如何在内存中存储临时敏感数据？Saltstack域加入场景求助

云上老周

2026-8-12

Saltstack自动化域加入场景下的加密密码临时存储方案建议

Saltstack Pillar内置加密方案
直接用Saltstack自带的PGP加密功能处理pillar里的密码字段，执行netdom命令时通过Salt渲染器实时解密注入，全程密码只在内存里流转，不会落地磁盘。
配置示例：
Pillar加密密码：
```
domain_join:
  user: domain_user
  password: |
    -----BEGIN PGP MESSAGE-----
    ... 加密后的密码内容 ...
    -----END PGP MESSAGE-----
```
Salt状态文件调用：
```
join_domain:
  cmd.run:
    - name: 'netdom join %computername% /domain:domain.com /UserD:{{ pillar['domain_join']['user'] }} /PasswordD:{{ pillar['domain_join']['password'] | gpg_decrypt }}'
    - shell: cmd
```
优势：完全依赖Salt原生能力，无需额外工具，无磁盘存储痕迹。
自定义Salt模块内存闭环处理
编写自定义Salt执行模块，在模块内部完成密码解密逻辑，直接构造并执行netdom命令，整个过程中密码仅存在于模块运行的内存空间，无任何中间存储环节。
模块片段示例：
```
def join_domain(domain, user, encrypted_pass):
    # 填入你的解密逻辑，将加密密码转为明文
    decrypted_pass = decrypt_function(encrypted_pass)
    cmd = f'netdom join %computername% /domain:{domain} /UserD:{user} /PasswordD:{decrypted_pass}'
    return __salt__['cmd.run'](cmd, shell='cmd')
```
优势：解密与执行全在内存闭环中完成，安全性拉满，无泄露风险。
Windows原生凭据管理器临时存储
借助Windows自带的cmdkey命令临时添加域用户凭据，netdom执行时会自动从凭据管理器读取密码，完成操作后立即删除临时凭据。
执行命令流程：
```
cmdkey /add:domain.com /user:domain_user /pass:decrypted_pass
netdom join %computername% /domain:domain.com /UserD:domain_user
cmdkey /delete:domain.com
```
优势：使用系统原生工具，无需第三方依赖，凭据仅临时存于内存缓存，执行完毕即刻清理，不会持久化到磁盘。