ansible学习之ansible-vault

相关文档参考:http://www.ansible.com.cn/docs/playbooks_vault.html#what-can-be-encrypted-with-vault

ansible-vault 功能介绍

Ansible-Vault是一个用于加密和管理Ansible playbook中敏感数据的工具。通过创建、编辑、加密、解密、查看和重置密码,可以安全地存储如用户名和密码等信息。在剧本中,可以使用vars_files加载加密的变量文件,并在运行playbook时使用--ask-vault-pass选项确保安全解密。

ansible-vault 子命令介绍

复制代码
create              创建新的保险库加密文件
decrypt             解密保险库加密文件
edit                编辑保险库加密文件
view                查看保险库加密文件
encrypt        		加密YAML文件
rekey               重设保险库加密文件的密钥

ansible-vault 子命令 实操演练

使用create 创建一个加密文件

bash 复制代码
# 对secret.yaml文件访问设置密码
[root@localhost ~]# ansible-vault create secret.yaml
New Vault password: 	
Confirm New Vault password: 
bash 复制代码
# secret.yaml 文件中的内容(被加密)
passwd:123456
bash 复制代码
# 可以看出是使用 AES256 进行加密
[root@localhost ~]# cat secret.yaml
$ANSIBLE_VAULT;1.1;AES256
37656638623563636332376630303334306531333431373364363061316430663032323961633033
3437633732353534663566323139613939396139666364630a346336653039316665393435663463
61333335346363633966326430356164366235613834303734393461343432383361396462386330
3662666238653165640a366133653230356635666261393632643638393538366665616662323231
6439

使用 view 查看加密内容(需要输入访问密码)

bash 复制代码
[root@localhost ~]# ansible-vault view secret.yaml 
Vault password: 
passwd:123456

使用 edit 重新编辑 secret.yaml 的内容

bash 复制代码
[root@localhost ~]# ansible-vault edit secret.yaml 
Vault password:
bash 复制代码
passwd:654321
bash 复制代码
[root@localhost ~]# ansible-vault view secret.yaml 
Vault password: 
passwd:654321

使用 encrypt 将已存在的yaml文件加密

bash 复制代码
[root@localhost ~]# cat foo.yaml
api: 12345678
bash 复制代码
[root@localhost ~]# ansible-vault encrypt    foo.yaml
New Vault password: 
Confirm New Vault password: 
Encryption successful
bash 复制代码
[root@localhost ~]# ansible-vault view    foo.yaml
Vault password: 
api: 12345678

使用 rekey 重设访问密码

bash 复制代码
# 第一遍输入旧密码,第二遍输入新密码,第三遍确定密码
[root@localhost ~]# ansible-vault  rekey    foo.yaml
Vault password: 
New Vault password: 
Confirm New Vault password: 
Rekey successful

使用 decrypt 还原加密的文件的内容

bash 复制代码
[root@localhost ~]# ansible-vault  decrypt foo.yaml
Vault password: 
Decryption successful
[root@localhost ~]# cat foo.yaml 
api: 12345678

子命令都可以对多个文件使用

ansible-vault 在playbook中使用

创建密码库文件,在文件中添加key/value 字典。

bash 复制代码
[root@localhost ~]# ansible-vault create secret.yaml
New Vault password: 
Confirm New Vault password: 
bash 复制代码
PW: 123456

编写playbook文件,并导入密码库文件,并使用debug模块测试变量。

bash 复制代码
- hosts: all
  vars_files: 
    - secret.yaml
  tasks:
    - name: Test variable
      debug:
        var: PW

访问密码库文件需要密码,所有需要使用 --ask-vault-pass 提示输入密码。

bash 复制代码
[root@localhost ~]# ansible-playbook --ask-vault-pass playbook.yaml 
Vault password: 

PLAY [all] **************************************************************************************************************************************************

TASK [Gathering Facts] **************************************************************************************************************************************
ok: [192.168.0.132]

TASK [Test variable] ****************************************************************************************************************************************
ok: [192.168.0.132] => {
    "PW": 123456
}

PLAY RECAP **************************************************************************************************************************************************
192.168.0.132              : ok=2    changed=0    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0 

可以看出已经打印出了 PW 变量的值。

当然可以将密码库密码存放到文件中使用 --vault-password-file 导入就不用输入密码了

bash 复制代码
[root@localhost ~]# cat passwd.txt 
123456
bash 复制代码
[root@localhost ~]# ansible-playbook playbook.yaml  --vault-password-file ./passwd.txt 

PLAY [all] **************************************************************************************************************************************************

TASK [Gathering Facts] **************************************************************************************************************************************
ok: [192.168.0.132]

TASK [Test variable] ****************************************************************************************************************************************
ok: [192.168.0.132] => {
    "PW": 123456
}

PLAY RECAP **************************************************************************************************************************************************
192.168.0.132              : ok=2    changed=0    unreachable=0    failed=0    skipped=0    rescued=0    ignored=0 

也可以在配置文件中指定密码存在文件位置,就不用指定了

bash 复制代码
[root@localhost ~]# cat /etc/ansible/ansible.cfg  | grep vault
# specifying --vault-password-file on the command line.
#vault_password_file = /path/to/vault_password_file
相关推荐
A林玖1 小时前
【计算机相关学习】R语言
开发语言·学习·r语言
狂奔solar1 小时前
ansible-playbook 写arm版达梦7数据库的一键安装脚本
ansible
浪淘沙jkp1 小时前
大模型学习三:DeepSeek R1蒸馏模型组ollama调用流程
学习·ollama·deepseek
nuo5342021 小时前
黑马 C++ 学习笔记
c语言·c++·笔记·学习
会讲英语的码农2 小时前
如何学习C++以及C++的宏观认知
开发语言·c++·学习
云上艺旅2 小时前
K8S学习之基础六十八:Rancher创建deployments资源
学习·云原生·容器·kubernetes·rancher
zhuyixiangyyds10 小时前
day21和day22学习Pandas库
笔记·学习·pandas
每次的天空10 小时前
Android学习总结之算法篇四(字符串)
android·学习·算法
晴天Y2810 小时前
ansible角色 role
ansible
在野靡生.11 小时前
Ansible(1)—— Ansible 概述
linux·运维·ansible