为什么盐顶锉不应该使用谷物来匹配敏感的柱子？

Question

The Salt documentation says:

不要在柱子顶部文件中使用颗粒来匹配任何敏感柱子。

但它没有进一步详细说明，留下一些悬而未决的问题：

1. 首先：为什么不呢？我认为这是因为谷物是由仆从提供的，因此受损的仆从可能会在其任何谷物上撒谎以获取它不应该拥有的任何支柱数据，但我只是要求明确说明。

2. 最重要的是：应该支柱顶部文件用于匹配？为什么其他匹配器没有遇到与谷物相同的安全问题？比如minion不也提供自己的ID吗？

Answer 1

这是因为可以在minion的/etc/salt/grains文件中对minions任意设置grain。

除其他外，支柱是您存储敏感数据的地方，这些数据应该是每个 minion 私有的。

考虑 VPN 密钥：随机的 minions 不应该能够下载 openvpn 服务器的 CA 和证书，并且每个 minion 也不应该访问彼此的证书。

当您按 minion 定位时，您是通过附加到该 minion id 的 RSA 密钥定位的。这不能通过重命名随机奴才的奴才 id 来欺骗。