设定

考虑类似于以下示例的Ansible库存文件：

[san_diego]
host1
host2

[san_francisco]
host3
host4

[west_coast]
san_diego
san_francisco

[west_coast:vars]
db_server=foo.example.com
db_host=5432
db_password=top secret password

问题

我想将一些var（如db_password）存储在Ansible保管库中，而不是整个文件。

如何将Vault加密的ansible文件导入未加密的清单文件中？

我尝试过的

我创建了一个加密的vars文件，并尝试通过以下方式导入它：

include: secrets

对此ansible-playbook回应：

ERROR: variables assigned to group must be in key=value form

可能是因为它试图将include语句解析为变量。

如果您的问题是每个group_hosts都具有未加密和已加密的vars文件。

您可以使用此ansible功能：http : //docs.ansible.com/ansible/playbooks_best_practices.html#best-practices-for-variables-and-vaults

group_vars/ 
  san_diego/
    vars.yml  # unencrypted yaml file
    vault.yml # encrypted yaml file

Ansible将自动将vault.yml读取为加密的yaml文件。

更新：该解决方案如下也是很好的解决方案（因为Ansible 2.3）

从Ansible 2.3开始，您可以加密单个加密变量。IMO，由于Doco看起来很简洁，因此需要进行演练。

给出以下示例：（mysql_password: password123在main.yml中）

运行以下命令：

ansible-vault encrypt_string password123 --ask-vault-pass

这将产生：

    !vault |
$ANSIBLE_VAULT;1.1;AES256
66386439653236336462626566653063336164663966303231363934653561363964363833
3136626431626536303530376336343832656537303632313433360a626438346336353331
Encryption successful

将此粘贴到您的main.yml中：

mysql_password: !vault |
    $ANSIBLE_VAULT;1.1;AES256
    66386439653236336462626566653063336164663966303231363934653561363964363833
    3136626431626536303530376336343832656537303632313433360a626438346336353331

运行剧本：

即 ansible-playbook -i hosts main.yml --ask-vault-pass

通过调试验证：

- debug:
    msg: "mysql Pwd: {{ mysql_password }}"

目前，使用Ansible 2.3可以使用简单的Yaml同时包含加密和未加密的变量。加密的变量的格式如下：

dbServer: PlainDatabaseServer
dbName: PlainDatabaseName
dbUser: PlainUser
dbPasswd: !vault |
      $ANSIBLE_VAULT;1.1;AES256
      63633363616165656538656537323835343634633063386137353637646663333939623464666437
      6263383933656635316436313934366564316337623435350a386362613838373363393534383232
      39663162363066313431623466363763356466376538613532333731613538373431623239626330
      6463373238366630360a623566616535376339326431363465663431623462356238636333306663
      6439

您可以使用带有以下语句的密码或密码文件来加密变量：

ansible-vault encrypt_string "dummy" --vault-password-file pass-ansible.txt

该语句返回上述yaml中dbPasswd变量中显示的文本。

要运行使用加密变量的剧本，只需添加以下变量：

 ansible-playbook playbooks/myplaybook --vault-password-file pass-ansible.txt

或者，您也可以使用--ask-vault-pass进行相同操作，在执行剧本时要求您输入密码：

ansible-playbook playbooks/myplaybook --ask-vault-pass

您可以执行类似的操作。

1. 创建密码文件（纯文本文件，密码在一行上）

2. ansible.cfg在您的ansible项目文件夹中创建一个

   [defaults]
   vault_password_file = <path/to/your/password/file>
   

3. 创建一个剧本文件（例如playbook.yml）

    - name: my ansible playbook
      hosts: 127.0.0.1
      vars_files:
        - 'vars.yml'
      tasks:
        - name: print secure variable
          debug: msg="my secure variable '{{ my_secure_variable }}'"`
   

4. 创建一个变量文件（例如vars.yml）

   my_secure_variable: "X_my_secret_X"
   

5. 加密变量文件（使用，从ansible项目位置进行加密ansible.cfg）

   ansible-vault encrypt vars.yml
   

6. 运行您的剧本（使用，从ansible项目位置开始ansible.cfg）

   ansible-playbook -i "localhost," playbook.yml
   

您应该获得类似于以下内容的输出：

$ ansible-playbook playbook.yml -i 'localhost,'

PLAY [my ansible playbook] ****************************************************

GATHERING FACTS ***************************************************************

ok: [127.0.0.1]

TASK: [print secure variable] *************************************************

ok: [127.0.0.1] => {
    "msg": "my secure variable 'X_my_secret_X' "
}

PLAY RECAP ********************************************************************

127.0.0.1                  : ok=2    changed=0    unreachable=0    failed=0

这取决于您的工作流程。您可以group_vars按照Sebastian Stigler的建议使用文件，或者如果您想使用清单文件，则可以在清单目录中添加另一个“类似ini的”文件并对其进行加密。

$ mkdir my_inventory/
$ cat >> hosts << EOF
[san_diego]
host1
host2

[san_francisco]
host3
host4

[west_coast]
san_diego
san_francisco
EOF

$ cat >> inventory_crypted_vars << EOF
[west_coast:vars]
db_server=foo.example.com
db_host=5432
db_password=top secret password
EOF

然后，-i my_inventory/在命令行中使用，或创建一个ansible.cfg包含以下内容的本地：

[defaults]
hostfile = ./my_inventory/

并且你应该被设置。Ansible将在运行时合并两个文件。

采用 ansible-vault encrypt my_inventory/inventory_crypted_vars提交之前便大功告成。

您可能需要一个预提交钩子，以确保您未提交该文件的未加密版本。例如，像这样的预提交钩子就可以解决问题（相应地进行调整FILES_PATTERN）。

您可以使用group_vars（请参阅http://docs.ansible.com/playbooks_variables.html#variable-precedence-where-should-i-put-a-variable）。

在您的剧本中创建一个名为的子目录group_vars。在此处
创建一个名为的文件west_coast，并将以下条目放入其中：

---
db_server: foo.example.com
db_host: 5432
db_password: top secret password

然后可以将此文件转换为ansible保管库。