salt-stack - 如何在 master 上接受 salt minion 的 key 指纹之前验证它？

Question

当我构建一个新服务器时，我会在使用 ssh 通过网络进行初始连接之前从控制台收集 ssh key 指纹。我希望在使用盐时能够获得相同的带外保证。

使用 salt，当一个新的 minion 启动时，它会生成一个 RSA key 并向 salt-master 提交请求。我可以用 salt-key -p <newminion>查看整个 key 并将其与小黄人的 /etc/salt/pki/minion/minion.pub 进行比较，但我宁愿使用较短的指纹salt-key -f <newminion>显示。

我怎样才能让minion显示自己的 key 指纹？奴才没有 salt-key命令 ...

Answer 1

在 minion 上以本地模式运行 salt-call 请求 key.finger :

salt-call --local key.finger

如果您的盐是旧的，或者您没有 key.finger ，您可以使用 cat、grep 和 md5sum，如 issue 3706 中所述:

cat /etc/salt/pki/minion/minion.pub | grep -v -e BEGIN -e END | md5sum