salt-stack - SaltStack 柱模板中的条件是否安全？

Question

我最近在一个线程中的盐柱中看到了以下结构here
/srv/pillar/ssh.sls :

ssh_certs:
{% if grains['fqdn'] == 'server1.example.com' %}
    dsa: |
        -----BEGIN DSA PRIVATE KEY-----
        {# key text goes here with consistant indentation... #}
        -----END DSA PRIVATE KEY-----
    ecdsa: |
        -----BEGIN ECDSA PRIVATE KEY-----
        {# key text goes here with consistant indentation... #}
        -----END ECDSA PRIVATE KEY-----
    rsa: |
        -----BEGIN RSA PRIVATE KEY-----
        {# key text goes here with consistant indentation... #}
        -----END RSA PRIVATE KEY-----
{% elif grains['fqdn'] == 'server2.example.com' %}
    # same as above but with different key texts of course....
{% endif %}

该支柱随后通过 * 分发到顶级文件中。 glob 到集群中的所有节点。
题:
由于我们未评估的模板包含我们整个集群的所有私钥，这有多安全？
我相信小黄人会评估他们自己的盐配方。如果他们也评估自己的支柱，那么他们将暂时获得集群中每个节点的私钥!
如果我以某种方式获得了访问 server2.example.com 的权限，我能挖出未编译的模板吗？
提出这个问题的另一种方式是:支柱模板评估在哪里进行？

Answer 1

Pillar 数据在 Salt Master 上编译，Pillar 字典直接加密发送到每个 Salt Minion。因此，每个小兵不可能获得整个支柱文件。

话虽如此，Minion 的 Cereal 可能会被篡改。您拥有的唯一绝对值是仆从的 id。在不导致 minion 的身份验证被拒绝的情况下，minion ID 不能被篡改。