シェフ：暗号化されたデータバッグからユーザーのパスワードを設定する方法

Question

キッチン（1.5.0）と迷彩（1.8.1）のシェフを使用して、新しいサーバーで一貫してユーザーを管理しています。私のユーザーレシピは以下のようになります。私は明らかに私のパスワードを設定したところ

include_recipe "users" 

group 'sudo' 

password_secret = Chef::EncryptedDataBagItem.load_secret(node['enterprise_sp']['secret_file']) 

jays_password = Chef::EncryptedDataBagItem.load('user_secrets','jgodse', password_secret)['password'] 
shadow_password = `openssl passwd -1 -salt xyz #{jays_password}`.strip 

user 'jgodse' do 
    action :create 
    group 'sudo' 
    system true 
    shell '/bin/bash' 
    home '/home/jgodse' 
    manage_home true 
    password shadow_password #added to /etc/shadow when chef runs 
end 

暗号化されていないデータ袋でした。その後、ナイフコマンドでデータバッグを暗号化しました。

これは機能しますが、これはパスワードを設定する際の問題点のようなものです。私は、パスワードの指示がのユーザブロックだけがシャドウパスワードを取るので、それはopensslコマンドに砲撃することによってのみ生成できるからです。

シャドーパスワードを取得するクリーナーはありませんか？opensslパスワードを生成するコマンドですか？

Answer 1

パスワードを保存する必要はありません。あらかじめハッシュしておけば、最初にデータバッグにハッシュを入れるだけです。また、このような暗号化されたデータバッグを使用することは恐ろしいレベルの安全ではありません。シェフの暗号化ツールの脅威モデルに慣れるためにしばらく時間をとってください。そうではありません。

Answer 2

少なくとも、パスワードハッシュを事前に計算してデータバッグに入れます。

インスピレーションのためにhttps://github.com/chef-cookbooks/usersを参照してください。