如何借助Ansible基于单一seed生成可复用强密码及各类密钥凭证

问题1答复 #

Jinja和Ansible官方没有内置完全匹配你需求的to_strong_password类过滤器，但是可以通过内置过滤器组合实现基础的派生密码能力：

• 你可以先把种子、业务标识、inventory_hostname等参数拼接为固定字符串，用hash过滤器生成固定哈希值，再从哈希值中截取对应长度的字符，搭配大小写转换、插入特殊字符的逻辑，就能生成固定的强密码。

基础实现示例如下，可根据复杂度要求调整逻辑：

machine_root_password: >-
  {{ 
    (inventory_hostname + inventory_seed + 'root password') | hash('sha256') 
    | string 
    | reverse 
    | regex_replace('^(.)(.)(.)(.*)$', '\1\U\2\E\3!\4') 
    | truncate(16, end='') 
  }}

该方案不需要额外开发就能直接使用，缺点是密码复杂度规则调整灵活度有限。

问题2答复 #

lookup('password')确实不符合你的需求，它默认是随机生成密码且会本地持久化存储，不支持种子派生的可复现逻辑。

• 如果内置组合过滤器的方案能满足你的密码复杂度、长度要求，不需要自行开发。
• 如果需要灵活配置字符集、强制包含指定类型字符、自定义长度等能力，建议自行开发自定义过滤器，实现成本极低：只需要写一个几十行的Python函数，输入为拼接后的种子字符串，输出为符合要求的密码，放到Ansible项目的filter_plugins目录下即可直接使用，完全没有额外依赖，也不会本地存储任何敏感数据。

问题3答复 #

扩展生成X509证书、密钥对等敏感数据，推荐两种实现方式：

1. 基于自定义过滤器/ lookup插件实现：调用Python的cryptography库，用你的种子加业务标识作为输入的熵源，生成固定的私钥、CSR和自签名证书，只要输入种子不变，生成的凭证完全一致，适合需要全量派生、零额外配置的场景。
2. 结合Ansible官方openssl_*系列模块实现：先用之前的派生逻辑生成固定的私钥密码、私钥内容等参数，再传入openssl_privatekey、openssl_csr、openssl_certificate模块，只要传入的参数固定，生成的凭证也会保持一致，优点是不用手动处理加密逻辑，兼容性更好。

内容的提问来源于stack exchange，提问作者Gui13