如何安全自动化执行含加密sudo_password.yml的Ansible Playbook？

你的核心矛盾是要在自动化场景（如cron定时任务）下，既避免明文存储Vault密码，又无需手动交互输入密码。以下是几种可行的解决方案：

1. 使用Vault密码脚本（推荐） #

Ansible支持将vault_password_file配置为可执行脚本，脚本只需向标准输出打印Vault密码即可。你可以结合加密存储的密码文件实现安全解密，完全避免明文暴露：

操作步骤： #

• 用GPG对称加密你的Vault密码：

  gpg --symmetric --cipher-algo AES256 vault_pass.txt
  

  输入加密密钥后，会生成vault_pass.txt.gpg文件，立即删除原明文vault_pass.txt。
• 创建解密脚本（例如vault_decrypt.sh）：

  #!/bin/bash
  # 用GPG解密密码文件，若用对称加密，可将解密密钥存在仅执行用户可访问的安全文件中
  gpg --quiet --batch --passphrase-file /path/to/secure_gpg_pass.txt --decrypt /path/to/vault_pass.txt.gpg
  

  若使用GPG非对称加密，确保执行任务的用户密钥环拥有解密权限，无需手动输入密钥。
• 给脚本设置严格权限，防止其他用户读取：

  chmod 700 vault_decrypt.sh
  chown your_cron_user:your_cron_user vault_decrypt.sh
  

• 修改ansible.cfg指向脚本：

  [defaults]
  vault_password_file = /path/to/vault_decrypt.sh
  

• 自动化执行时，直接调用原方法1的命令即可，脚本会自动解密并提供Vault密码。

2. 将敏感字段直接加密到Inventory中 #

无需单独维护sudo_pass.yml，直接把ansible_become_pass加密后写入hosts.yml，减少敏感文件数量：

操作步骤： #

• 生成加密的sudo密码字符串：

  ansible-vault encrypt_string --vault-id @prompt '你的实际sudo密码' --name 'ansible_become_pass'
  

• 将输出替换到hosts.yml中，最终文件示例：

  ---
  ungrouped:
    hosts:
      testserver:
        ansible_host: managed.node.ip
        ansible_user: exampleuser
        ansible_become_pass: !vault |
          $ANSIBLE_VAULT;1.1;AES256
          36323139333438363339363637343838353332363435373736383932303334363837363333303635
          3338353137313634383036323331393834383737323134300a3832373435363935333031313630
          3537353839363335333730393432333732353738343635353739383436333336373639353137
          3639373438353230350a32383734363638313334393734313539333039383237363338363039
          3536343833373538333438363738323236333436393737363635393038343337333831363832
          3734
        ansible_ssh_private_key_file: ~/.ssh/id_rsa
  

• 执行Playbook时，配合Vault密码脚本（方法1）或其他非交互式方式提供密码，无需额外指定--extra-vars '@sudo_pass.yml'。

3. 使用系统密钥管理服务 #

如果控制节点有系统级密钥管理工具（如Linux的keyutils、macOS的Keychain，或云服务商KMS），可以编写脚本从这些服务中获取Vault密码，完全避免存储任何形式的密码文件：

以macOS Keychain为例：

• 提前将Vault密码存入Keychain：

  security add-generic-password -a $USER -s "ansible_vault_pass" -w "你的Vault密码"
  

• 创建获取密码的脚本：

  #!/bin/bash
  security find-generic-password -a $USER -s "ansible_vault_pass" -w
  

• 将脚本配置为vault_password_file即可。

内容的提问来源于stack exchange，提问作者kekw