在自动化脚本的世界里，我们常常会遇到一些敏感数据，比如数据库密码、API密钥等等。这些数据要是不小心泄露了，那可就麻烦大了。而Ansible Vault就是一个能帮我们保护这些敏感数据安全的好工具。接下来，咱们就详细聊聊它的使用方法。

一、Ansible Vault 简介

Ansible是一款强大的自动化运维工具，而Ansible Vault则是Ansible里专门用来加密和解密文件的功能。它就像是一个安全的保险柜，能把我们的敏感数据锁起来，只有输入正确密码才能打开。想象一下，你有一些重要的文件不想让别人看到，就可以把它们放进这个保险柜里，这样就算别人拿到了你的文件，没有密码也打不开。

二、安装 Ansible

在使用Ansible Vault之前，我们得先安装Ansible。这里以Ubuntu系统为例，安装过程还是挺简单的。打开终端，输入下面的命令：

# 更新软件源
sudo apt update
# 安装 Ansible
sudo apt install ansible

安装完成后，你可以输入ansible --version来验证是否安装成功。要是能看到Ansible的版本信息，那就说明安装好了。

三、创建加密文件

现在，我们来创建一个加密文件。假设我们要保存一个数据库的密码，就用ansible-vault create命令。在终端输入下面的命令：

ansible-vault create mysql_password.yml

运行这个命令后，会提示你输入一个密码，这个密码就是打开保险柜的钥匙，一定要记好。输入密码并确认后，会自动打开一个编辑器，我们可以在里面输入要加密的数据，比如：

# mysql_password.yml
mysql_password: "mysecretpassword"

输入完成后，保存并退出编辑器。这时，你的文件就已经加密好了。当你再次打开这个文件时，看到的就是一堆乱码，别人根本看不懂里面的内容。

四、查看和编辑加密文件

要是我们之后想查看或者编辑这个加密文件，就可以用ansible-vault view和ansible-vault edit命令。

查看加密文件内容

ansible-vault view mysql_password.yml

运行这个命令后，会提示你输入之前设置的密码，输入正确密码后，就能看到文件的明文内容了。

编辑加密文件内容

ansible-vault edit mysql_password.yml

同样，输入密码后，会打开编辑器让你编辑文件内容。编辑完成后保存退出，文件会自动重新加密。

五、解密文件

有时候，我们可能需要把加密文件解密成明文文件。可以使用ansible-vault decrypt命令。

ansible-vault decrypt mysql_password.yml

输入密码后，文件就会被解密成明文。不过要注意，解密后的文件就不再受保护了，别人可以直接看到里面的内容，所以用完后最好再加密一下。如果想重新加密这个已经解密的文件，可以使用ansible-vault encrypt命令。

ansible-vault encrypt mysql_password.yml

六、修改密码

要是我们想修改加密文件的密码，可以使用ansible-vault rekey命令。

ansible-vault rekey mysql_password.yml

首先会提示你输入当前的密码，输入正确后，再输入新的密码并确认。这样，文件的密码就修改好了。

七、在 Playbook 中使用加密文件

Ansible Vault最常见的应用场景就是在Playbook中使用。假设我们有一个Playbook要连接到MySQL数据库，需要使用之前加密的密码文件。

# mysql_playbook.yml
---
- name: Connect to MySQL
  hosts: db_servers
  vars_files:
    - mysql_password.yml  # 引用加密的变量文件
  tasks:
    - name: Check MySQL connection
      mysql_ping:
        login_user: root
        login_password: "{{ mysql_password }}"  # 使用加密文件中的变量

在运行这个Playbook时，需要加上--ask-vault-pass参数，这样在运行时会提示你输入密码。

ansible-playbook mysql_playbook.yml --ask-vault-pass

八、应用场景

数据库连接

在自动化部署数据库相关的任务时，数据库的用户名和密码是非常敏感的信息。使用Ansible Vault可以将这些信息加密保存，在需要使用时再解密，保证了数据的安全性。就像我们上面举的例子，在连接MySQL数据库时，把密码加密保存，避免密码泄露。

API 密钥管理

在调用各种API时，API密钥是访问的凭证。如果把这些密钥明文存储在脚本中，一旦脚本泄露，就可能被别人利用。使用Ansible Vault加密API密钥，只有在执行脚本时才解密，大大提高了安全性。

SSH 密钥

在进行远程服务器管理时，SSH密钥是重要的身份验证信息。使用Ansible Vault加密SSH密钥文件，确保只有授权的人才能使用这些密钥进行远程连接。

九、技术优缺点

优点

  • 简单易用：Ansible Vault的命令非常简单，几个基本的命令就能完成文件的加密、解密、查看、编辑等操作，即使是新手也能快速上手。
  • 集成性好：它是Ansible的一部分，能很好地和Ansible的其他功能集成，在Playbook中使用加密文件也很方便。
  • 安全性高：采用了加密算法，能有效保护敏感数据不被泄露。

缺点

  • 密码管理麻烦：如果有多个加密文件，每个文件的密码都需要记住，管理起来可能会比较麻烦。而且一旦密码丢失，加密文件就很难恢复了。
  • 性能影响：在解密和加密文件时，会有一定的性能开销，尤其是对于大文件，可能会影响脚本的执行速度。

十、注意事项

密码安全

密码是打开加密文件的关键，一定要妥善保管。不要把密码明文写在文件里或者在不安全的环境中传输。可以使用密码管理工具来保存密码。

版本控制

如果使用版本控制系统（如Git）管理代码，要注意不要把加密文件的密码提交到代码库中。可以在.gitignore文件中添加相关的密码文件，避免误提交。

文件备份

定期对加密文件进行备份，以防文件损坏或者丢失。同时，备份密码也很重要，确保在需要时能恢复文件。

文章总结

Ansible Vault是一个非常实用的工具，能帮助我们保护自动化脚本中的敏感数据安全。通过简单的命令，我们可以轻松地创建、查看、编辑、解密和加密文件。在应用场景方面，它在数据库连接、API密钥管理、SSH密钥管理等方面都能发挥重要作用。虽然它有一些缺点，比如密码管理麻烦和性能影响，但只要我们注意一些事项，如密码安全、版本控制和文件备份，就能充分发挥它的优势。总之，掌握Ansible Vault的使用方法，能让我们的自动化脚本更加安全可靠。