Dane uwierzytelniające, zespoły i RBAC

AWX przechowuje klucze SSH, hasła i tokeny chmurowe jako poświadczenia, zaszyfrowane w swojej bazie danych, dzięki czemu sekrety nigdy nie znajdują się w playbookach ani w Git. 🔐

Każde poświadczenie ma typ, taki jak Machine, Source Control lub Amazon Web Services, który dokładnie określa, jakie pola AWX zbiera i wstrzykuje.

Po zapisaniu pola zawierające sekrety stają się tylko do zapisu: można je zastąpić, ale nie można ich ponownie odczytać, dzięki czemu skradziona sesja interfejsu nie ujawni wartości.

Poświadczenie typu Machine przechowuje nazwę użytkownika SSH, klucz i hasło do eskalacji uprawnień, których zadania używają do łączenia się z hostami i uzyskiwania uprawnień roota.

Każda osoba logująca się do AWX jest użytkownikiem. Uprawnienia można przyznawać bezpośrednio użytkownikowi, ale przy większej skali szybko staje się to trudne do zarządzania.

Zespół łączy użytkowników w grupę, dzięki czemu dostęp przyznaje się grupie tylko raz, a dodanie nowej osoby sprowadza się do przypisania jej do zespołu. 👥

Kontrola dostępu oparta na rolach przyznaje określone role do określonych obiektów, dzięki czemu użytkownik widzi i uruchamia wyłącznie to, czego wymaga jego praca.

W szablonie zadania można przyznać rolę Execute, aby je uruchamiać, lub Admin, aby je edytować. Dzięki temu operatorzy mogą uruchamiać zadania, ale nie mogą ich przepisywać.

Organizacja to najwyższy poziom zawierający projekty, inwentarze, zespoły i poświadczenia, dzięki czemu jedna instancja AWX może obsługiwać wielu odizolowanych dzierżawców.

RBAC pozwala stosować zasadę najmniejszych uprawnień: przyznawać minimalną rolę, która jest potrzebna. Audytorzy mogą odczytywać wyniki zadań, nie mając dostępu do poświadczeń.

Użytkownik może otrzymać możliwość używania poświadczenia w szablonie, nie mogąc nigdy wyświetlić jego sekretu, co rozdziela osoby uruchamiające zadania od osób znających sekrety. 🛡️

Poświadczenia chronią sekrety, udostępniając je wyłącznie do zapisu, zespoły grupują użytkowników, a RBAC przyznaje role zgodne z zasadą najmniejszych uprawnień dla poszczególnych obiektów, dzięki czemu każdy uruchamia tylko to, co powinien. ✅