Question

我有一个配置文件，其中包含用户需要更改以适合其环境的字符串变量列表：

配置文件示例：

# first_file.yml

value_one: <UPDATE>
value_two: <UPDATE>

# second_file.yml

value_one: <UPDATE>
value_two: <UPDATE>

一旦用户更改了UPDATE值，我希望能够使用保管库对每个变量进行加密，然后再将加密的变量复制到注释中指定的文件中，如下所示：

# first_file.yml

value_one: !vault |
      $ANSIBLE_VAULT;1.1;AES256
      30663734346135353432323531336536636566643739656332613031636630383237666636366630
      6164633835363766666535656438306534343565636434330a626239396536373032373866353861
      37376665313438363561323262393337313266613237313065396338376438313737393234303434
      3035326633616339340a346164646366623932313261613662633938356662373438643831643830
      3432

value_two: !vault |
      $ANSIBLE_VAULT;1.1;AES256...

我不确定如何最好地解决此问题，主要挑战是如何：

成功加密每个变量，而无需加密整个文件
将加密的变量复制到指定的文件中

Answer 1

我只是综合考虑了这一点，但它适用于您的情况，保留了结构和缩进：

#!/bin/bash
IFS=; while read line; do
  # read key and value from line
  key=$( echo "${line}" | cut -d: -f1 )
  value=$( echo "${line}" | cut -d: -f2 | tr -d '\n' )

  # Get spaces to indent
  indent=$( echo "${key}" | grep -o '^ *' )

  # if value is not empty... 
  if [ -n "$value" ]; then
    # Encrypt value and indent
    cval=$( echo -n "${value## }" | sed -e "s/^'//" -e "s/'$//" | ansible-vault encrypt_string --vault-password-file ~/.ssh/vault_key.txt | sed "s/^ / ${indent}/")
  fi

  # if key is not empty...
  if [ -n "$key" ]; then
    echo -n "${key}: ${cval}"
  fi
  # End the line
  echo
  # unset cval
  unset cval
done < /dev/stdin

将其命名为encrypt_values.sh，运行chmod +x encrypt_values.sh，然后可以使用

运行它

cat {input-file} | ./encrypt_values.sh > {output_file}

如果您有一些奇怪的结构，请先通过yq运行文件以进行清理：

yq r {imput-file} | ./encrypt_values.sh > {output_file}

动态加密配置变量并将其放置在特定文件夹中

1 个答案: