Ansible Vaultによるymlファイルを究極の暗号化にさせてセキュアに！！

というオーバーなタイトルにしましたが、main.yml内にクレデンシャルやパスワードを指定して、間違えてGitHubのパブリックリポジトリにpushしてAWSから連絡が来たり(プライベートは問題ないけど基本だめ)、パスワード漏洩など事例としてよくあります。そこで、Ansible Vaultを使うことで、暗号化ファイルになり、リポジトリもセキュアになるわけです。とりあえずやってみましょう。

---

■Ansible Vault

https://docs.ansible.com/ansible/2.7/user_guide/vault.html

ansible自体をインストールすると既にansible-vaultコマンドが使えるはずです。以下がサブコマンドになります。

・ansible-vault create

暗号化されたファイルを作成

・ansible-vault encrypt

既存のファイルを暗号化

・ansible-vault decrypt

暗号化されたファイルを復号化

・ansible-vault edit

暗号化されたファイルを編集

・ansible-vault rekey

パスワードを変更

・ansible-vault view
暗号化されたファイルを復号して PAGER で表示

---

■encrypt user.yml

[ansible]userモジュールでユーザ作成とパスワードの設定＆公開鍵も

だいぶ前に作ったユーザー作成で、パスワードを直書きしていますが、基本的にダメです。このuser.ymlを暗号化してみましょう。

・ansible-vault encrypt (暗号化)

・user.yml

 次は復号化してみましょう。

・ansible-vault decrypt (復号化)

・ansible-playbookで適用する場合

暗号化したファイルをansibleで適用する場合、–ask-vault-pass付けて実行することで反映されます。

---

■まとめ

ユーザーのパスワードは$ grub-crypt –sha-512でハッシュ化された文字列をymlに書けば、Ansible Vaultを使わなくても良さそう。