如何在Jenkins流水线中通过--ask-vault-pass参数使用Ansible Vault凭证

你遇到的核心问题是：--ask-vault-pass是交互式参数，要求手动输入密码，但Jenkins流水线是自动执行的非交互式环境，所以这个参数在这里没法工作。不过我们可以用两种更适合自动化场景的方式来传递Vault密码，利用你已经配置好的Jenkins Secret Text凭证。

方案一：通过标准输入传递密码（简单快捷） #

我们可以用--vault-password-file -参数让Ansible从标准输入读取密码，配合管道把环境变量里的密码传进去。修改你的流水线步骤如下：

pipeline {
    agent none
    environment {
        ANSIBLE_VAULT=credentials('ansiblevault')
    }
    stages {
        stage ('Start docker node via Ansible') {
            agent { label 'ansible_slave' }
            steps {
                // 用多行单引号避免Jenkins解析变量，让shell处理环境变量
                sh '''echo "$ANSIBLE_VAULT" | ansible-playbook /etc/ansible/instance_start_stop.yml --vault-password-file - -i hosts --user user1 --key-file /home/user1/.ssh/id_rsa'''
            }
        }
    }
}

这里的-表示让Ansible从标准输入读取密码，echo "$ANSIBLE_VAULT"会把Jenkins注入的凭证内容输出到管道，供Ansible读取。

方案二：使用临时密码文件（更安全） #

如果担心管道传递密码时，密码可能出现在进程列表（比如ps命令的输出）中，可以创建一个权限严格的临时文件存储密码，用完立即删除：

pipeline {
    agent none
    environment {
        ANSIBLE_VAULT=credentials('ansiblevault')
    }
    stages {
        stage ('Start docker node via Ansible') {
            agent { label 'ansible_slave' }
            steps {
                script {
                    // 写入临时文件
                    def vaultTempFile = writeFile(
                        file: 'vault_pass.tmp',
                        text: ANSIBLE_VAULT,
                        encoding: 'UTF-8'
                    )
                    // 设置文件权限为仅当前用户可读，避免其他用户访问
                    sh 'chmod 600 vault_pass.tmp'
                    
                    try {
                        // 执行Playbook，指定临时密码文件
                        sh 'ansible-playbook /etc/ansible/instance_start_stop.yml --vault-password-file vault_pass.tmp -i hosts --user user1 --key-file /home/user1/.ssh/id_rsa'
                    } finally {
                        // 不管执行成功还是失败，都删除临时文件
                        sh 'rm -f vault_pass.tmp'
                    }
                }
            }
        }
    }
}

这个方案的优势是密码只存在于临时文件中，且权限严格，执行完成后立即清理，最大限度降低密码泄露风险。

关键说明 #

• 你已经正确用environment块注入了Jenkins凭证，ANSIBLE_VAULT变量会自动包含Secret Text的内容，不需要额外处理。
• 一定要避免用--ask-vault-pass，因为它依赖交互式输入，在Jenkins自动化流水线中无法正常工作。

内容的提问来源于stack exchange，提问作者josegp