eyaml 未在 Puppet Agent 上解密

Question

我们在 CentOS 7.6 上运行一个 Puppet 主服务器，并结合 puppet 的 repo (http://yum.puppetlabs.com/puppet6/el/7)

当我在定义变量的地方编写 eyaml 时，我只看到代理 (Windows 2016) 上的加密值。

在傀儡大师身上，我可以编辑 eyaml，一切看起来都很好。与标准安装的唯一区别是，一切都在不同的环境"myenv"中。

hiera.yaml：

---
version: 5
defaults:
datadir: data
data_hash: yaml_data
hierarchy:
### Encrypted eyaml files
- name: "Secret data: per-node, per-datacenter, common"
lookup_key: eyaml_lookup_key
path: "/etc/puppetlabs/code/environments/myenv/data/cmp/test/rdc/%{::trusted.certname}.eyaml"
options:
pkcs7_private_key: /etc/puppetlabs/puppet/eyaml/private_key.pkcs7.pem
pkcs7_public_key: /etc/puppetlabs/puppet/eyaml/public_key.pkcs7.pem
# Environments
- name: "env2"
glob: "env/test/*/%{::trusted.certname}.yaml"
- name: "env1"
glob: "env/test/%{::trusted.certname}.yaml"
# Components
- name: "cmp2"
glob: "cmp/test/*/%{::trusted.certname}.yaml"
- name: "cmp1"
glob: "cmp/test/%{::trusted.certname}.yaml"
# Others
- name: "Other YAML hierarchy levels"
paths:
- "common.yaml"

[ root @pup-mst-srv-10:/etc/puppetlabs/puppet]-$ puppetserver -v
puppetserver version: 6.3.0

[ root @pup-mst-srv-10:/etc/puppetlabs/puppet]-$ hiera -v
3.5.0

[ root @pup-mst-srv-10:/etc/puppetlabs/puppet]-$ eyaml version
[hiera-eyaml-core] hiera-eyaml (core): 3.0.0

[ root @pup-mst-srv-10:/etc/yum.repos.d]-$ puppetserver gem list -e hiera-eyaml
*** LOCAL GEMS ***
hiera-eyaml (3.0.0)

[ root @pup-mst-srv-10:/etc/eyaml]-$ cat config.yaml 
pkcs7_private_key: '/etc/puppetlabs/puppet/eyaml/private_key.pkcs7.pem'
pkcs7_public_key: '/etc/puppetlabs/puppet/eyaml/public_key.pkcs7.pem'

[ root @pup-mst-srv-10:/etc/puppetlabs/code/environments/myenv/data/cmp/test/rdc]-$ ls -l /etc/puppetlabs/puppet/eyaml/
total 8
-r--r--r--. 1 puppet puppet 1679 Jul 11 15:39 private_key.pkcs7.pem
-r--r--r--. 1 puppet puppet 1050 Jul 11 15:39 public_key.pkcs7.pem

[ root @pup-mst-srv-10:/etc/puppetlabs/code/environments/myenv/data/cmp/test/rdc]-$ eyaml edit rdc.eyaml 
---
classes:
- win_ad_abcd
win_ad_abcd::testpassword : DEC(1)::PKCS7[test12]!

[ root @pup-mst-srv-10:/etc/puppetlabs/code/environments/myenv/data/cmp/test/rdc]-$ cat rdc.eyaml 
---
classes:
- win_ad_abcd
win_ad_abcd::testpassword : ENC[PKCS7,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]

[ root @pup-mst-srv-10:/etc/puppetlabs/code/environments/myenv/modules/win_ad_abcd/manifests]-$ cat init.pp 
class win_ad_abcd (
$testpassword = "Not Set",
)
{
notify{"eyaml --> ${testpassword} <--":}
file { 'C:WindowsTemptest.out':
content => $testpassword,
}
}

我希望代理上的test.out文件中有"test12"的输出，但我总是得到加密的输出。

如果能有一些提示就太好了。

伊沃

Answer 1

我花了一些时间试图重现这个，但没有成功。根据这些信息，我也想不出会发生这种情况的任何原因。

在尝试创建一个最小、完整的示例时，我简化了设置，您可以尝试使用类似于我的设置的内容，看看是否仍然可以重现该问题。然后，添加与原始问题类似的其他复杂性，直到找到最小、完整、可验证的示例。如果您这样做，我们也许能够进一步提供帮助。

更简单的hiera.yaml：

---
version: 5
defaults:
datadir: data
data_hash: yaml_data
hierarchy:
- name: "Secret data: per-node, per-datacenter, common"
lookup_key: eyaml_lookup_key
path: "encrypted.yaml"
options:
pkcs7_private_key: ./keys/private_key.pkcs7.pem
pkcs7_public_key:  ./keys/public_key.pkcs7.pem

spec/fixtures/hiera/data/encrypted.yaml：

---
test: >
ENC[PKCS7,MIIBeQYJKoZIhvcNAQcDoIIBajCCAWYCAQAxggEhMIIBHQIBADAFMAACAQEw
DQYJKoZIhvcNAQEBBQAEggEAedQX8FExcat6yk0zsUzNbzQ/07w8ghPOw4eY
ycrfz0H7Cr7KnuBMY0yloFmtWuhYcjXETfaU3U3zGr9IOl4Aiy7yD3ZIvH0Y
HoEWKiJeUzNGrpaH/QFk378cEbpd6LXG46nMzw6w21uhASmvVt3KmZBJwY29
sEk2MpZm32H4JxQQosns4SDMQ6tA5h1xSrgpBTKd1x5vKSTsNnLAahjW31aH
JbK7Se+hHJ4zi9P0/ZjT07OTq1X2rwnfNK8wgKJa/VEDSH+KoNub+4TDHfj/
CWyGQx3Y5U1J2R2/6P5Vp2zRaAf/0BT43Ud/M8H25BIjYosuGtDVCVbbxMNK
mXZITDA8BgkqhkiG9w0BBwEwHQYJYIZIAWUDBAEqBBDEPKno3R1K0XNat4a9
uCuDgBAdp579qk9MbgWLXyXSBD80]

创建的密钥：

▶ eyaml createkeys                           
▶ ls keys                                                
private_key.pkcs7.pem   public_key.pkcs7.pem

创建密钥：

▶ eyaml encrypt -l 'test' -s 'mySecretString' >> 
spec/fixtures/hiera/data/encrypted.yaml

然后，我通过手动进一步编辑该文件来清理该文件以获取上面显示的内容。

我使用查找进行了测试：

▶ puppet lookup 
--hiera_config=spec/fixtures/hiera/hiera.yaml test
--- mySecretString

理论：

• 以上信息并不真正代表您的设置。
• 您实际上可以加密加密的字符串吗？

我排除的事情：

• 如果访问您的 eyaml 密钥时出现问题，则会看到错误。或者，如果 eyaml 库不可用。没有看到错误的事实表明键没问题，找到了eyaml_lookup_key函数，并且 eyaml 基本正常工作。

否则，看看你是否可以把它归结为一个真正最小的、可验证的、完整的示例。

Answer 2

谢谢亚历克斯，我用木偶创建了一个新的虚拟机，并按照你的描述设置它们。这帮助我发现了一个愚蠢的错误。

rdc.eyamleyaml加密密码，我有一个指向此文件的符号链接，如下所示myHostname.yaml

所以：myHostname.yaml->rdc.eyaml

将myHostname.yaml移至myHostname.eyaml后，一切正常。