Задача password: "{{ db_password }}" без no_log: true выводит пароль в вывод Ansible и в логи CI, а db_password, записанный в group_vars, навсегда остается в истории git. Этот навык находит такие проблемы и еще шесть рискованных настроек Ansible и подсказывает, как исправить каждую из них.

Ваш агент запускает сканер для плейбуков, ролей (tasks, handlers, defaults, vars), инвентарей (YAML или INI), файлов group_vars и host_vars, а также ansible.cfg. Он понимает блоки, обработчики, короткие и полные имена модулей (apt или ansible.builtin.apt), аргументы key=value и args:, а значения !vault и шаблоны считает безопасными. Он возвращает BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного подхода. Секретные значения никогда не выводятся.

Что проверяется

BLOCK (исправить до выпуска)

• A01: пароль, токен или ключ открытым текстом в vars или в параметре модуля

• A02: curl или wget с передачей в оболочку через пайп в задаче shell, command или raw

REVIEW (проверить перед релизом)

• A11: секрет, передаваемый в задачу без no_log: true

• A12: validate_certs: no или curl -k

• A13: режим с правом записи для всех, например 0777

• A14: state: latest в задачах установки пакетов

• A15: git checkout ветки вместо тега или коммита

• A16: отключенная проверка ключей хоста SSH

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)

• Справочник правил с причиной и более безопасным подходом для каждого правила

• Рискованный и безопасный примеры плейбуков, а также реальный отчет сканера по рискованному

Ограничения

Сканер читает текст YAML и не выполняет Jinja, не подставляет переменные из других файлов и не следует за include_tasks и ролями из коллекций. NOT FLAGGED не является гарантией.

Состав

Один ZIP-файл с 9 файлами: SKILL.md, сканер в scripts/ (3 файла Python), references/rules.md (все правила с причиной и более безопасным подходом) и examples/ (3 файла-примера, а также report.md, реальный вывод сканера для рискованного примера).

Как использовать: Это навык для агента: папка с файлом SKILL.md и скриптами на Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте архив в папку навыков вашего агента (для Claude Code: ~/.claude/skills/), а затем попросите агента проверить ваш проект. Скрипты также работают самостоятельно с Python 3.9 или новее, ничего устанавливать не нужно. Они только читают ваши файлы: без доступа к сети, никакие данные никуда не отправляются.