Каков правильный способ добавления секретного файла по умолчанию к knife.rb?

Question

Каков правильный формат для добавления секретного файла в мой нож. Rb? У меня read the docs и, похоже, не получается правильно форматировать, или, возможно, он не работает.

Я попытался добавить как:

knife[:secret_file] = "/path/to/data_bag_secret" 

и

secret_file "/path/to/data_bag_secret" 

Ни один из них, кажется, зашифровать свои секреты, когда я использую knife data bag create bag key

Если я использую knife data bag create bag key --secret-file /path/to/data_bag_secret шифрует правильно, однако.

Он не кажется зашифрованным, когда я смотрю на пакеты данных на https://manage.chef.io, поэтому я думаю, что это не шифрование. Когда я вручную передаю переключатель, он правильно шифрует на https://manage.chef.io.

Answer 1

Так что это немного странно, но --secret-file не заполняет собственное значение конфигурации. Если вы посмотрите в https://github.com/chef/chef/blob/master/lib/chef/knife/data_bag_secret_options.rb#L48, вы увидите, что вместо него выполняется пользовательский proc, который определен ниже. Установка knife[:secret_file] все равно должна работать, но весь код, связанный с шифрованием пакетов, использует оба. В общем, вы бы не использовали data bag create для этого, хотя для первоначального создания мешка/предмета. Для общего использования используйте data bag from file. Также помните, что вам нужно удалить это значение из вашего файла конфигурации, чтобы фактически просмотреть зашифрованные данные, иначе knife data bag show расшифрует его для вас автоматически.

Answer 2

tl; dr: дополнительно передать в командной строке аргумент --encrypt флаг, если вы используете шеф-повар 12+. например knife data bag from file foo ./data_bags/foo.json --encrypt

С Chef 12 вы должны пройти в --encrypt флаге при использовании knife data bag [create|from file] команд для того, чтобы ваших knife[secret] или knife[secret_file параметров конфигурации в knife.rb. Главная проблема здесь в том, что документы шеф-повара еще не обновлены, чтобы указать как таковые. Если вы вызываете knife data bag [create|from file] --help, вы увидите объяснение опции --encrypt flag.

Ответ получен здесь: https://github.com/chef/chef/issues/3223#issuecomment-93338211.