时间戳

首页 > 解决方案 > 是否可以通过 azure 中的 ansible 覆盖或创建新版本的秘密？

azure - 是否可以通过 azure 中的 ansible 覆盖或创建新版本的秘密？

问题描述

我需要通过 ansible 在 Azure 的 keyvault 中部署我的机密。

如果秘密是一个新的（即它以前不存在），它可以完美地工作，那么秘密就被正确地创建了。

当我需要更新秘密时，问题就来了，它永远不会被覆盖。我尝试删除它并再次创建它，但也没有工作，因为它执行软删除，因此可以使用相同的名称再次创建它。

这是我到目前为止所尝试的：

秘密创建（第一次工作正常但没有覆盖它）

 - name: "Create endpoint secret."
    azure_rm_keyvaultsecret:
      secret_name: mysecret
      secret_value: "desiredvalue"
      keyvault_uri: "https://{{ AZURE_KV_NAME }}.vault.azure.net/"
      tags:
          environment: "{{ ENV }}"
          role: "endpointsecret"

这是我尝试先删除它然后再次创建它的方法

  - name: "Delete endpoint secret."
    azure_rm_keyvaultsecret:
      secret_name: mysecret
      keyvault_uri: "https://{{ AZURE_KV_NAME }}.vault.azure.net/"
      state: "absent"

  - name: "Create endpoint secret."
        azure_rm_keyvaultsecret:
          secret_name: mysecret
          secret_value: "desiredvalue"
          keyvault_uri: "https://{{ AZURE_KV_NAME }}.vault.azure.net/"
          tags:
              environment: "{{ ENV }}"
              role: "endpointsecret"

尝试此错误时：

Secret mysecret is currently being deleted and cannot be re-created; retry later

**带状态的秘密创建：存在（它也不是创建新版本）**

 - name: "Create endpoint secret."
    azure_rm_keyvaultsecret:
      secret_name: mysecret
      secret_value: "desiredvalue"
      keyvault_uri: "https://{{ AZURE_KV_NAME }}.vault.azure.net/"
      state: "present"
      tags:
          environment: "{{ ENV }}"
          role: "endpointsecret"

知道如何覆盖（创建新版本）秘密或至少执行硬删除吗？

标签： azureansibleazure-keyvault

解决方案

我发现除了通过 ARM 部署它之外别无他法

- name: "Create ingestion keyvault secrets."
  azure_rm_deployment:
    state: present
    resource_group_name: "{{ AZURE_RG_NAME }}"
    location: "{{ AZURE_RG_LOCATION }}"
    template:
      $schema: "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#"
      contentVersion: "1.0.0.0"
      parameters:
      variables:
      resources:
        - apiVersion: "2018-02-14"
          type: "Microsoft.KeyVault/vaults/secrets"
          name: "{{AZURE_KV_NAME}}/{{item.name}}"
          properties:
            value: "{{item.secret}}"
            contentType: "string"
  loop: "{{ SECRETLIST }}"
  register: publish_secrets
  async: 300  # Maximum runtime in seconds.
  poll: 0  # Fire and continue (never poll)

- name: Wait for the secret deployment task to finish
  async_status:
    jid: "{{ publish_secrets_item.ansible_job_id }}"
  loop: "{{publish_secrets.results}}"
  loop_control:
    loop_var: "publish_secrets_item"
  register: jobs_publish_secrets
  until: jobs_publish_secrets.finished
  retries: 5
  delay: 2

然后在其他文件中将 SECRETLIST 声明为变量：

SECRETLIST :
  - name: mysecret
    secret: "secretvalue"
  - name: othersecret
    secret: "secretvalue2"

希望这对有类似问题的人有所帮助

推荐阅读