Procédure

1. Obtenir le ticket d'octroi de ticket Kerberos (TGT) pour idm_user:

   $ kinit idm_user

2. Utilisez la commande ipa vault-add avec l'option --type standard pour créer un coffre-fort standard :

   $ ipa vault-add my_vault --type standard
   ----------------------
   Added vault "my_vault"
   ----------------------
     Vault name: my_vault
     Type: standard
     Owner users: idm_user
     Vault user: idm_user

   Important

   Assurez-vous que le premier coffre-fort d'un utilisateur est créé par le même utilisateur. La création du premier coffre-fort d'un utilisateur crée également le conteneur de coffre-fort de l'utilisateur. L'agent de la création devient le propriétaire du conteneur de l'espace de stockage.

   Par exemple, si un autre utilisateur, tel que admin, crée le premier coffre-fort d'utilisateur pour user1, le propriétaire du conteneur de coffre-fort de l'utilisateur sera également admin, et user1 ne pourra pas accéder au coffre-fort d'utilisateur ou créer de nouveaux coffres-forts d'utilisateur.

3. Utilisez la commande ipa vault-archive avec l'option --in pour archiver le fichier secret.txt dans l'espace de stockage :

   $ ipa vault-archive my_vault --in secret.txt
   -----------------------------------
   Archived data into vault "my_vault"
   -----------------------------------

Procédure

1. SSH à idm_client en tant que idm_user:

   $ ssh idm_user@idm_client.idm.example.com

2. Connectez-vous en tant que idm_user:

   $ kinit user

3. Utilisez la commande ipa vault-retrieve --out avec l'option --out pour récupérer le contenu de la chambre forte et l'enregistrer dans le fichier secret_exported.txt.

   $ ipa vault-retrieve my_vault --out secret_exported.txt
   --------------------------------------
   Retrieved data from vault "my_vault"
   --------------------------------------

Procédure

1. Naviguez jusqu'au répertoire /usr/share/doc/ansible-freeipa/playbooks/vault:

   $ cd /usr/share/doc/ansible-freeipa/playbooks/vault

2. Créer un fichier d'inventaire, par exemple inventory.file:

   $ touch inventory.file

3. Ouvrez inventory.file et définissez le serveur IdM que vous souhaitez configurer dans la section [ipaserver]. Par exemple, pour demander à Ansible de configurer server.idm.example.com, entrez :

   [ipaserver]
   server.idm.example.com

4. Faites une copie du fichier ensure-standard-vault-is-present.yml Ansible playbook. Par exemple :

   $ cp ensure-standard-vault-is-present.yml ensure-standard-vault-is-present-copy.yml

5. Ouvrez le fichier ensure-standard-vault-is-present-copy.yml pour le modifier.

6. Adaptez le fichier en définissant les variables suivantes dans la section ipavault task :

   • Fixer la variable ipaadmin_principal à idm_user.
   • Définissez la variable ipaadmin_password avec le mot de passe de idm_user.
   • Fixer la variable user à idm_user.
   • Fixer la variable name à my_vault.

   • Fixer la variable vault_type à standard.

     Il s'agit du fichier playbook Ansible modifié pour l'exemple actuel :

   ---
   - name: Tests
     hosts: ipaserver
     gather_facts: false
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - ipavault:
         ipaadmin_principal: idm_user
         ipaadmin_password: idm_user_password
         user: idm_user
         name: my_vault
         vault_type: standard

7. Enregistrer le fichier.

8. Exécutez le manuel de jeu :

   $ ansible-playbook --vault-password-file=password_file -v -i inventory.file ensure-standard-vault-is-present-copy.yml

Procédure

1. Naviguez jusqu'au répertoire /usr/share/doc/ansible-freeipa/playbooks/vault:

   $ cd /usr/share/doc/ansible-freeipa/playbooks/vault

2. Ouvrez votre fichier d'inventaire et assurez-vous que le serveur IdM que vous souhaitez configurer est répertorié dans la section [ipaserver]. Par exemple, pour demander à Ansible de configurer server.idm.example.com, entrez :

   [ipaserver]
   server.idm.example.com

3. Faites une copie du fichier data-archive-in-symmetric-vault.yml Ansible playbook, mais remplacez "symmetric" par "standard". Par exemple :

   $ cp data-archive-in-symmetric-vault.yml data-archive-in-standard-vault-copy.yml

4. Ouvrez le fichier data-archive-in-standard-vault-copy.yml pour le modifier.

5. Adaptez le fichier en définissant les variables suivantes dans la section ipavault task :

   • Fixer la variable ipaadmin_principal à idm_user.
   • Définissez la variable ipaadmin_password avec le mot de passe de idm_user.
   • Fixer la variable user à idm_user.
   • Fixer la variable name à my_vault.
   • Définissez la variable in avec le chemin d'accès complet au fichier contenant des informations sensibles.

   • Fixer la variable action à member.

     Il s'agit du fichier playbook Ansible modifié pour l'exemple actuel :

   ---
   - name: Tests
     hosts: ipaserver
     gather_facts: false
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - ipavault:
         ipaadmin_principal: idm_user
         ipaadmin_password: idm_user_password
         user: idm_user
         name: my_vault
         in: /usr/share/doc/ansible-freeipa/playbooks/vault/password.txt
         action: member

6. Enregistrer le fichier.

7. Exécutez le manuel de jeu :

   $ ansible-playbook --vault-password-file=password_file -v -i inventory.file data-archive-in-standard-vault-copy.yml

Procédure

1. Naviguez jusqu'au répertoire /usr/share/doc/ansible-freeipa/playbooks/vault:

   $ cd /usr/share/doc/ansible-freeipa/playbooks/vault

2. Ouvrez votre fichier d'inventaire et mentionnez, dans une section clairement définie, le client IdM sur lequel vous souhaitez récupérer le secret. Par exemple, pour demander à Ansible de récupérer le secret sur host01.idm.example.com, entrez :

   [ipahost]
   host01.idm.example.com

3. Effectuez une copie du fichier retrive-data-symmetric-vault.yml Ansible playbook. Remplacez "symétrique" par "standard". Par exemple :

   $ cp retrive-data-symmetric-vault.yml retrieve-data-standard-vault.yml-copy.yml

4. Ouvrez le fichier retrieve-data-standard-vault.yml-copy.yml pour le modifier.
5. Adapter le fichier en fixant la variable hosts à ipahost.

6. Adaptez le fichier en définissant les variables suivantes dans la section ipavault task :

   • Fixer la variable ipaadmin_principal à idm_user.
   • Définissez la variable ipaadmin_password avec le mot de passe de idm_user.
   • Fixer la variable user à idm_user.
   • Fixer la variable name à my_vault.
   • Définissez la variable out avec le chemin complet du fichier dans lequel vous souhaitez exporter le secret.

   • Fixer la variable state à retrieved.

     Il s'agit du fichier playbook Ansible modifié pour l'exemple actuel :

   ---
   - name: Tests
     hosts: ipahost
     gather_facts: false
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - ipavault:
         ipaadmin_principal: idm_user
         ipaadmin_password: idm_user_password
         user: idm_user
         name: my_vault
         out: /tmp/password_exported.txt
         state: retrieved

7. Enregistrer le fichier.

8. Exécutez le manuel de jeu :

   $ ansible-playbook --vault-password-file=password_file -v -i inventory.file retrieve-data-standard-vault.yml-copy.yml

Verification steps

1. SSH à host01 comme user01:

   $ ssh user01@host01.idm.example.com

2. Afficher le fichier spécifié par la variable out dans le fichier playbook Ansible :

   $ vim /tmp/password_exported.txt

Procédure

1. Connectez-vous en tant qu'administrateur :

   $ kinit admin

2. Obtenir la clé publique de l'instance de service. Par exemple, en utilisant l'utilitaire openssl:

   1. Générer la clé privée service-private.pem.

      $ openssl genrsa -out service-private.pem 2048
      Generating RSA private key, 2048 bit long modulus
      .+++
      ...........................................+++
      e is 65537 (0x10001)

   2. Générer la clé publique service-public.pem à partir de la clé privée.

      $ openssl rsa -in service-private.pem -out service-public.pem -pubout
      writing RSA key

3. Créez un coffre-fort asymétrique en tant que coffre-fort de l'instance de service et fournissez la clé publique :

   $ ipa vault-add secret_vault --service HTTP/webserver.idm.example.com --type asymmetric --public-key-file service-public.pem
   ----------------------------
   Added vault "secret_vault"
   ----------------------------
   Vault name: secret_vault
   Type: asymmetric
   Public key: LS0tLS1C...S0tLS0tCg==
   Owner users: admin
   Vault service: HTTP/webserver.idm.example.com@IDM.EXAMPLE.COM

   Le mot de passe archivé dans la chambre forte sera protégé par la clé.

4. Archiver le secret de service dans le coffre-fort de service :

   $ ipa vault-archive secret_vault --service HTTP/webserver.idm.example.com --in private-key-to-an-externally-signed-certificate.pem
   -----------------------------------
   Archived data into vault "secret_vault"
   -----------------------------------

   Cela permet de chiffrer le secret avec la clé publique de l'instance de service.

Procédure

1. Connectez-vous en tant qu'administrateur :

   $ kinit admin

2. Obtenir un ticket Kerberos pour le service :

   # kinit HTTP/webserver.idm.example.com -k -t /etc/httpd/conf/ipa.keytab

3. Récupérer le mot de passe du coffre-fort du service :

   $ ipa vault-retrieve secret_vault --service HTTP/webserver.idm.example.com --private-key-file service-private.pem --out secret.txt
   ------------------------------------
   Retrieved data from vault "secret_vault"
   ------------------------------------

Procédure

1. Archiver le nouveau secret dans le coffre-fort de l'instance de service :

   $ ipa vault-archive secret_vault --service HTTP/webserver.idm.example.com --in new-private-key-to-an-externally-signed-certificate.pem
   -----------------------------------
   Archived data into vault "secret_vault"
   -----------------------------------

   Cette opération écrase le secret actuel stocké dans le coffre-fort.

2. Récupérer le nouveau secret sur les instances de service non compromises uniquement. Pour plus de détails, voir Récupération d'un secret de service pour une instance de service IdM.

Procédure

1. Naviguez jusqu'au répertoire /usr/share/doc/ansible-freeipa/playbooks/vault:

   $ cd /usr/share/doc/ansible-freeipa/playbooks/vault

2. Obtenir la clé publique de l'instance de service. Par exemple, en utilisant l'utilitaire openssl:

   1. Générer la clé privée service-private.pem.

      $ openssl genrsa -out service-private.pem 2048
      Generating RSA private key, 2048 bit long modulus
      .+++
      ...........................................+++
      e is 65537 (0x10001)

   2. Générer la clé publique service-public.pem à partir de la clé privée.

      $ openssl rsa -in service-private.pem -out service-public.pem -pubout
      writing RSA key

3. Facultatif : Créez un fichier d'inventaire s'il n'existe pas, par exemple inventory.file:

   $ touch inventory.file

4. Ouvrez votre fichier d'inventaire et définissez le serveur IdM que vous souhaitez configurer dans la section [ipaserver]. Par exemple, pour demander à Ansible de configurer server.idm.example.com, entrez :

   [ipaserver]
   server.idm.example.com

5. Faites une copie du fichier ensure-asymmetric-vault-is-present.yml Ansible playbook. Par exemple :

   $ cp ensure-asymmetric-vault-is-present.yml ensure-asymmetric-service-vault-is-present-copy.yml

6. Ouvrez le fichier ensure-asymmetric-vault-is-present-copy.yml pour le modifier.
7. Ajoutez une tâche qui copie la clé publique service-public.pem du contrôleur Ansible vers le serveur server.idm.example.com.

8. Modifiez le reste du fichier en définissant les variables suivantes dans la section ipavault task :

   • Fixer la variable ipaadmin_password au mot de passe de l'administrateur de l'IdM.
   • Définissez le nom de la chambre forte à l'aide de la variable name, par exemple secret_vault.
   • Fixer la variable vault_type à asymmetric.
   • Définissez la variable service comme étant le principal du service propriétaire de la chambre forte, par exemple HTTP/webserver1.idm.example.com.

   • Réglez l'adresse public_key_file sur l'emplacement de votre clé publique.

     Il s'agit du fichier playbook Ansible modifié pour l'exemple actuel :

   ---
   - name: Tests
     hosts: ipaserver
     gather_facts: false
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Copy public key to ipaserver.
       copy:
         src: /path/to/service-public.pem
         dest: /usr/share/doc/ansible-freeipa/playbooks/vault/service-public.pem
         mode: 0600
     - name: Add data to vault, from a LOCAL file.
       ipavault:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: secret_vault
         vault_type: asymmetric
         service: HTTP/webserver1.idm.example.com
         public_key_file: /usr/share/doc/ansible-freeipa/playbooks/vault/service-public.pem

9. Enregistrer le fichier.

10. Exécutez le manuel de jeu :

    $ ansible-playbook --vault-password-file=password_file -v -i inventory.file ensure-asymmetric-service-vault-is-present-copy.yml

Procédure

1. Naviguez jusqu'au répertoire /usr/share/doc/ansible-freeipa/playbooks/vault:

   $ cd /usr/share/doc/ansible-freeipa/playbooks/vault

2. Facultatif : Créez un fichier d'inventaire s'il n'existe pas, par exemple inventory.file:

   $ touch inventory.file

3. Ouvrez votre fichier d'inventaire et définissez le serveur IdM que vous souhaitez configurer dans la section [ipaserver]. Par exemple, pour demander à Ansible de configurer server.idm.example.com, entrez :

   [ipaserver]
   server.idm.example.com

4. Faites une copie du fichier data-archive-in-asymmetric-vault.yml Ansible playbook. Par exemple :

   $ cp data-archive-in-asymmetric-vault.yml add-services-to-an-asymmetric-vault.yml

5. Ouvrez le fichier data-archive-in-asymmetric-vault-copy.yml pour le modifier.

6. Modifiez le fichier en définissant les variables suivantes dans la section ipavault task :

   • Fixer la variable ipaadmin_password au mot de passe de l'administrateur de l'IdM.
   • Attribuez à la variable name le nom de la chambre forte, par exemple secret_vault.
   • Définissez la variable service comme étant le propriétaire du service de la chambre forte, par exemple HTTP/webserver1.idm.example.com.
   • Définissez les services qui doivent avoir accès au secret de l'espace de stockage à l'aide de la variable services.

   • Fixer la variable action à member.

     Il s'agit du fichier playbook Ansible modifié pour l'exemple actuel :

   ---
   - name: Tests
     hosts: ipaserver
     gather_facts: false
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - ipavault:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: secret_vault
         service: HTTP/webserver1.idm.example.com
         services:
         - HTTP/webserver2.idm.example.com
         - HTTP/webserver3.idm.example.com
         action: member

7. Enregistrer le fichier.

8. Exécutez le manuel de jeu :

   $ ansible-playbook --vault-password-file=password_file -v -i inventory.file add-services-to-an-asymmetric-vault.yml

Procédure

1. Naviguez jusqu'au répertoire /usr/share/doc/ansible-freeipa/playbooks/vault:

   $ cd /usr/share/doc/ansible-freeipa/playbooks/vault

2. Facultatif : Créez un fichier d'inventaire s'il n'existe pas, par exemple inventory.file:

   $ touch inventory.file

3. Ouvrez votre fichier d'inventaire et définissez le serveur IdM que vous souhaitez configurer dans la section [ipaserver]. Par exemple, pour demander à Ansible de configurer server.idm.example.com, entrez :

   [ipaserver]
   server.idm.example.com

4. Faites une copie du fichier data-archive-in-asymmetric-vault.yml Ansible playbook. Par exemple :

   $ cp data-archive-in-asymmetric-vault.yml data-archive-in-asymmetric-vault-copy.yml

5. Ouvrez le fichier data-archive-in-asymmetric-vault-copy.yml pour le modifier.

6. Modifiez le fichier en définissant les variables suivantes dans la section ipavault task :

   • Fixer la variable ipaadmin_password au mot de passe de l'administrateur de l'IdM.
   • Attribuez à la variable name le nom de la chambre forte, par exemple secret_vault.
   • Définissez la variable service comme étant le propriétaire du service de la chambre forte, par exemple HTTP/webserver1.idm.example.com.
   • Définissez la variable in à "{{ lookup('file', 'private-key-to-an-externally-signed-certificate.pem') | b64encode }}", ce qui garantit qu'Ansible récupère le fichier contenant la clé privée dans le répertoire de travail du contrôleur Ansible plutôt que sur le serveur IdM.

   • Fixer la variable action à member.

     Il s'agit du fichier playbook Ansible modifié pour l'exemple actuel :

   ---
   - name: Tests
     hosts: ipaserver
     gather_facts: false
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - ipavault:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: secret_vault
         service: HTTP/webserver1.idm.example.com
         in: "{{ lookup('file', 'private-key-to-an-externally-signed-certificate.pem') | b64encode }}"
         action: member

7. Enregistrer le fichier.

8. Exécutez le manuel de jeu :

   $ ansible-playbook --vault-password-file=password_file -v -i inventory.file data-archive-in-asymmetric-vault-copy.yml

Procédure

1. Naviguez jusqu'au répertoire /usr/share/doc/ansible-freeipa/playbooks/vault:

   $ cd /usr/share/doc/ansible-freeipa/playbooks/vault

2. Facultatif : Créez un fichier d'inventaire s'il n'existe pas, par exemple inventory.file:

   $ touch inventory.file

3. Ouvrez votre fichier d'inventaire et définissez les hôtes suivants :

   • Définissez votre serveur IdM dans la section [ipaserver].
   • Définissez les hôtes sur lesquels vous souhaitez récupérer le secret dans la section [webservers]. Par exemple, pour demander à Ansible de récupérer le secret sur webserver1.idm.example.com, webserver2.idm.example.com, et webserver3.idm.example.com, entrez :

   [ipaserver]
   server.idm.example.com
   
   [webservers]
   webserver1.idm.example.com
   webserver2.idm.example.com
   webserver3.idm.example.com

4. Faites une copie du fichier retrieve-data-asymmetric-vault.yml Ansible playbook. Par exemple :

   $ cp retrieve-data-asymmetric-vault.yml retrieve-data-asymmetric-vault-copy.yml

5. Ouvrez le fichier retrieve-data-asymmetric-vault-copy.yml pour le modifier.

6. Modifiez le fichier en définissant les variables suivantes dans la section ipavault task :

   • Définissez la variable ipaadmin_password avec votre mot de passe d'administrateur IdM.
   • Attribuez à la variable name le nom de la chambre forte, par exemple secret_vault.
   • Définissez la variable service comme étant le propriétaire du service de la chambre forte, par exemple HTTP/webserver1.idm.example.com.
   • Définissez la variable private_key_file à l'emplacement de la clé privée utilisée pour récupérer le secret du coffre-fort de service.
   • Définissez la variable out à l'emplacement du serveur IdM où vous souhaitez récupérer le secret private-key-to-an-externally-signed-certificate.pem, par exemple le répertoire de travail actuel.

   • Fixer la variable action à member.

     Il s'agit du fichier playbook Ansible modifié pour l'exemple actuel :

   ---
   - name: Retrieve data from vault
     hosts: ipaserver
     become: no
     gather_facts: false
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Retrieve data from the service vault
       ipavault:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: secret_vault
         service: HTTP/webserver1.idm.example.com
         vault_type: asymmetric
         private_key: "{{ lookup('file', 'service-private.pem') | b64encode }}"
         out: private-key-to-an-externally-signed-certificate.pem
         state: retrieved

7. Ajouter une section au playbook qui récupère le fichier de données du serveur IdM vers le contrôleur Ansible :

   ---
   - name: Retrieve data from vault
     hosts: ipaserver
     become: no
     gather_facts: false
     tasks:
   [...]
     - name: Retrieve data file
       fetch:
         src: private-key-to-an-externally-signed-certificate.pem
         dest: ./
         flat: yes
         mode: 0600

8. Ajoutez une section au playbook qui transfère le fichier private-key-to-an-externally-signed-certificate.pem récupéré depuis le contrôleur Ansible vers les serveurs web répertoriés dans la section webservers du fichier d'inventaire :

   ---
   - name: Send data file to webservers
     become: no
     gather_facts: no
     hosts: webservers
     tasks:
     - name: Send data to webservers
       copy:
         src: private-key-to-an-externally-signed-certificate.pem
         dest: /etc/pki/tls/private/httpd.key
         mode: 0444

9. Enregistrer le fichier.

10. Exécutez le manuel de jeu :

    $ ansible-playbook --vault-password-file=password_file -v -i inventory.file retrieve-data-asymmetric-vault-copy.yml

Procédure

1. Naviguez jusqu'au répertoire /usr/share/doc/ansible-freeipa/playbooks/vault:

   $ cd /usr/share/doc/ansible-freeipa/playbooks/vault

2. Ouvrez votre fichier d'inventaire et assurez-vous que les hôtes suivants sont définis correctement :

   • Le serveur IdM dans la section [ipaserver].

   • Les hôtes sur lesquels vous souhaitez récupérer le secret dans la section [webservers]. Par exemple, pour demander à Ansible de récupérer le secret sur webserver1.idm.example.com et webserver2.idm.example.com, entrez :

     [ipaserver]
     server.idm.example.com
     
     [webservers]
     webserver1.idm.example.com
     webserver2.idm.example.com

   Important

   Assurez-vous que la liste ne contient pas le serveur web compromis, dans l'exemple actuel webserver3.idm.example.com.

3. Ouvrez le fichier data-archive-in-asymmetric-vault-copy.yml pour le modifier.

4. Modifiez le fichier en définissant les variables suivantes dans la section ipavault task :

   • Fixer la variable ipaadmin_password au mot de passe de l'administrateur de l'IdM.
   • Attribuez à la variable name le nom de la chambre forte, par exemple secret_vault.
   • Définissez la variable service comme étant le propriétaire du service de la chambre forte, par exemple HTTP/webserver.idm.example.com.
   • Définissez la variable in à "{{ lookup('file', 'new-private-key-to-an-externally-signed-certificate.pem') | b64encode }}", ce qui garantit qu'Ansible récupère le fichier contenant la clé privée dans le répertoire de travail du contrôleur Ansible plutôt que sur le serveur IdM.

   • Fixer la variable action à member.

     Il s'agit du fichier playbook Ansible modifié pour l'exemple actuel :

   ---
   - name: Tests
     hosts: ipaserver
     gather_facts: false
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - ipavault:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: secret_vault
         service: HTTP/webserver.idm.example.com
         in: "{{ lookup('file', 'new-private-key-to-an-externally-signed-certificate.pem') | b64encode }}"
         action: member

5. Enregistrer le fichier.

6. Exécutez le manuel de jeu :

   $ ansible-playbook --vault-password-file=password_file -v -i inventory.file data-archive-in-asymmetric-vault-copy.yml

7. Ouvrez le fichier retrieve-data-asymmetric-vault-copy.yml pour le modifier.

8. Modifiez le fichier en définissant les variables suivantes dans la section ipavault task :

   • Définissez la variable ipaadmin_password avec votre mot de passe d'administrateur IdM.
   • Attribuez à la variable name le nom de la chambre forte, par exemple secret_vault.
   • Définissez la variable service comme étant le propriétaire du service de la chambre forte, par exemple HTTP/webserver1.idm.example.com.
   • Définissez la variable private_key_file à l'emplacement de la clé privée utilisée pour récupérer le secret du coffre-fort de service.
   • Définissez la variable out à l'emplacement du serveur IdM où vous souhaitez récupérer le secret new-private-key-to-an-externally-signed-certificate.pem, par exemple le répertoire de travail actuel.

   • Fixer la variable action à member.

     Il s'agit du fichier playbook Ansible modifié pour l'exemple actuel :

   ---
   - name: Retrieve data from vault
     hosts: ipaserver
     become: no
     gather_facts: false
   
     vars_files:
     - /home/user_name/MyPlaybooks/secret.yml
     tasks:
     - name: Retrieve data from the service vault
       ipavault:
         ipaadmin_password: "{{ ipaadmin_password }}"
         name: secret_vault
         service: HTTP/webserver1.idm.example.com
         vault_type: asymmetric
         private_key: "{{ lookup('file', 'service-private.pem') | b64encode }}"
         out: new-private-key-to-an-externally-signed-certificate.pem
         state: retrieved

9. Ajouter une section au playbook qui récupère le fichier de données du serveur IdM vers le contrôleur Ansible :

   ---
   - name: Retrieve data from vault
     hosts: ipaserver
     become: yes
     gather_facts: false
     tasks:
   [...]
     - name: Retrieve data file
       fetch:
         src: new-private-key-to-an-externally-signed-certificate.pem
         dest: ./
         flat: yes
         mode: 0600

10. Ajoutez une section au playbook qui transfère le fichier new-private-key-to-an-externally-signed-certificate.pem récupéré depuis le contrôleur Ansible vers les serveurs web répertoriés dans la section webservers du fichier d'inventaire :

    ---
    - name: Send data file to webservers
      become: yes
      gather_facts: no
      hosts: webservers
      tasks:
      - name: Send data to webservers
        copy:
          src: new-private-key-to-an-externally-signed-certificate.pem
          dest: /etc/pki/tls/private/httpd.key
          mode: 0444

11. Enregistrer le fichier.

12. Exécutez le manuel de jeu :

    $ ansible-playbook --vault-password-file=password_file -v -i inventory.file retrieve-data-asymmetric-vault-copy.yml