ansible学习之ansible-vault
相关文档参考:http://www.ansible.com.cn/docs/playbooks_vault.html#what-can-be-encrypted-with-vault
ansible-vault 功能介绍
Ansible-Vault是一个用于加密和管理Ansible playbook中敏感数据的工具。通过创建、编辑、加密、解密、查看和重置密码，可以安全地存储如用户名和密码等信息。在剧本中，可以使用vars_files加载加密的变量文件，并在运行playbook时使用--ask-vault-pass选项确保安全解密。
ansible-vault 子命令介绍
create 创建新的保险库加密文件
decrypt 解密保险库加密文件
edit 编辑保险库加密文件
view 查看保险库加密文件
encrypt 加密YAML文件
rekey 重设保险库加密文件的密钥
ansible-vault 子命令 实操演练
使用create 创建一个加密文件
# 对secret.yaml文件访问设置密码
[root@localhost ~]# ansible-vault create secret.yaml
New Vault password:
Confirm New Vault password:
# secret.yaml 文件中的内容（被加密）
passwd:123456
# 可以看出是使用 AES256 进行加密
[root@localhost ~]# cat secret.yaml
$ANSIBLE_VAULT;1.1;AES256
37656638623563636332376630303334306531333431373364363061316430663032323961633033
3437633732353534663566323139613939396139666364630a346336653039316665393435663463
61333335346363633966326430356164366235613834303734393461343432383361396462386330
3662666238653165640a366133653230356635666261393632643638393538366665616662323231
6439
使用 view 查看加密内容（需要输入访问密码）
[root@localhost ~]# ansible-vault view secret.yaml
Vault password:
passwd:123456
使用 edit 重新编辑 secret.yaml 的内容
[root@localhost ~]# ansible-vault edit secret.yaml
Vault password:
passwd:654321
[root@localhost ~]# ansible-vault view secret.yaml
Vault password:
passwd:654321
使用 encrypt 将已存在的yaml文件加密
[root@localhost ~]# cat foo.yaml
api: 12345678
[root@localhost ~]# ansible-vault encrypt foo.yaml
New Vault password:
Confirm New Vault password:
Encryption successful
[root@localhost ~]# ansible-vault view foo.yaml
Vault password:
api: 12345678
使用 rekey 重设访问密码
# 第一遍输入旧密码，第二遍输入新密码，第三遍确定密码
[root@localhost ~]# ansible-vault rekey foo.yaml
Vault password:
New Vault password:
Confirm New Vault password:
Rekey successful
使用 decrypt 还原加密的文件的内容
[root@localhost ~]# ansible-vault decrypt foo.yaml
Vault password:
Decryption successful
[root@localhost ~]# cat foo.yaml
api: 12345678
子命令都可以对多个文件使用
ansible-vault 在playbook中使用
创建密码库文件，在文件中添加key/value 字典。
[root@localhost ~]# ansible-vault create secret.yaml
New Vault password:
Confirm New Vault password:
PW: 123456
编写playbook文件，并导入密码库文件，并使用debug模块测试变量。
- hosts: all
vars_files:
- secret.yaml
tasks:
- name: Test variable
debug:
var: PW
访问密码库文件需要密码，所有需要使用 --ask-vault-pass 提示输入密码。
[root@localhost ~]# ansible-playbook --ask-vault-pass playbook.yaml
Vault password:
PLAY [all] **************************************************************************************************************************************************
TASK [Gathering Facts] **************************************************************************************************************************************
ok: [192.168.0.132]
TASK [Test variable] ****************************************************************************************************************************************
ok: [192.168.0.132] => {
"PW": 123456
}
PLAY RECAP **************************************************************************************************************************************************
192.168.0.132 : ok=2 changed=0 unreachable=0 failed=0 skipped=0 rescued=0 ignored=0
可以看出已经打印出了 PW 变量的值。
当然可以将密码库密码存放到文件中使用 --vault-password-file 导入就不用输入密码了
[root@localhost ~]# cat passwd.txt
123456
[root@localhost ~]# ansible-playbook playbook.yaml --vault-password-file ./passwd.txt
PLAY [all] **************************************************************************************************************************************************
TASK [Gathering Facts] **************************************************************************************************************************************
ok: [192.168.0.132]
TASK [Test variable] ****************************************************************************************************************************************
ok: [192.168.0.132] => {
"PW": 123456
}
PLAY RECAP **************************************************************************************************************************************************
192.168.0.132 : ok=2 changed=0 unreachable=0 failed=0 skipped=0 rescued=0 ignored=0
也可以在配置文件中指定密码存在文件位置，就不用指定了
[root@localhost ~]# cat /etc/ansible/ansible.cfg | grep vault
# specifying --vault-password-file on the command line.
#vault_password_file = /path/to/vault_password_file
原文地址：https://blog.csdn.net/qq_50247813/article/details/142763192
免责声明：本站文章内容转载自网络资源，如本站内容侵犯了原著者的合法权益，可联系本站删除。更多内容请关注自学内容网（zxcms.com）！