如果你经常使用 Kubernetes，那么应该对 Helm 和 Kustomize 不陌生，这两个工具都是用来管理 Kubernetes 资源清单的，但是二者有着不同的工作方式。
有时需要对yaml文件中的某些敏感字段进行加密，这时就需要‘ansible-vault encrypt_string ’加密字符串，在使用过程中发现报错：Vault format unhexlify error: Odd-length string fatal，使用ansible-lint工具进行调试排查错误，本文记录了在使用过程中报错及解决的详细过程。
这次介绍的是在 SPIRE Server 和 Vault Server 之间建立 OIDC 联邦的方法。设置联邦之后，SPIRE 认证的工作负载就能使用 JWT-SVID 来通过 Vault Server 的认证。这样工作负载就无需使用 AppRole 或者用户名密码的方式来进行认证了。
模块化：调用特定的模块，完成特定任务 基于：Paramiko,PyYAML，Jinja2 支持自定义模块 基于Python语言实现 部署简单，基于python和SSH(默认已安装)，agentless 安全，基于OpenSSH 支持playbook编排任务 幂等性：一个任务执行1遍和执行n遍效果一样，不因重复执行带来意外情况 无需代理不依赖PKI（无需ssl） 可使用任何编程语言写模块,比如:java、Golang… YAML格式，编排任务，支持丰富的数据结构 较强大的多层解决方案 1.0 基础配置操作
HashiCorp Vault 是一个基于身份的 Secret 和加密管理系统。Secret 是您想要严格控制访问的内容，例如 API 加密密钥、密码或证书。Vault 提供由身份验证和授权方法控制的加密服务。使用 Vault 的 UI、CLI 或 HTTP API，可以安全地存储和管理对机密和其他敏感数据的访问、严格控制和可审计。
Golang开发者非常关心开发应用的安全性。随着Go Module应用越来越广泛，Golang开发者需要更多的方式来确保这些公共共享文件的安全。Golang1.13版本在创建Go Module时，通过增加go.sum文件来验证之后从GOPROXY再次访问到的该Module是否曾被篡改。这个机制有助于保证Module的完整性。但是，当初次创建并提交Go Module时，如果原始文件中被引入了恶意代码，这种安全漏洞还是不能被发现和预警的。
可以看到，这里的username和password字段都是占位符，不是一个有效的value。借助vault，可以将该secret部署到集群时自动替换相应的secret信息，达到如下效果：
Helm 作为 Kubernetes 的包管理工具和 CNCF 毕业项目，在业界被广泛使用。但在实际使用场景中的一些需求 helm 并不能很好的满足，需要进行一些修改和适配，如同时部署多个 chart、不同部署环境的区分以及 chart 的版本控制。Helmfile 就是一个能够很好解决这些问题的小工具。
本文记录了生产环境新增用户、修改密码、用户提权、用户资源限制修改、开启命令审计等操作。
本公众号分享的软件服务以及语言均源于网络，只做针对这些软件服务或者语言的使用实践进行分享和整理。本公众号不对任何人进行推荐，在使用这些软件或编程代码时有可能会引发一些问题，甚至导致数据丢失，请您自行承担相应的后果！本公众号概不负责! 若您觉得公众号发布的内容若侵犯到您的权益，请联系及时管理员沟通！
入口代理主要为接受来自外部网络的请求并根据自定义规则定义和行为将它们转发至集群上运行的服务的工作节点。
最近我写了一篇关于 CI 和 CD 之间核心区别的文章，我觉得是时候把这些理论运用到实际当中了。
很多时候我们可能都是直接将应用程序的密码或者 API Token 之类的私密信息直接暴露在源代码中的，显然直接暴露这些私密信息不是一个好的方式。在 Kubernetes 系统中提供了一个 Secret 对象来存储私密的数据，但是也只是简单的做了一次 Base64 编码而已，虽然比直接暴露要好点了，但是如果是一些安全性要求非常高的应用直接用 Secret 显然也还是不够的。本文就将来介绍如何使用 HashiCorp Vault 在 Kubernetes 集群中进行秘钥管理。
在多 Kubernetes 集群环境中，采用泛域名证书管理是一种有效策略。通过申请一个泛域名证书，你能够为同一根域名下的多个子域名提供安全的通信。使用泛域名证书（Wildcard Certificate）和 HashiCorp Vault 对于在多个 Kubernetes 集群中有效地管理证书是一个有效的策略。
在我们公司，我们尝试使用‘一切事物即代码’的模式，该模式涉及到可复制的基础架构，监控，任务等方面。但是在这篇文章当中，我将向你展示怎样将这种模式运用到 Jenkins 上。是的，我的意思是对于 Jenkins 完全可复制的配置，以及基础架构、插件、凭据、任务以及代码中的其他东西。另外，这篇文章你将解惑下面的疑问:
最近用到了腾讯云的归档存储，发现官方只有python的SDK，没有golang的。
confd支持两次操作模式：守护或仅一次。在守护模式下，confd会轮询后端的修改并在必要时对目的配置文件进行更新。
除了 application.properties 文件之外，还可以使用以下命名约定来定义特定于配置文件的属
Kubernetes 提供了 Secret 对象用于承载少量的机密/敏感数据，在实际使用中，有几种常规或者非常规的方式能够获取到 Secret 的内容：
Ansible是一个配置管理和配置工具，类似于Chef，Puppet或Salt。这是一款很简单也很容易入门的部署工具，它使用SSH连接到服务器并运行配置好的任务，服务器上不用安装任何多余的软件，只需要开启ssh，所有工作都交给client端的ansible负责。 关于Ansible的一个好处是，将bash脚本转换为可执行任务是非常容易的。我们可以编写自己的配置程序，但是Ansible更加干净，因为它可以自动在执行任务之前获取上下文。ansible任务是幂等的，没有大量额外的编码，ansible可以一次又一次地安全运，而bash命令这种幂等性。 ansible使用“facts”来确保任务的幂等安全运行， 它是在运行任务之前收集的系统和环境信息。ansible使用这些facts来检查状态，看看是否需要改变某些东西以获得所需的结果。这使得ansible可以让服务器一次又一次地运行可复制的任务。
ansible-galaxy 指令用于方便的从https://galaxy.ansible.com/ 站点下载第三方扩展模块，我们可以形象的理解其类似于centos下的yum、python下的pip或easy_install.
K8s 提供了 Secret 资源供我们来保存、设置一些敏感信息，比如 API endpoint 地址，各种用户密码或 token 之类的信息。在没有使用 K8s 的时候，这些信息可能是通过配置文件或者环境变量在部署的时候设置的。
APISIX API 网关提供负载均衡、动态上行、灰度发布、熔断、鉴权、可观测等丰富的流量管理功能。
为了一次性能够部署多套Kubernetes对象，我们使用Helm并把所有的charts都存放在单独的Git仓库里。为了能够部署一套完整的多个服务构成的应用栈，我们使用了叫作Umbrella的chart。它支持声明依赖并且允许我们使用一条命令行来启动我们的API和对应的服务。
一个系统是由5个java微服务组成的，分别是：vault, console, sso, privilege, session. 通常把它们运行在一个主机上，它们经常因为竞争内存资源而出现个别的服务崩溃，运行他们的主机内存大小不固定，如何用golang写一个启动程序，能根据主机内存的大小，合理的设计5个java微服务的堆栈内存配置，能调整5个服务分别所占系统内存的比重。
公司计划在年底做一次大型市场促销活动，全面冲刺下交易额，为明年的上市做准备。公司要求各业务组对年底大促做准备，运维部要求所有业务容量进行三倍的扩容，并搭建出多套环境可以共开发和测试人员做测试，运维老大为了在年底有所表现，要求运维部门同学尽快实现，当你接到这个任务时，有没有更快的解决方案？
title = '现代 IT 人一定要知道的 Ansible系列教程：playbook' date = 2023-12-23 draft = false summary = 'Ansible Playbook 提供了一个可重复、可重用、简单的配置管理和多机部署系统，非常适合部署复杂的应用程序。如果您需要多次使用 Ansible 执行任务，请编写一个 playbook 并将其置于源代码控制之下。然后，您可以使用 playbook 推出新配置或确认远程系统的配置。' tags = ["devops"]
将vault的helm repo克隆到本地，并checkout到最新版本v0.18.0：
Kubernetes 已经成为了容器编排方案的行业标准，而来自 HashiCorp 的 Vault 则是密码管理的标准。那问题来了: 怎样将这两项技术结合使用从而可以让你在 Kubernetes 的应用程序中使用来自于 Vault 中心实例的密码呢？
企业数据安全治理，除了熟悉法律法规条文，信息采集最小化，服务入口明确隐私协议外，更多的是需要建设内部基础能力，如数据识别、分类分级、数据加密、权限管控等数据安全的基础能力。 本文数据为中心的理念，围绕数据识别、分类分级、基础防护几个方面，结合开源软件做一次梳理和功能演示，希望能帮助有需要的人员对数据安全有个直观的了解。 在数据识别基础上，建立数据资产大盘，实现数据资产风险识别、监测、运营的资产全生命周期管理； 在数据分类分级的基础上，对不同数据资产进行分类、分级，将优势资源投入到关键资产的安全防护上； 在数
本文作者：neonliu，腾讯 CSIG 开发工程师 neon 是鹅厂的一位资深后台开发工程师，多年工作下来他总结了很多效率神器，今天分享给大家。 一. 开发工具 1)sql2go 用于将 sql 语句转换为 golang 的 struct. 使用 ddl 语句即可。 例如对于创建表的语句: show create table xxx. 将输出的语句，直接粘贴进去就行。 http://stming.cn/tool/sql2go.html 2)toml2go 用于将编码后的 toml 文本转换问 gol
以上只是一小部分关于default的相关配置，还有其他更多的配置这里暂时不一一列举。因为ansible的大部分参数都可以保持默认，无需更改。但是当你的被管理机器数量增加以后，建议将forks数量适当的调整。
不必太纠结于当下，也不必太忧虑未来，当你经历过一些事情的时候，眼前的风景已经和从前不一样了。——村上春树
📷 云原生安全 📷 1 专访腾讯安全副总裁董志强：我们该如何应对愈演愈烈的安全威胁？ 腾讯在网络安全方面有二十多年积攒，同时在攻防主战场“云安全”上有着丰富的实践经验。面对网络安全不断变化的趋势，我们
本文作者：neonliu，腾讯 CSIG 开发工程师 neon 是鹅厂的一位资深后台开发工程师，多年工作下来他总结了很多效率神器，今天分享给大家。 一. 开发工具 1)sql2go 用于将 sql 语句转换为 golang 的 struct. 使用 ddl 语句即可。 例如对于创建表的语句: show create table xxx. 将输出的语句，直接粘贴进去就行。 http://stming.cn/tool/sql2go.html 2)toml2go 用于将编码后的 toml 文本转换问 golan
Usage: ansible-playbook playbook.yml Options: --ask-vault-pass #ask for vault password #加密playbook文件时提示输入密码 -C, --check #don't make any changes; instead, try to predict some of the changes that m
Secret 是一种包含少量敏感信息例如密码、令牌或密钥的对象。 这样的信息可能会被放在 Pod 规约中或者镜像中。 使用 Secret 意味着你不需要在应用程序代码中包含机密数据。
定义了如何通过helm安装vault。这里定制了版本、helm repo和想要的value值。
Ansible Vault是一项允许用户加密Ansible项目中的值和数据结构的功能。这提供了保证Ansible成功运行敏感数据所必备的能力。
最近爆出不少公司代码泄露的新闻，像前不久的Bilibili后端代码被上传到Github，大疆因为前员工泄露公司源代码，致黑客入侵造成百万损失。生产环境代码泄露的危害，一方面是业务逻辑被不怀好意的人分析，容易被找出可利用的漏洞，当然更危险的是如果代码里面有一些明文存储secrets、Token、Api Key等，这些内容被别人拿到，服务就很容易遭到致命的攻击，给我们带来不可估量的损失 。所以合理存储程序中的secrets是十分有必要的。本文接下来简单给大家介绍解决以上问题方法密钥管理服务（Key Management Service，KMS）以及一款开源的密钥管理工具Vault。
Vault 是用于处理和加密整个基础架构秘钥的中心管理服务。Vault 通过 secret 引擎管理所有的秘钥，Vault 有一套 secret 引擎可以使用。
Ansible采用了与Puppet、Chef不一样的解决方案，不需要在受控机器上安装额外的客户端软件。原因是Ansible使用的是SSH协议与受控机器进行通信的，一般服务器默认有SSH服务。Ansible也因此被称为agentless (去客户端的)。
不论是开发Java还是你正在学习的Golang，都会遇到依赖管理问题。Java有牛逼轰轰的Maven和Gradle。 Golang亦有godep、govendor、glide、gvt、gopack等等，本文主要给大家介绍gilde。 glide是Golang的包管理工具，是为了解决Golang依赖问题的。 为什么需要glide？ 原因很简单，Go 语言原生包管理的缺陷。罗列一下golang的 get 子命令管理依赖有很多大缺陷：
应用程序通常通过使用专用的 Secret 存储来存储敏感信息，如密钥和 Token，用于与数据库、服务和外部系统进行身份验证的 Secret 等。通常这需要涉及到设置一个 Secret 存储，如 Azure Key Vault、Hashicorp Vault 等，并在那里存储应用程序级别的私密数据。为了访问这些 Secret 存储，应用程序需要导入 Secret 存储的 SDK，并使用它来访问私密数据，这可能需要相当数量的代码，这些代码与应用程序的实际业务领域无关，因此在可能使用不同供应商特定的 Secret 存储的多云场景中，这将成为更大的挑战。
Buf 是一款更高效、开发者友好的 Protobuf API 管理工具，不仅支持代码生成，还支持插件和 Protobuf 格式化。
据Bleeping Computer网站8月30日消息，威胁分析师发现了一个名为“GO#WEBBFUSCATOR”的新恶意软件活动，该活动依赖网络钓鱼电子邮件、恶意文档和来自詹姆斯韦伯望远镜的空间图像来传播恶意软件。 该恶意软件由 Golang 编写，Golang 因其跨平台的特性（Windows、Linux、Mac）以及对逆向工程和分析的强抵抗力而越发得到网络犯罪分子的青睐。在 Securonix 的研究人员最近发现的活动中，攻击者会在 VirusTotal 扫描平台上投放当前未被防病毒引擎标记为病毒的
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
即时通信 IM
ICP备案
对象存储
实时音视频
