O que é o equivalente de configuração do Ansible para `--vault-password-file`?

De acordo com a ajuda do ansible-playbook, pode-se usar --user=REMOTE_USERpara definir o usuário ssh, mas também pode-se definir ansible_ssh_user: REMOTE_USERnos host-ou group_vars.

Questão

Que variável precisa ser definida no diretório group- ou host_vars para impedir que --vault-password-fileseja definido durante a execução ansible-playbook?

Tentativas

• Quando ansible_vault_password_file: ~/.vault_pass.txté definido na configuração, a descriptografia falha:

  ERROR! Decryption failed on /path/to/vault
  

• Nenhuma variável de cofre associada foi encontrada nesta documentação

Aqui está a definição:

DEFAULT_VAULT_PASSWORD_FILE = get_config(p, DEFAULTS, 'vault_password_file', \
'ANSIBLE_VAULT_PASSWORD_FILE', None, value_type='path')

Isso significa que você coloca no ansible.cfg ou playbook:

vault_password_file: ~/.vault_pass.txt

Ou no seu shell definiu esta variável:

export ANSIBLE_VAULT_PASSWORD_FILE=~/.vault_pass.txt

Você pode definir uma variável de ambiente que ANSIBLE_VAULT_PASSWORD_FILEarmazene o caminho do arquivo de senha do vault. Dessa forma, você não terá o --vault-password-filebotão sempre usar ao executar um manual.

Isso está descrito na documentação do Ansible's Vault, disponível aqui .

Então, adicione export ANSIBLE_VAULT_PASSWORD_FILE=~/.vault_pass.txtà sua ~/.bash_profilefonte a partir dela e você estará pronto para começar.

Se você precisar de senhas diferentes do Vault para diferentes grupos de hosts, faça o seguinte:

Dentro deste subdiretório, crie dois arquivos denominados vars e vault. Dentro do arquivo vars, defina todas as variáveis ​​necessárias, incluindo as sensíveis. Em seguida, copie todas as variáveis ​​sensíveis para o arquivo do Vault e prefixe essas variáveis ​​com vault_. Você deve ajustar as variáveis ​​no arquivo vars para apontar para as variáveis ​​correspondentes do vault_ e garantir que o arquivo do cofre esteja criptografado no cofre.

Este é um exemplo de abordagem de melhores práticas para gerenciar informações confidenciais por grupo. Mais informações estão disponíveis na documentação da Ansible aqui (o texto acima é copiado de lá).