如何在公开Ansible仓库加密文件内容与文件名？

针对你需要在公开Ansible仓库中同时加密文件内容和文件名的需求，以下几个方案可以替代复杂的归档重命名方式：

方案一：git-remote-gcrypt + 私有子仓库 #

将敏感模板文件单独隔离到一个独立的git仓库，用git-remote-gcrypt对整个仓库进行全量加密（包括文件名、文件内容），再将这个加密仓库作为子模块引入到公开的Ansible仓库中。

操作步骤：

1. 创建新的本地git仓库，存放所有需要加密的模板文件
2. 配置git-remote-gcrypt，将仓库推送到远程私有存储（比如私有GitHub仓库、自建Git服务器），推送过程中会自动加密所有内容
3. 在公开Ansible仓库中执行git submodule add <加密仓库地址> ./path/to/sensitive，将加密仓库作为子模块引入
4. 使用时，克隆公开仓库后执行git submodule update --init拉取子模块，再通过git-remote-gcrypt解密即可获取完整的敏感文件（含原文件名）

优点：和Git工作流深度集成，文件名与内容全加密，无需额外复杂操作
缺点：需要维护两个仓库，子模块的版本管理需要额外注意

方案二：自定义脚本自动化加密/解密流程 #

编写简单的Shell或Python脚本，自动完成敏感文件的重命名混淆、内容加密，同时维护原文件名与加密后文件名的映射关系（映射文件用ansible-vault加密）。

核心思路：

• 加密脚本：遍历指定目录的敏感文件，生成随机字符串作为新文件名，用ansible-vault encrypt加密文件内容；将原文件名与加密后文件名的对应关系写入filename_map.yml，再用ansible-vault encrypt加密这个映射文件
• 解密脚本：先解密filename_map.yml，根据映射关系找到对应的加密文件，执行ansible-vault decrypt恢复内容与原文件名
• 提交到公开仓库的只有加密后的文件和加密的映射文件

优点：完全适配现有Ansible工作流，自定义程度高，无需额外第三方工具
缺点：需自行维护脚本，要确保密钥的安全存储（比如用环境变量而非硬编码）

方案三：Cryptomator本地加密后提交 #

使用Cryptomator创建加密容器，将敏感模板文件放在容器内，挂载容器时可正常编辑使用，卸载后容器会生成加密的存储文件（文件名、内容均加密），直接将这些加密文件提交到公开仓库即可。

操作步骤：

1. 安装Cryptomator并创建加密容器，设置高强度密码
2. 挂载容器后，将敏感模板文件放入容器目录，正常用Ansible编辑、调用
3. 完成操作后卸载容器，将Cryptomator生成的加密存储文件（通常是一个.cryptomator目录或单个加密文件）提交到Git
4. 克隆仓库后，用Cryptomator挂载加密容器即可恢复所有敏感文件

优点：图形化操作简单，无需修改Git或Ansible的原有流程，跨平台兼容性好
缺点：需要额外安装Cryptomator工具，容器文件体积可能会随内容增加变大

通用注意事项 #

• 密钥管理：无论采用哪种方案，密钥绝对不能提交到仓库，建议用环境变量、本地密钥管理工具（比如macOS钥匙串、Windows凭据管理器）或专业密钥服务存储
• 测试验证：先在测试环境验证整个加密、解密、Ansible调用流程，确保不影响正常工作
• 数据备份：加密后的文件务必做好备份，避免密钥丢失导致数据永久无法恢复

内容的提问来源于stack exchange，提问作者bolino