6

我最近在这里的一个线程中的盐柱中看到了以下结构

/srv/pillar/ssh.sls：

ssh_certs:
{% if grains['fqdn'] == 'server1.example.com' %}
    dsa: |
        -----BEGIN DSA PRIVATE KEY-----
        {# key text goes here with consistant indentation... #}
        -----END DSA PRIVATE KEY-----
    ecdsa: |
        -----BEGIN ECDSA PRIVATE KEY-----
        {# key text goes here with consistant indentation... #}
        -----END ECDSA PRIVATE KEY-----
    rsa: |
        -----BEGIN RSA PRIVATE KEY-----
        {# key text goes here with consistant indentation... #}
        -----END RSA PRIVATE KEY-----
{% elif grains['fqdn'] == 'server2.example.com' %}
    # same as above but with different key texts of course....
{% endif %}

然后，该支柱通过*glob 在顶层文件中分发到集群中的所有节点。

问题：

由于我们未评估的模板包含整个集群的所有私钥，这有多安全？

我相信奴才会评估自己的盐配方。如果他们也评估自己的支柱，那么他们将暂时获得集群中每个节点的私钥！

如果我以某种方式获得了访问权限server2.example.com，我是否能够挖掘出未编译的模板？

提出这个问题的另一种方法是：支柱模板评估在哪里进行？

4

1 回答 1

7

Pillar 数据在 Salt Master 上编译，Pillar 字典直接加密发送到每个 Salt Minion。因此，每个仆从都没有机会获得该支柱文件的全部内容。

话虽如此，小黄人的谷物可以被篡改。您拥有的唯一绝对值是奴才的 id。不能篡改 minion ID，否则会导致 minion 的身份验证被拒绝。

于 2014-04-11T17:13:42.207 回答