Ansible Vaultでシークレットを安全に管理する方法｜パスワードファイルや暗号化変数の実践例

この記事のポイント

・ansible-vault encrypt でファイルを丸ごと暗号化できる
・vault_password_fileで対話入力なし自動実行が可能になる
・!vault タグで変数ファイルの一部だけを暗号化できる
・ansible-vault view/edit でファイルを復号せずに編集できる

# 動作確認環境
# Control Node: RHEL 9.4 / Rocky Linux 9.4
# Managed Node:  Rocky Linux 9.4（SSH接続可能なテスト用VM）
# Ansible: ansible-core 2.16.x
# 確認コマンド
$ ansible --version
ansible [core 2.16.9]

# vars/secrets.yml（暗号化前）
db_password: "P@ssw0rd!secret"
api_key: "sk-xxxxxxxxxxxxxxxxxxxx"
smtp_password: "smtpSecret123"

$ ansible-vault encrypt vars/secrets.yml
New Vault password:
Confirm New Vault password:
Encryption successful

$ cat vars/secrets.yml
$ANSIBLE_VAULT;1.1;AES256
39623163393264653535633630363832356335623564623163396161373766353831303635323665
6662353630336637316236663266626536343834636333370a306163326135393136616166646665
...（以下省略）...

# パスワードを対話入力する場合
$ ansible-playbook -i inventory/hosts site.yml \
  -e @vars/secrets.yml \
  --ask-vault-pass

# パスワードファイルを指定する場合（CI/CD向け）
$ ansible-playbook -i inventory/hosts site.yml \
  -e @vars/secrets.yml \
  --vault-password-file ~/.vault_pass.txt

# パスワードファイルを作成（改行なしで書く）
$ echo -n 'YourVaultPassword' > ~/.vault_pass.txt

# 権限を本人のみ読み取り可能にする
$ chmod 600 ~/.vault_pass.txt

# 確認
$ ls -la ~/.vault_pass.txt
-rw------- 1 ansible ansible 17 Jun 30 10:00 /home/ansible/.vault_pass.txt

# ansible.cfg
[defaults]
inventory       = inventory/hosts
vault_password_file = ~/.vault_pass.txt

# ansible.cfg 設定後はオプションなしで実行できる
$ ansible-playbook site.yml -e @vars/secrets.yml
PLAY [web servers] ************************************************************
...
PLAY RECAP ************************************************************
192.168.10.10  : ok=8  changed=3  unreachable=0  failed=0  skipped=0

# .gitignore に追加必須
~/.vault_pass.txt
.vault_pass.txt

# 変数の「値」だけを暗号化（-n で改行なし）
$ ansible-vault encrypt_string --stdin-name 'db_password'
New Vault password: （入力）
Confirm New Vault password: （入力）
Reading plaintext input from stdin. (ctrl-d to end input)
P@ssw0rd!secret    ← 暗号化したい値を入力してCtrl+D
db_password: !vault |
          $ANSIBLE_VAULT;1.1;AES256
          38663930303137363666343663376237653233313238316231336137303666656231326430626630
          3738323664613831316631336237643363383965313032350a643961333761666362616631633034
          ...
Encryption successful

# vars/main.yml（変数名は平文・値だけ暗号化）
db_host:     "db01.example.com"
db_name:     "app_production"
db_user:     "appuser"
db_password: !vault |
          $ANSIBLE_VAULT;1.1;AES256
          38663930303137363666343663376237653233313238316231336137303666656231326430626630
          3738323664613831316631336237643363383965313032350a643961333761666362616631633034
          ...

# 復号して表示（ファイルは暗号化されたまま）
$ ansible-vault view vars/secrets.yml
db_password: "P@ssw0rd!secret"
api_key: "sk-xxxxxxxxxxxxxxxxxxxx"
smtp_password: "smtpSecret123"

# デフォルトエディタ（$EDITOR）が開く。保存時に自動再暗号化される
$ ansible-vault edit vars/secrets.yml

# エディタを指定する場合
$ EDITOR=vim ansible-vault edit vars/secrets.yml

# パスワードを変更する
$ ansible-vault rekey vars/secrets.yml
Vault password:          （現在のパスワード）
New Vault password:      （新しいパスワード）
Confirm New Vault password:
Rekey successful

# 暗号化時に vault-id を指定
$ ansible-vault encrypt --vault-id dev@~/.vault_dev.txt vars/dev_secrets.yml
$ ansible-vault encrypt --vault-id prod@~/.vault_prod.txt vars/prod_secrets.yml

# 実行時に両方指定（複数の vault-id をカンマ区切りで渡せる）
$ ansible-playbook site.yml \
  --vault-id dev@~/.vault_dev.txt \
  --vault-id prod@~/.vault_prod.txt

# プロジェクト構成
project/
├── ansible.cfg               ← vault_password_file を設定
├── inventory/
│   └── hosts
├── vars/
│   ├── main.yml              ← 平文変数（公開可）
│   └── secrets.yml           ← 暗号化（Gitコミット可）
├── roles/
│   └── mysql/
│       ├── tasks/
│       │   └── main.yml
│       └── templates/
│           └── my.cnf.j2
└── site.yml

# site.yml
---
- name: Configure MySQL server
  hosts: db_servers
  vars_files:
    - vars/main.yml
    - vars/secrets.yml      # Vault で暗号化済み
  roles:
    - mysql

# roles/mysql/templates/my.cnf.j2
[mysqld]
bind-address = 127.0.0.1

# Vault から取得した変数を使用
# ディスクには暗号化済み・メモリ展開時だけ平文
password = {{ db_password }}

# 改行なしでパスワードファイルを作成し直す
$ printf 'YourVaultPassword' > ~/.vault_pass.txt
# または
$ echo -n 'YourVaultPassword' > ~/.vault_pass.txt

# 改行が入っているか確認
$ xxd ~/.vault_pass.txt | tail -3
00000010: 6f72 6400            ord.    ← 0a（改行コード）がなければOK

# ディレクトリ権限を修正
$ chmod 755 /path/to/project

# パスを絶対パスで確認
$ ls -la ~/.vault_pass.txt
-rw------- 1 ansible ansible 17 Jun 30 10:00 /home/ansible/.vault_pass.txt

# ansible.cfg のパスが正しいか確認
$ grep vault_password_file ansible.cfg
vault_password_file = ~/.vault_pass.txt