【ルール説明・safety】risky-octal #Ansible

こちらの記事はAnsible lint Advent Calendar 2022 18日目の記事になります。

今回はルールrisky-octalについて説明します。

risky-octal

risky-octalはファイルやディレクトリのパーミッションが8進数で記載された場合先頭の0を含むもしくはu+rwxやu=rw,g=r,o=rなどの記号モードで書かれているかを検証します。

YAMLで整数または8進数の値を使用すると、予期しない動作になることがあります。たとえば、YAMLローダーは0644を10進数の420として解釈しますが、644と記載すると意図した結果にならない時があります。

以下はパーミッションを設定する機能があるモジュールです。（他にもあるかもしれません）

また上記のそれぞれのAnsibleモジュールのパーミッションの設定項目の説明を見る限り8進数で指定した方が良いみたいです。

禁止事項として記載はされてはないのですが、u+rwxやu=rw,g=r,o=rなどの記号モードは採用しない方が良いような雰囲気はそれぞれのモジュールの説明からは読み取れます。

問題のあるコード

---
- name: Example playbook
  hosts: localhost
  tasks:
    - name: Unsafe example of declaring Numeric file permissions
      ansible.builtin.file:
        path: /etc/foo.conf
        owner: foo
        group: foo
        mode: 644

修正されたコードその１

---
- name: Example playbook
  hosts: localhost
  tasks:
    - name: Safe example of declaring Numeric file permissions (1st solution)
      ansible.builtin.file:
        path: /etc/foo.conf
        owner: foo
        group: foo
        mode: 0644 # <- 先頭に「0」を付与する

修正されたコードその２

---
- name: Example playbook
  hosts: localhost
  tasks:
    - name: Safe example of declaring Numeric file permissions (2nd solution)
      ansible.builtin.file:
        path: /etc/foo.conf
        owner: foo
        group: foo
        mode: "0644" # <- ダブルクウォートで囲み文字列に変換する

パーミッションを設定しないとどのような権限でファイルやディレクトリが作成されるのか

しっかり調べてないですがおそらくシステムのunmaskの設定によると思われます。CentOSだとファイル作成時のパーミッションは644、ディレクトリ作成時は775です。これは大きすぎる権限かもしれません。

しかしAnsible lintを採用すればこれらは解決されます。Ansible lintではファイルやディレクトリの作成時はパーミションが付与されていないとエラーになりますがこれはrisky-file-permissionsにより検証されます。

Ansibleでファイルやディレクトリを作成する際は常にパーミッションに注意を払います。

参考サイト

risky-octal — Ansible Lint Documentation