Ulli Horlacher <framstag@rus.uni-stuttgart.de> wrote:
> Ralph Aichinger <ralph@pi.h5.or.at> wrote:
>> Ulli Horlacher <framstag@rus.uni-stuttgart.de> wrote:
>>> Dann muss das password im Klartext gespeichert werden.
>>
>> Nein.
>>
>> 1. Kann man dann das Passwort dort eingeben oder speichern wo das
>> Ansible läuft, d.h. auf einem lokalen Rechner unter der eigenen Kontrolle.
>
> Es bleibt ein Password im Klartext. Geht nicht. Ende. Aus.

Ich habe jetzt ganz schlechte Neuigkeiten: an _irgendeinem_ Punkt
_muss_ das Passwort im Klartext rumfliegen. Nur kann man das halt
dann auch passend schützen:
- beim Transport: z.B. über ssh
- in Ruhe: z.B. auf verschlüsseltem Dateisystem

>> 2. Kann man das auch so skripten, dass das Passwort z.B. aus Vault oder
>> einer anderen Lösung kommt die Secrets verschlüsselt speichert.
>
> Dann braucht man das Password fuer die Verschluesselung (im Klaretext).
> man Rekursion

Schon klar, Schildkröten bis ganz runter. Aber man kann das Problem von
"Azubi muss nach Stromausfall mit Kladde voller Passwörter durch die
Serverfarm hasten und sich die Finger wundtippen" auf "Bereitschafts-
kollege entsperrt 2-3 key-server mit dem Passwort aus dem Panzerschrank
(weil kein TPM) und diese entsperren dann via Automatisierung über ssh
den Rest der Maschinen automatisch" reduzieren.

Man liest sich,
Alex.
--
"Opportunity is missed by most people because it is dressed in overalls and
looks like work." -- Thomas A. Edison