Ansible Vaultでシークレットを安全に管理する方法｜パスワードファイルや暗号化変数の実践例

この記事のポイント

・ansible-vault encrypt でファイルをAES256で丸ごと暗号化してGitに安全にコミットできる
・vault_password_fileで対話入力なし・自動実行が可能になる
・vars.ymlとvault.ymlを分けると変数名を平文で検索しながら値だけ暗号化できる
・vault-idで本番・開発のVaultパスワードを環境ごとに分離できる

# 動作確認環境
# Control Node: RHEL 9.4 / Rocky Linux 9.4
# Managed Node:  Rocky Linux 9.4（SSH接続可能なテスト用VM）
# Ansible: ansible-core 2.16.x
# 確認コマンド
$ ansible --version
ansible [core 2.16.9]

# vars/secrets.yml（暗号化前）
db_password: "P@ssw0rd!secret"
api_key: "sk-xxxxxxxxxxxxxxxxxxxx"
smtp_password: "smtpSecret123"

$ ansible-vault encrypt vars/secrets.yml
New Vault password:
Confirm New Vault password:
Encryption successful

$ cat vars/secrets.yml
$ANSIBLE_VAULT;1.1;AES256
39623163393264653535633630363832356335623564623163396161373766353831303635323665
6662353630336637316236663266626536343834636333370a306163326135393136616166646665
...（以下省略）...

# パスワードを対話入力する場合
$ ansible-playbook -i inventory/hosts site.yml   -e @vars/secrets.yml   --ask-vault-pass

# パスワードファイルを指定する場合（CI/CD向け）
$ ansible-playbook -i inventory/hosts site.yml   -e @vars/secrets.yml   --vault-password-file ~/.vault_pass.txt

# パスワードファイルを作成（改行なしで書く）
$ echo -n 'YourVaultPassword' > ~/.vault_pass.txt

# 権限を本人のみ読み取り可能にする
$ chmod 600 ~/.vault_pass.txt

# 確認
$ ls -la ~/.vault_pass.txt
-rw------- 1 ansible ansible 17 Jun 30 10:00 /home/ansible/.vault_pass.txt

# ansible.cfg
[defaults]
inventory       = inventory/hosts
vault_password_file = ~/.vault_pass.txt

# ansible.cfg 設定後はオプションなしで実行できる
$ ansible-playbook site.yml -e @vars/secrets.yml
PLAY [web servers] ************************************************************
...
PLAY RECAP ************************************************************
192.168.10.10  : ok=8  changed=3  unreachable=0  failed=0  skipped=0

# .gitignore に追加必須
~/.vault_pass.txt
.vault_pass.txt

# .github/workflows/deploy.yml
name: Deploy

on:
  push:
    branches: [main]

jobs:
  deploy:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Install Ansible
        run: pip install ansible

      - name: Write vault password file
        run: echo "${{ secrets.ANSIBLE_VAULT_PASSWORD }}" > .vault_pass.txt

      - name: Run Playbook
        run: |
          ansible-playbook -i inventory/production site.yml             --vault-password-file .vault_pass.txt

      - name: Remove vault password file
        if: always()
        run: rm -f .vault_pass.txt

# 変数の「値」だけを暗号化（-n で改行なし）
$ ansible-vault encrypt_string --stdin-name 'db_password'
New Vault password: （入力）
Confirm New Vault password: （入力）
Reading plaintext input from stdin. (ctrl-d to end input)
P@ssw0rd!secret    ← 暗号化したい値を入力してCtrl+D
db_password: !vault |
          $ANSIBLE_VAULT;1.1;AES256
          38663930303137363666343663376237653233313238316231336137303666656231326430626630
          3738323664613831316631336237643363383965313032350a643961333761666362616631633034
          ...
Encryption successful

# vars/main.yml（変数名は平文・値だけ暗号化）
db_host:     "db01.example.com"
db_name:     "app_production"
db_user:     "appuser"
db_password: !vault |
          $ANSIBLE_VAULT;1.1;AES256
          38663930303137363666343663376237653233313238316231336137303666656231326430626630
          3738323664613831316631336237643363383965313032350a643961333761666362616631633034
          ...

# group_vars 配下を vars.yml + vault.yml の2ファイルに分ける
group_vars/
├── production/
│   ├── vars.yml      # 平文の変数定義（Gitにコミットする）
│   └── vault.yml     # 暗号化済みの実値（Gitにコミットするが暗号化済み）
└── staging/
    ├── vars.yml
    └── vault.yml

# group_vars/production/vars.yml（平文・grep検索可能）
db_host:     "db01.example.internal"
db_port:     5432
db_user:     "appuser"
db_password: "{{ vault_db_password }}"       # vault.yml の値を参照
api_key:     "{{ vault_api_key }}"
smtp_password: "{{ vault_smtp_password }}"

# group_vars/production/vault.yml（暗号化前の平文内容）
# このファイルを ansible-vault encrypt で暗号化してからGitにコミットする
vault_db_password: "P@ssw0rd_Prod_2024"
vault_api_key: "sk-xxxxxxxxxxxxxxxxxxxx"
vault_smtp_password: "smtpSecret123"

# vault.yml を暗号化してからコミット
$ ansible-vault encrypt group_vars/production/vault.yml
New Vault password:
Confirm New Vault password:
Encryption successful

# 暗号化済みを確認してから git add する
$ head -1 group_vars/production/vault.yml
$ANSIBLE_VAULT;1.1;AES256   ← 先頭行で暗号化済みを確認

$ git add group_vars/production/vault.yml
$ git commit -m "Add encrypted production vault variables"

# 復号して表示（ファイルは暗号化されたまま）
$ ansible-vault view vars/secrets.yml
db_password: "P@ssw0rd!secret"
api_key: "sk-xxxxxxxxxxxxxxxxxxxx"
smtp_password: "smtpSecret123"

# デフォルトエディタ（$EDITOR）が開く。保存時に自動再暗号化される
$ ansible-vault edit vars/secrets.yml

# エディタを指定する場合
$ EDITOR=vim ansible-vault edit vars/secrets.yml

# パスワードを変更する
$ ansible-vault rekey vars/secrets.yml
Vault password:          （現在のパスワード）
New Vault password:      （新しいパスワード）
Confirm New Vault password:
Rekey successful

# 暗号化時に vault-id を指定
$ ansible-vault encrypt --vault-id dev@~/.vault_dev.txt vars/dev_secrets.yml
$ ansible-vault encrypt --vault-id prod@~/.vault_prod.txt vars/prod_secrets.yml

# 実行時に両方指定（複数の vault-id を渡せる）
$ ansible-playbook site.yml   --vault-id dev@~/.vault_dev.txt   --vault-id prod@~/.vault_prod.txt

# プロジェクト構成
project/
├── ansible.cfg               ← vault_password_file を設定
├── inventory/
│   └── hosts
├── group_vars/
│   └── production/
│       ├── vars.yml          ← 平文変数（公開可）
│       └── vault.yml         ← 暗号化（Gitコミット可）
├── vars/
│   └── secrets.yml           ← 暗号化（既存構成の場合）
├── roles/
│   └── mysql/
│       ├── tasks/
│       │   └── main.yml
│       └── templates/
│           └── my.cnf.j2
└── site.yml

# site.yml
---
- name: Configure MySQL server
  hosts: db_servers
  vars_files:
    - group_vars/production/vars.yml
    - group_vars/production/vault.yml    # Vault で暗号化済み
  roles:
    - mysql

# roles/mysql/templates/my.cnf.j2
[mysqld]
bind-address = 127.0.0.1

# Vault から取得した変数を使用
# ディスクには暗号化済み・メモリ展開時だけ平文
password = {{ db_password }}

# 改行なしでパスワードファイルを作成し直す
$ printf 'YourVaultPassword' > ~/.vault_pass.txt
# または
$ echo -n 'YourVaultPassword' > ~/.vault_pass.txt

# 改行が入っているか確認
$ xxd ~/.vault_pass.txt | tail -3
00000010: 6f72 6400            ord.    ← 0a（改行コード）がなければOK

# ファイルがVault形式かどうかは先頭行で確認できる
$ head -1 group_vars/production/vault.yml
$ANSIBLE_VAULT;1.1;AES256   ← 暗号化済み

# vault-id付きで復号できるか確認
$ ansible-vault view --vault-id prod@prompt group_vars/production/vault.yml
Vault password (prod): （パスワード入力）

# ディレクトリ権限を修正
$ chmod 755 /path/to/project

# パスを絶対パスで確認
$ ls -la ~/.vault_pass.txt
-rw------- 1 ansible ansible 17 Jun 30 10:00 /home/ansible/.vault_pass.txt

# ansible.cfg のパスが正しいか確認
$ grep vault_password_file ansible.cfg
vault_password_file = ~/.vault_pass.txt

# どの ansible.cfg が読まれているか確認
$ ansible --version
ansible [core 2.16.9]
  config file = /home/user/projects/ansible/ansible.cfg  ← 読まれているファイル
  ...

# ANSIBLE_CONFIG 環境変数で明示的に指定もできる
$ export ANSIBLE_CONFIG=/path/to/ansible.cfg