Ein Task mit password: "{{ db_password }}" ohne no_log: true gibt das Passwort in der Ansible-Ausgabe und in deinen CI-Logs aus, und ein in group_vars geschriebenes db_password bleibt für immer in der Git-Historie. Dieser Skill findet diese und sechs weitere riskante Ansible-Einstellungen und zeigt dir, wie du jede davon behebst.

Dein Agent führt einen Scanner über deine Playbooks, Rollen (tasks, handlers, defaults, vars), Inventories (YAML oder INI), group_vars- und host_vars-Dateien sowie ansible.cfg aus. Er liest Blöcke, Handler, kurze und vollständige Modulnamen (apt oder ansible.builtin.apt), key=value-Argumente und args: und behandelt !vault-Werte und Templates als sicher. Er liefert BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Begründung und einem sichereren Vorgehen. Geheime Werte werden nie ausgegeben.

Was geprüft wird

BLOCK (vor der Auslieferung beheben)

• A01: ein Passwort, Token oder Schlüssel im Klartext in vars oder einem Modulparameter

• A02: curl oder wget, per Pipe an eine Shell übergeben, in einem shell-, command- oder raw-Task

REVIEW (vor dem Release prüfen)

• A11: ein Secret, das ohne no_log: true an einen Task übergeben wird

• A12: validate_certs: no oder curl -k

• A13: ein für alle beschreibbarer Modus wie 0777

• A14: state: latest bei Paket-Tasks

• A15: ein Git-Checkout eines Branches statt eines Tags oder Commits

• A16: deaktivierte SSH-Host-Key-Prüfung

Was enthalten ist

• Der Scanner (Python 3.9+, nur Standardbibliothek)

• Ein Regelleitfaden mit Begründung und sichererem Vorgehen für jede Regel

• Ein riskantes und ein sicheres Beispiel-Playbook sowie der echte Bericht, den der Scanner für das riskante erstellt

Grenzen

Er liest YAML-Text und führt kein Jinja aus, löst keine Variablen aus anderen Dateien auf und folgt weder include_tasks noch Rollen aus Collections. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 9 Dateien: SKILL.md, der Scanner in scripts/ (3 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererem Vorgehen) und examples/ (3 Beispieldateien plus report.md, die echte Scanner-Ausgabe für das riskante Beispiel).

So verwendest du es: Dies ist ein Agent-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Coding-Agent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacke ihn in den Skills-Ordner deines Agenten (für Claude Code: ~/.claude/skills/) und bitte deinen Agenten dann, dein Projekt zu prüfen. Die Skripte laufen auch eigenständig mit Python 3.9 oder neuer, ohne dass etwas installiert werden muss. Sie lesen nur deine Dateien: kein Netzwerkzugriff, und nichts wird irgendwohin gesendet.