在Terraform中如何通过cloud-init传递机密信息

77次阅读

问题描述

在使用Terraform配置虚拟机时，可以通过cloud-init来配置刚刚创建的虚拟机。但问题是，通过user-data上传的cloud-init脚本，会被存储在OpenStack元数据服务器上，这意味着任何位于该虚拟机上的用户都可以通过运行以下命令获取这些用户数据：

curl http://169.254.169.254/latest/user-data

用户想知道是否有办法在cloud-init文件中传递机密信息，而不暴露给所有虚拟机用户。

解决方案

请注意以下操作可能存在版本差异，或涉及一些风险操作。在执行前请确保已做好备份，并充分了解操作的影响。

最佳解决方案

在cloud-init文件中传递机密信息的最佳方式是使用Terraform的template_file功能。这样可以在Terraform中动态生成cloud-init文件，将机密信息注入到文件中，而不必将敏感信息暴露在user-data中。

以下是示例步骤：

创建一个模板文件，例如cloud-init.tpl，其中包含cloud-init配置，但不包含敏感信息。

# cloud-init.tpl
# 包含其他配置...
runcmd:
  - echo "This is a sensitive secret: ${sensitive_secret}" > /path/to/secret/file
# 包含其他配置...

在Terraform配置文件中使用template_file来生成cloud-init文件，并将敏感信息注入模板中。

# main.tf
resource "template_file" "cloud_init" {
  template = file("${path.module}/cloud-init.tpl")

  vars = {
    sensitive_secret = "your_sensitive_secret_here"
  }
}

resource "openstack_compute_instance_v2" "example_instance" {
  # 其他配置...
  user_data = template_file.cloud_init.rendered
  # 其他配置...
}

在上面的示例中，我们创建了一个名为cloud_init的template_file资源，通过使用模板文件cloud-init.tpl和变量sensitive_secret来渲染cloud-init内容。然后，我们在创建OpenStack虚拟机实例时，将渲染后的cloud-init内容指定为user_data。

这样做的好处是，敏感信息不会直接暴露在user-data中，而是通过模板注入，提高了机密信息的安全性。

其他方案

除了上述最佳解决方案，还有一些其他思路可以考虑：

可以在虚拟机初始化完成后，在初始化脚本中使用防火墙规则限制对169.254.169.254的访问，从而限制对用户数据的访问。
可以在基础镜像中包含一个私钥，用于解密通过write-files、runcmd或bootcmd写入的加密内容。这样，敏感信息可以在虚拟机内部进行解密。
可以直接将机密信息存储在基础镜像中，或通过在配置过程中挂载的驱动器传递。

需要注意的是，不同的方案可能涉及到安全性、复杂性和版本差异等方面的考虑。选择适合你需求和情况的方案非常重要。