No Puppet, como eu protegeria uma variável de senha (neste caso, uma senha do MySQL)?

Estou usando o Puppet para provisionar o MySQL com uma classe parametrizada:

class mysql::server( $password ) {

        package { 'mysql-server': ensure => installed }
        package { 'mysql': ensure => installed }

        service { 'mysqld':
                enable => true,
                ensure => running,
                require => Package['mysql-server'],
        }

        exec { 'set-mysql-password':
                unless => "mysqladmin -uroot -p$password status",
                path => ['/bin', '/usr/bin'],
                command => "mysqladmin -uroot password $password",
                require => Service['mysqld'],
        }
}

Como posso proteger $password? Atualmente, removi a permissão legível por padrão do mundo do arquivo de definição de nó e dei explicitamente puppetpermissão de leitura via ACL.

Suponho que outras pessoas tenham se deparado com uma situação semelhante, então talvez exista uma prática melhor.

Ao trabalhar com o Puppet e o MySQL, costumo colocar a senha de root em /root/.my.cnf, bloquear esse arquivo e restringir o acesso SSH ao servidor de banco de dados.

Sim, armazenar a senha root no servidor db em texto não criptografado não é a solução mais segura. No entanto, se você escrever a senha root do mysql nesse arquivo, proteger a conta root do mysql para permitir logins apenas do host local manterá a senha fora do fantoche e também fora da pstabela da lista de processos .

Além disso, se alguém tiver acesso root para ler o arquivo em /root/.my.cnf, provavelmente também terá acesso para parar o daemon MySQL local e reiniciar o daemon sem a tabela users para obter acesso root imediato ao banco de dados.

Outra pessoa provavelmente pode apontar algum plug-in ou similar que me corrija, mas a maneira geral de fazer isso é armazenar a senha criptografada , não a senha de texto sem formatação.

No entanto, posso lhe dizer agora, o MySQL não permite que você use uma senha criptografada - caso contrário, essa seria a senha e o hash permitiria que você se logasse de qualquer maneira.

Existem muitos "hacks" disponíveis que permitem usar utilitários de terceiros, como Hiera e GPG . Obviamente, você pode criar suas próprias - mas mesmo as listas de discussão do Puppet sugerem esse método .

Você não especificou de quem está protegendo esta senha. Vou assumir que são outros administradores de sistema ou possivelmente desenvolvedores que têm acesso ao mestre de marionetes e / ou às caixas de clientes, mas não precisam saber a senha de root.

Para definir a senha inicialmente, você pode usar esta sintaxe:

GRANT ALL PRIVILEGES ON *.* TO 'root'@'localhost' IDENTIFIED BY PASSWORD '*6DF1FC54F0CCD999F55D59D3D88526878230C77C' WITH GRANT OPTION;

O que permitiria armazenar uma senha criptografada em sua configuração de fantoche, em vez de uma senha em texto sem formatação.

Para usar mysqladmine o mysqlcliente na linha de comando, o melhor que consigo pensar é adicionar um .my.cnfarquivo à sua configuração de marionetes que é implantada no diretório inicial do usuário apropriado. O arquivo no mestre de marionetes e nos clientes deve ter permissões de arquivo restritivas apropriadas.

Existem várias maneiras de contornar essas permissões de arquivo quando você adiciona fantoches à mistura (como escrever um exec () que extrai o arquivo dos clientes), mas parece haver uma melhoria no armazenamento da senha em um arquivo legível mundialmente. Isso seria mais difícil se você usar um sistema de versão para sua configuração de fantoches.

Este link sugere dois métodos: usando variáveis ​​de ambiente e subshell.

Eu acho que você também pode criar um invólucro simples em torno do seu comando mysqladmine passar sua senha criptografada para ele. Esse wrapper descriptografará a senha e a passará para mysqladmin. Você precisa proteger seu invólucro, pois ele contém a parte de descriptografia.

Você pode escolher a maneira que achar mais segura, com base no seu ambiente e em quem tem acesso ao seu sistema.