Vagrant 流浪汉/木偶/小狗有多安全？

如果我的问题很愚蠢，我很抱歉，但我认为安全总比抱歉好。对于服务器配置和DevOps，我只是一个初学者

我正在检查服务器配置管理工具，如Vagrant/Puppet/Puphpet。它们看起来非常强大，但我担心在生产环境中使用它们的安全性

例如，在部署到AWS时，我们需要指定AWS访问凭据（密钥和机密，以及密钥对）。如果使用Puphpet，您实际上需要将它们插入网站以创建脚本文件。我原样下载了脚本，并替换了代码中的凭据，但我仍然想知道信任这些外部工具（vagrant/puppet）来管理服务器上的配置有多安全

---

我只是有点偏执，还是这是一种可能的安全风险？

流浪汉、木偶和小狗彼此都不一样。 （1） Vagrant帮助您在几秒钟内生成带有预定义/自定义框的虚拟机。“Vagrantfile”中的配置应用于框。您可以启动服务器并通过它应用puppet代码。 （2） puPHPet也做同样的事情，但是与vagrant相比，它有一个很好的GUI和更高的抽象级别。当涉及到您想要的盒子类型时，它有各种选项可供选择。 （3） Puppet是一种配置管理工具，使用描述性语言编写模块并将其应用于服务器进行配置

现在谈到安全性，如果您的清单中有密钥/密码，我不建议您使用在线工具。但是你可以在本地机器上安装vagrant并使用它。如果您的puppet代码是您所在的devops团队的内部代码，那么在其中保存密码是非常安全的

---

注意：切勿将密码保存在代码中。

此处是PuPHPet的创建者。您的配置未保存到服务器，所有内容都已删除

我建议您在GUI上将条目留空，然后手动将其键入yaml文件

---

Puppet的源代码是开源的，非常欢迎您浏览zip文件中包含的所有Puppet模块。

您应该区分Puppet和Puppet，Vagrant，以及生成的配置程序所依赖的其他工具。他们的风险状况完全不同，而且基本上不相关。谢谢你的回答John。我同意puphpet比另一个风险更大，尤其是当你告诉它你所有的资历时。问题仍然是流浪汉和傀儡的剧本有多安全？是否有可能存在后门或漏洞？我知道这些工具有很多用户和良好的反馈，但严格地说，从安全的角度来看，这可能是一种风险吗？我相信你没有抓住John评论的重点。他指出你需要单独解决这些问题。