Gerenciamento automático do certificado SSL em vários servidores… bom ou ruim

Question

Estamos usando o fantoche para gerenciar um grupo de caixas do Ubuntu e, em breve, exigiremos que cada um desses servidores compartilhe um certificado SSL comum para exibir um site em HTTPS. Naturalmente, gostaríamos de usar o fantoche para gerenciar o certificado, mas estamos conscientes do fato de que colocá-lo em um VCS (de onde o mestre de marionetes recebe seus módulos) pode não ser uma ótima idéia - por causa das implicações de segurança. / p>

Existe alguma solução melhor de que qualquer um esteja ciente?

    

Answer 1

Divulgação: Eu sou um dos desenvolvedores do Puppet.

A prática geral é usar uma montagem de servidor de arquivos especial que ofereça o conteúdo e, em seguida, ter uma ACL permitindo que apenas os sistemas específicos obtenham os arquivos. Isso permite que você use uma especificação source => 'puppet://...' sem precisar que ela venha do mesmo lugar que os outros módulos.

Você também pode olhar para o módulo hiera-gpg , como documentado aqui , fonte aqui . Isso permite alguma proteção para o conteúdo em termos de exposição, de modo que apenas pessoas aprovadas, e pessoas com acesso suficiente ao mestre Puppet possam hackear o código para obter os dados, possam lê-lo.