{{ keyvaulturi }}"
      name: "{{ secret_name }}"
    register: kvSecret

  - name: set secret fact
    set_fact: secretValue="{{ kvSecret['secrets'][0]['secret'] }}"

  - name: Output key vault secret
    debug: 
      msg="{{ secretValue }}"

    Vervang <vaultName> door de juiste waarde.

    Zie azcollectionazcollectionmeer informatie over .

  2. Voer het get-secret-value.yml playbook uit.

    ansible-playbook get-secret-value.yml

    TASK [Output key vault secret] *************************************************
ok: [localhost] => {
    "msg": "<plainTextPassword>"
}

    Controleer of de uitvoer die is vervangen de tekstwaarde zonder tekst <plainTextPassword> is van het geheim dat eerder is gemaakt in Azure Key Vault.

Volledige voorbeeld van Ansible-playbook

In deze sectie vindt u het volledige Voorbeeld van een Ansible-playbook voor het configureren van een Azure Windows-VM met behulp van een sleutelkluisgeheim.

---
- name: Create Azure VM
  hosts: localhost
  connection: local
  gather_facts: false
  collections:
    - azure.azcollection

  vars:
    vault_uri: <key_vault_uri>
    secret_name: <key_vault_secret_name>

  tasks:

  - name: Get latest version of a secret
    azure_rm_keyvaultsecret_info:
      vault_uri: "{{ vault_uri }}"
      name: "{{ secret_name }}"
    register: kvSecret

  - name: Set secret fact
    set_fact: secret_value="{{ kvSecret['secrets'][0]['secret'] }}"

  - name: Create resource group
    azure_rm_resourcegroup:
      name: myResourceGroup
      location: eastus

  - name: Create virtual network
    azure_rm_virtualnetwork:
      resource_group: myResourceGroup
      name: vNet
      address_prefixes: "10.0.0.0/16"

  - name: Add subnet
    azure_rm_subnet:
      resource_group: myResourceGroup
      name: subnet
      address_prefix: "10.0.1.0/24"
      virtual_network: vNet

  - name: Create public IP address
    azure_rm_publicipaddress:
      resource_group: myResourceGroup
      allocation_method: Static
      name: pip
    register: output_ip_address

  - name: Output public IP
    debug:
      msg: "The public IP is {{ output_ip_address.state.ip_address }}"
  
  - name: Create Network Security Group
    azure_rm_securitygroup:
      resource_group: myResourceGroup
      name: networkSecurityGroup
      rules:
        - name: 'allow_rdp'
          protocol: Tcp
          destination_port_range: 3389
          access: Allow
          priority: 1001
          direction: Inbound

  - name: Create a network interface
    azure_rm_networkinterface:
      name: nic
      resource_group: myResourceGroup
      virtual_network: vNet
      subnet_name: subnet
      security_group: networkSecurityGroup
      ip_configurations:
        - name: default
          public_ip_address_name: pip
          primary: True

  - name: Create VM
    azure_rm_virtualmachine:
      resource_group: myResourceGroup
      name: win-vm
      vm_size: Standard_DS1_v2
      admin_username: azureuser
      admin_password: "{{ secret_value }}"
      network_interfaces: nic
      os_type: Windows
      image:
          offer: WindowsServer
          publisher: MicrosoftWindowsServer
          sku: 2019-Datacenter
          version: latest
    no_log: true

Vervang <key_vault_uri> en door de juiste <key_vault_secret_name> waarden.

Resources opschonen

  1. Sla de volgende code op als delete_rg.yml .

    ---
- hosts: localhost
  tasks:
    - name: Deleting resource group - "{{ name }}"
      azure_rm_resourcegroup:
        name: "{{ name }}"
        state: absent
      register: rg
    - debug:
        var: rg

  2. Voer het playbook uit met behulp van de opdracht ansible-playbook. Vervang de tijdelijke aanduiding door de naam van de resourcegroep die moet worden verwijderd. Alle resources in de resourcegroep worden verwijderd.

    ansible-playbook delete_rg.yml --extra-vars "name=<resource_group>"

    Belangrijkste punten:

    • Vanwege de variabele register en sectie van het debug playbook worden de resultaten weergegeven wanneer de opdracht is voltooien.

Volgende stappen

Ansible in Azure