Надёжное хранение паролей

Хранение паролей сервисов в Vault

По умолчанию в конфигурационных файлах сервисов включено скрытие паролей с помощью Vault.

Пароли в конфигурационных файлах заменяются на конструкцию $(vault://secret_v2/data/deployments/<LCM FQDN>/passwords_yml#<ключ>), где <ключ> — имя параметра с паролем в файле passwords_yml (например, libvirt_sasl_password).

Для выключения хранения паролей сервисов в Vault выполните следующие действия:

1. Откройте веб-интерфейс GitLab.

2. Перейдите в репозиторий вашего региона project_k / deployments / <имя региона> и нажмите Edit → Web IDE.

3. Откройте файл globals.d/REGION.yml и задайте в нём параметр enable_config_vault со значением "no", чтобы выключить механизм хранения паролей в Vault:

   enable_config_vault: "no"
   

4. Сохраните изменения и выполните коммит в репозиторий.

5. Создайте новый пайплайн: Build > Pipelines > New pipeline.

6. Оставьте ветку по умолчанию, соответствующую установленному релизу.

7. Запустите пайплайн, нажав кнопку New pipeline.

8. Дождитесь завершения задач на этапе setup.

9. Запустите задачу deploy на этапе deploy и дождитесь её завершения.

После завершения пайплайна откройте конфигурационные файлы сервисов на узлах региона. В них должны отображаться пароли в открытом виде.

Сокрытие паролей в конфигурационных файлах и пайплайнах

Механизм enable_config_vault позволяет скрыть пароли в конфигурационных файлах на узлах региона и в логах пайплайнов. После включения этого механизма пароли в открытом виде не отображаются в конфигурационных файлах сервисов.

Для включения сокрытия паролей выполните следующие действия:

1. Зайдите в веб-интерфейс GitLab.

2. Перейдите в репозиторий вашего региона project_k / deployments / <имя региона>.

3. Нажмите Edit и выберите Web IDE.

   

   Открытие Web IDE в репозитории региона

4. Откройте файл globals.d/REGION.yml и добавьте параметр:

   enable_config_vault: "yes"
   

   

   Добавление параметра enable_config_vault в файл REGION.yml

5. Сохраните изменения и выполните коммит в репозиторий.

6. Перейдите в репозиторий региона и создайте новый пайплайн: Build > Pipelines > New Pipeline.

7. Оставьте ветку по умолчанию, соответствующую установленному релизу.

8. Запустите пайплайн, нажав кнопку New pipeline.

9. Дождитесь завершения задач на этапе setup.

10. Запустите задачу deploy на этапе deploy и дождитесь её завершения.

После завершения пайплайна откройте конфигурационные файлы сервисов на узлах региона. Пароли в открытом виде в них отображаться не должны.