Puppet 6迁移至8：Hiera存储二进制数据报错求助

问题根源 #

Puppet 8对数据类型校验和序列化的规则更严格：

• 直接加密二进制文件后存入Hiera，解密得到的原始二进制字符串包含非法UTF-8字符，用String类型接收会导致目录序列化失败（500错误）；
• 用Binary类型接收时，lookup返回的是解密后的字符串，无法自动转为Binary类型，触发类型不匹配错误。

解决步骤 #

核心思路是先把二进制数据转成合法UTF-8的Base64字符串，再加密存入Hiera，使用时解码回Binary类型。

1. Base64编码+eyaml加密
   先对二进制文件做Base64编码，再用eyaml加密：

   $ base64 -i binary.data | eyaml encrypt -f - > binary.data.b64.eyaml
   

2. 存入Hiera YAML
   将生成的eyaml内容按原有方式存入Hiera配置：

   test::func::data: >
       ENC[PKCS7,.....
       ...]
   

3. Puppet代码中解码并转换类型
   lookup解密得到Base64字符串后，用base64('decode')方法转成Binary类型，再传入定义：

   define test::func(
     Binary $data
   ) {
     # 示例：将二进制数据写入文件
     file { '/opt/target.bin':
       content => $data,
       mode    => '0640',
     }
   }
   
   test::func{ 'hello':
     data => base64('decode', lookup('test::func::data'))
   }
   

额外说明 #

• Base64编码会让数据体积增加约33%，但对于大多数二进制配置文件（如证书、小二进制包）完全可接受；
• 该方法兼容Puppet 6和8，迁移前后都能正常工作，无需额外适配。

内容的提问来源于stack exchange，提问作者greg