Ansible vaultシークレット用のGit clean / smudgeフィルター

ansible-vaultコマンドを使用して、秘密を含むファイルを自動的に暗号化および復号化するために、gitでclean / smudgeフィルターを設定しようとしています。

ansible-vaultコマンドの特徴は、it等ではないことです（同じデータで呼び出されるたびに異なるバイナリを作成します）。

このブログページで提案されている実装から始めました。残念なことに、それは正しく機能しませんでした。汚れが呼び出されると（git checkout、または単にgitステータス）、秘密ファイルはgit用に変更されたように見えます。

だから、gitがインデックスにあるバイナリをクリーンフィルター処理された現在のファイルと比較するのではないかと思い、これらのスクリプトを次のように構築しようとしました。

#!/bin/sh -x
# clean filter, it is invoked with %f

if [ ! -r "$HOME/.vault_password" ]; then
  exit 1
fi

tmp=`mktemp`
cat > $tmp

# get the plain text from the binary in the index
tmphead=`mktemp`
git show HEAD:$1 > $tmphead
contenthead=`echo "embedded" | ansible-vault view $tmphead --vault-password-file=$HOME/.vault_password`
export PAGER=cat
echo -n "$contenthead" | tee $tmphead

# if current and index plain text version differ
if [ "`md5sum $tmp | cut -d' ' -f1`" != "`md5sum $tmphead | cut -d' ' -f1`" ]; then
  tmpcrypt=`mktemp`
  cp $tmp $tmpcrypt
  # generate a new crypted blob
  echo "embedded" | ansible-vault encrypt $tmpcrypt --vault-password-file=$HOME/.vault_password > /dev/null 2>&1
  cat "$tmpcrypt"
else
  # just return the HEAD version
  cat "$tmphead"
fi

rm $tmp $tmphead $tmpcrypt

ここでの違いは、プレーンテキスト（暗号化されていない）シークレットファイルの現在のバージョンとHEADバージョンを比較しようとし、それらが異なる場合のみ、ansible-vaultで暗号化された新しいバイナリBLOBを出力することです。

残念ながら、この変更の後、gitは秘密ファイルは常に変更されていると考え続けます。git add再度ファイルを実行した後でも、git blobが計算されるように、gitはファイルが異なると判断し、変更をコミットに反映します。git diff空の変更を返す必要があることに注意してください。

参考までに、これは汚れです。

#!/bin/sh

if [ ! -r "$HOME/.vault_password" ]; then
  exit 1
fi

tmp=`mktemp`
cat > $tmp

export PAGER='cat'
CONTENT="`echo "embedded" | ansible-vault view "$tmp" --vault-password-file=$HOME/.vault_password 2> /dev/null`"

if echo "$CONTENT" | grep 'ERROR: data is not encrypted' > /dev/null; then
  echo "Looks like one file was commited clear text"
  echo "Please fix this before continuing !"
  exit 1
else
  echo -n "$CONTENT"
fi

rm $tmp

これは差分です：

#!/bin/sh

if [ ! -r "$HOME/.vault_password" ]; then
  exit 1
fi

export PAGER='cat'
CONTENT=`echo "embedded" | ansible-vault view "$1" --vault-password-file=$HOME/.vault_password 2> /dev/null`

if echo "$CONTENT" | grep 'ERROR: data is not encrypted' > /dev/null; then
  cat "$1"
else
  echo "$CONTENT"
fi

ここでの問題は、ansible-vault暗号化のランダムソルトが原因です。VaultEditorクラスをハックして、ansible-vaultの引数からソルトを渡すことができます。ランダムソルトはlib/ansible/parsing/vault/__init__.pyこの行で生成されます。lib / ansible / cli / vault.pyから呼び出され、固定ソルトの引数を簡単に追加できます。変更する場合は、アップストリームパッチをAnsibleに送信してください。使用したいと思います。

この問題については、ハッカーのニュースでさらに説明します。その他の固定塩を取るツールと実装、すなわちあるgitcrypt、transcryptは。ansible-vault-toolsと呼ばれるansible-vaultを使用したもう1つの実装へのリンクもありますが、これは私が知る限り同じ塩問題を持っています。