有效使用 Ansible Vault 保护配置秘密的安全指南

Ansible 是一个强大的自动化引擎，但管理数据库密码、API 密钥和私有 SSH 密钥等敏感数据需要强大的安全措施。将这些凭证以明文形式存储在代码仓库中会带来重大的安全风险，违反了合规标准和最佳实践。

Ansible Vault 提供了一种解决方案，通过加密结构化变量文件或特定变量，确保秘密只在 Ansible 需要时才在运行时解密。本指南提供了一个实用、分步的教程，介绍如何将 Ansible Vault 集成到您的工作流程中，涵盖了管理加密文件的基本命令以及如何在您的 Playbook 中无缝使用这些秘密。

了解 Ansible Vault 的核心概念

Ansible Vault 使用强大的对称加密 (AES256) 来保护数据。其核心机制需要一个 Vault 密码，它充当主密钥。每次 Ansible 需要访问或修改加密内容时，都必须提供此密码。

为什么要使用 Ansible Vault？

安全性： 将敏感数据静态加密，防止仓库泄露。
合规性： 帮助满足要求凭证加密的行业标准（例如，PCI DSS，SOC 2）。
工作流程： 允许包含秘密的配置文件安全地提交到版本控制系统（如 Git）。

基本的 Ansible Vault 命令

ansible-vault 命令是一个独立的实用程序，用于在 Playbook 运行之外管理加密文件。

1. 创建一个新的 Vault 文件

要创建一个专门用于存储秘密的新文件，请使用 create 命令。它会立即提示您输入一个新的 Vault 密码，然后使用您的默认文本编辑器 ($EDITOR) 打开该文件。

ansible-vault create secrets/db_passwords.yml

示例内容（保存后的 db_passwords.yml）：

# This file is encrypted
db_user: app_admin
db_pass: HighlySecurePassword123!
api_key: abc-123-def-456

保存并关闭编辑器后，内容将被加密，文件即可提交到版本控制。

2. 查看加密内容

如果您需要快速查看 Vault 文件的内容而不进行编辑，请使用 view 命令。系统会提示您输入 Vault 密码。

ansible-vault view secrets/db_passwords.yml

3. 编辑现有 Vault 文件

edit 命令是修改秘密的主要方式。Ansible 会解密文件，在您的编辑器中打开它，并在保存时自动重新加密文件。

ansible-vault edit secrets/db_passwords.yml

提示： 确保您的 $EDITOR 环境变量设置正确（例如，export EDITOR=vim），以获得流畅的编辑体验。

4. 加密和解密现有文件

如果您有需要保护的现有明文文件，请使用 encrypt 命令。相反，decrypt 用于将加密文件恢复为明文（请谨慎使用，通常用于迁移）。

# Encrypt an existing file
ansible-vault encrypt plain_vars.yml

# Decrypt an existing vaulted file (Dangerous! Only use if necessary)
ansible-vault decrypt secured_vars.yml

5. 更改 Vault 密码（重新加密）

要更新 Vault 文件的主要密码，请使用 rekey 命令。这要求您提供当前密码，然后设置一个新密码。

ansible-vault rekey secrets/db_passwords.yml

这对于安全轮换或过渡到新的凭证管理系统至关重要。

将 Vault 秘密集成到 Ansible Playbook 中

文件加密后，您需要一种方法在 Playbook 执行期间加载它们并提供必要的 Vault 密码。

加载加密变量

加密变量文件与任何其他变量文件一样加载，通常在您的 Playbook 中使用 vars_files 指令。

Playbook 示例（site.yml）：

---
- name: Deploy application requiring database secrets
  hosts: webservers
  vars_files:
    - secrets/db_passwords.yml  # Ansible automatically detects this is vaulted

  tasks:
    - name: Ensure database user is configured
      ansible.builtin.template:
        src: config.j2
        dest: /etc/app/config.conf
        mode: '0600'
      # Variables like {{ db_user }} and {{ db_pass }} are now available

在执行期间提供 Vault 密码

Ansible 提供了几种安全的方法来提供 Vault 密码，而不会将其暴露在历史记录或脚本中。

方法 1：交互式提示

最简单的方法是使用 --ask-vault-pass 标志，它会在运行时安全地提示用户输入密码。

ansible-playbook site.yml --ask-vault-pass

方法 2：使用密码文件

对于自动化、CI/CD 管道或不希望进行交互式提示的环境，您可以使用纯文本密码文件（通常存储在主仓库之外，并通过受限的文件权限进行保护）。

# Note: The password file MUST contain ONLY the vault password text.
ansible-playbook site.yml --vault-password-file ~/.ansible/vault_key.txt

方法 3：加密单个变量（`encrypt_string`）

如果您只需要加密一个小的单个变量（例如，在 inventory 文件中），而不是整个 YAML 文件，请使用 ansible-vault encrypt_string。

# Use 'echo' or 'printf' to pass the secret directly
ansible-vault encrypt_string 'MySuperSecretAPIKey' --name 'prod_api_key'

此命令输出加密字符串，可直接粘贴到 inventory 或变量文件中：

prod_api_key: !vault |
  $ANSIBLE_VAULT;1.1;AES256
  37666236613364656165386638323438646132646337326462613134373463353434613861313361
  ... (rest of encrypted data)

企业 Vault 管理的最佳实践

有效的秘密管理不仅仅是简单地加密文件。采纳这些最佳实践可确保安全性和可维护性：

1. 专用 Vault 密码文件

在自动化环境中始终使用 --vault-password-file 方法。包含密码的文件应具有极其严格的权限 (chmod 400)，并且绝不能提交到 Git。

2. 环境隔离

对不同的环境（开发、测试、生产）使用单独的 Vault 文件。这可以防止低风险环境访问高风险的生产凭证。

vars/prod_vault.yml
vars/stage_vault.yml

使用 inventory 组或 Playbook 中的条件逻辑有条件地加载这些文件。

3. 与 Lookup 插件集成

为了增强安全性，请使用 Ansible 的 lookup 插件将 Ansible Vault 与外部秘密管理系统（例如 HashiCorp Vault、AWS Secrets Manager）集成。这允许您将密钥管理完全委托给专门的工具，而 Ansible Vault 仅用于基本秘密或引导程序。

4. 组变量 vs. Playbook 变量

通常更简洁的做法是使用 group_vars/all.yml.vault 或 group_vars/<group_name>.yml.vault 来存储 Vault 变量。Ansible 在为该组或主机加载变量时会自动尝试解密以 .vault 结尾的文件，从而简化了 Playbook 结构。

# Structure example
inventory/
├── hosts
└── group_vars/
    └── webservers.yml.vault

总结

Ansible Vault 是任何安全 Ansible 部署的必备组件。通过静态加密敏感数据并利用密码文件或交互式提示，您可以确保您的自动化功能强大，同时遵守关键安全标准。掌握核心命令——create、edit 和 rekey——并通过 vars_files 无缝集成 Vault 文件，使开发团队能够安全地协作进行基础设施配置，而不会泄露关键凭证。