AnsibleでCSVファイルから参照したパスワードでプロビジョニングする

本日、2本目のエントリーとなる渡辺です。

先ほどのエントリー（AnsibleによるIAMユーザの管理）では、IAM User/Groupを管理するiamモジュールを紹介しました。 その中でパスワードを扱う場合、valutを利用すると、サラりと紹介しました。 ところが、正直なところあまりvalutを使いたくありません。 編集する時もansibleを流す時にも、valutパスワードを入力するのが億劫なのです。

というわけで、lookupのcsvfileを使用し、パスワードを外部CSVファイルで管理する方法を紹介します。

外部ファイルを参照するlookup

Ansibleのlookupは、Ansibleから外部リソースを参照するための機能です。 テキストファイルやテンプレートを参照し、Ansibleのタスクに変数のように埋め込むことができます。

  tasks:
    - debug: msg="{{ lookup('file', '/etc/foo.txt') }}"

参照するファイルはリモートマシンではなく、ローカルマシンであることがポイントです。 Ansibleのプロジェクト配下以外からでもファイルを参照できるため、ローカルマシンにある秘密鍵などにアクセスすることも可能です。

CSVファイルのlookup

lookupの1つ目の引数にcsvfileを指定することで、CSVファイルを参照し、任意の行の任意のカラムの値を参照することができます。

  tasks:
    - debug: msg="{{ lookup('csvfile', 'KEY file=password.csv delimiter=,') }}"

第2引数はスペース区切りでパラメータを指定します。 はじめのパラメータは、CSVファイルの何行目から値を取得するかを特定するためのキーです。

CSVファイルでは1つ目のカラムがキーとなっている必要があります。 例えば、次のCSVファイルでは1つ目のカラムがユーザ名です。

NAME,PASSWORD
watanabe,pass1234
tanaka,pass5678

したがって、ユーザ名「watanabe」のパスワードを参照するには次のように指定します。

  tasks:
    - debug: msg="{{ lookup('csvfile', 'watanabe file=password.csv delimiter=,') }}"

KEYの後ろにはスペース区切りで、オプション=値を指定します。 必須となるオプションはファイル名（file）です。 CSVのデリミタのデフォルトはタブなので、カンマ区切りの場合はdelimiterを指定してください。

また、デフォルトで参照する値は2つ目のカラムです。 参照するカラムを変更する場合は、colオプションを指定してください。 colは0開始のインデックスなので、3つ目のカラムを指定する場合は、col=2となるので注意しましょう（デフォルトは1）。 その他のオプションはドキュメントを参照してください。

パスワードをCSVから参照して設定する

というわけで、iamモジュールを利用してパスワードを設定するPlaybookです。 グループ変数ではパスワードを管理せず、パスワードを外部CSVファイルから参照しています。

- hosts: localhost
  connection: local
  gather_facts: False
  vars:
    profile: default
    iam_users:
      - name: user1
      - name: user2
  tasks:
    - iam:
        iam_type: user
        name: "{{ item.name }}"
        state: present
        password: "{{ lookup('csvfile', item.name + ' file=password.csv delimiter=,') }}"
        profile: "{{ profile }}"
      with_items: "{{ iam_users }}"

NAME,PASSWORD
user1,pass1234
user2,pass5678

まとめ

Ansibleの定義ファイルにパスワードなどは含めたくありません。 しかし、valutを使うのは敷居が高いかと思います。

このような場合、lookupを利用し、外部定義ファイルから値を参照すると便利です。 外部定義ファイルはそのままパスワード一覧として利用できるでしょう。