问题描述
希望通过Salt Master将秘密传递给Minion，而不使用Pillar。具体来说，用户想要减少秘密的重复存储，比如SSL证书。他希望Salt Master从安全的源（如Azure Key Vault）中获取证书，然后将该值“共享”给指定的Minion。用户还希望限制Key Vault（秘密存储）的访问权限仅限于Salt Master。用户想要避免在GPG消息中存储值的传统方式。
解决方案
以下解决方案基于当前的技术和实践，但仍应注意版本变化和安全性考虑。
使用Pillar传递秘密
您可以使用Salt的Pillar功能来实现从Salt Master安全传递秘密到Minion。这可以确保只有Master可以从Key Vault获取秘密，并通过Pillar将其安全地传递给Minion。以下是操作步骤：
- 在Salt Master上配置SDB（Secure Data Backend）以连接到您的Azure Key Vault。这将允许Master从Key Vault获取秘密。
- 在Salt Master的Pillar配置中，使用
sdb.get函数来获取Key Vault中的秘密。您可以使用Minion的ID来动态构建Key Vault中的路径，以确保每个Minion只获取适用于自己的秘密。 - 将获取的秘密值存储在Pillar中，以便在Minion上使用。
以下是一个示例Pillar配置文件（pillar.example）：
# 在Salt Master上的pillar.example文件中
secrets:
ssl_cert: '{{ salt["sdb.get"]("azurekeyvault://certs/" ~ grains["id"]) }}'
在上面的示例中，我们定义了一个名为secrets的pillar键，其中存储了SSL证书的值。该值是通过sdb.get函数从Azure Key Vault中获取的，路径根据Minion的ID构建。
注意安全性和版本差异
请注意，在将秘密从Master传递到Minion的过程中，确保以下事项：
– 使用最新的Salt版本，以获得最新的安全修复和功能。
– 配置SDB和Key Vault时，严格遵循最佳安全实践，确保您的秘密在传输和存储过程中得到保护。
– 定期审查和更新您的配置，以适应可能的变化和安全漏洞。
其他方法的注意事项
除了使用Pillar，您还可以考虑其他方法来传递秘密，如使用Salt的密钥管理功能或自定义模块。然而，这些方法可能涉及更复杂的配置和实现细节，需要根据实际情况进行评估和决策。
总结
通过使用Salt的Pillar功能，您可以安全地将秘密从Salt Master传递到Minion，避免了在GPG消息中存储秘密的传统方式。确保遵循最佳安全实践，并始终注意版本变化和安全性问题。这将有助于确保秘密在传递和存储过程中得到适当的保护。