ansible学习之ansible-vault

相关文档参考:http://www.ansible.com.cn/docs/playbooks_vault.html#what-can-be-encrypted-with-vault

ansible-vault 功能介绍

Ansible-Vault是一个用于加密和管理Ansible playbook中敏感数据的工具。通过创建、编辑、加密、解密、查看和重置密码，可以安全地存储如用户名和密码等信息。在剧本中，可以使用vars_files加载加密的变量文件，并在运行playbook时使用--ask-vault-pass选项确保安全解密。

ansible-vault 子命令介绍

create              创建新的保险库加密文件
decrypt             解密保险库加密文件
edit                编辑保险库加密文件
view                查看保险库加密文件
encrypt        		加密YAML文件
rekey               重设保险库加密文件的密钥

ansible-vault 子命令 实操演练

使用create 创建一个加密文件

# 对secret.yaml文件访问设置密码
[root@localhost ~]# ansible-vault create secret.yaml
New Vault password: 	
Confirm New Vault password: 

# secret.yaml 文件中的内容（被加密）
passwd:123456

# 可以看出是使用 AES256 进行加密
[root@localhost ~]# cat secret.yaml
$ANSIBLE_VAULT;1.1;AES256
37656638623563636332376630303334306531333431373364363061316430663032323961633033
3437633732353534663566323139613939396139666364630a346336653039316665393435663463
61333335346363633966326430356164366235613834303734393461343432383361396462386330
3662666238653165640a366133653230356635666261393632643638393538366665616662323231
6439

使用 view 查看加密内容（需要输入访问密码）

[root@localhost ~]# ansible-vault view secret.yaml 
Vault password: 
passwd:123456

使用 edit 重新编辑 secret.yaml 的内容

[root@localhost ~]# ansible-vault edit secret.yaml 
Vault password:

passwd:654321

[root@localhost ~]# ansible-vault view secret.yaml 
Vault password: 
passwd:654321

使用 encrypt 将已存在的yaml文件加密

[root@localhost ~]# cat foo.yaml
api: 12345678

[root@localhost ~]# ansible-vault encrypt    foo.yaml
New Vault password: 
Confirm New Vault password: 
Encryption successful

[root@localhost ~]# ansible-vault view    foo.yaml
Vault password: 
api: 12345678

使用 rekey 重设访问密码

# 第一遍输入旧密码，第二遍输入新密码，第三遍确定密码
[root@localhost ~]# ansible-vault  rekey    foo.yaml
Vault password: 
New Vault password: 
Confirm New Vault password: 
Rekey successful

使用 decrypt 还原加密的文件的内容

[root@localhost ~]# ansible-vault  decrypt foo.yaml
Vault password: 
Decryption successful
[root@localhost ~]# cat foo.yaml 
api: 12345678

子命令都可以对多个文件使用

ansible-vault 在playbook中使用

创建密码库文件，在文件中添加key/value 字典。

[root@localhost ~]# ansible-vault create secret.yaml
New Vault password: 
Confirm New Vault password: 

PW: 123456

编写playbook文件，并导入密码库文件，并使用debug模块测试变量。

- hosts: all
  vars_files: 
    - secret.yaml
  tasks:
    - name: Test variable
      debug:
        var: PW

访问密码库文件需要密码，所有需要使用 --ask-vault-pass 提示输入密码。

[root@localhost ~]# ansible-playbook --ask-vault-pass playbook.yaml 
Vault password: 

PLAY [all] **************************************************************************************************************************************************

TASK [Gathering Facts] **************************************************************************************************************************************
ok: [192.168.0.132]

TASK [Test variable] ****************************************************************************************************************************************
ok: [192.168.0.132] => {
    "PW": 123456
}

PLAY RECAP **************************************************************************************************************************************************
192.168.0.132              : ok=2    changed=0    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0 

可以看出已经打印出了 PW 变量的值。

当然可以将密码库密码存放到文件中使用 --vault-password-file 导入就不用输入密码了

[root@localhost ~]# cat passwd.txt 
123456

[root@localhost ~]# ansible-playbook playbook.yaml  --vault-password-file ./passwd.txt 

PLAY [all] **************************************************************************************************************************************************

TASK [Gathering Facts] **************************************************************************************************************************************
ok: [192.168.0.132]

TASK [Test variable] ****************************************************************************************************************************************
ok: [192.168.0.132] => {
    "PW": 123456
}

PLAY RECAP **************************************************************************************************************************************************
192.168.0.132              : ok=2    changed=0    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0 

也可以在配置文件中指定密码存在文件位置，就不用指定了

[root@localhost ~]# cat /etc/ansible/ansible.cfg  | grep vault
# specifying --vault-password-file on the command line.
#vault_password_file = /path/to/vault_password_file