如何安全地向Ansible动态清单脚本传递凭证？

以下是几种实用的安全传递凭证的方法，既避免硬编码风险，又不会导致Ansible挂起：

1. 环境变量传递 #

这是最直接的方式，通过终端交互式输入设置临时环境变量，再运行Ansible命令，动态清单脚本直接读取这些变量即可。

• 设置环境变量（密码输入不回显）：

  read -p "输入清单服务器用户名: " INVENTORY_USER && export INVENTORY_USER
  read -s -p "输入清单服务器密码: " INVENTORY_PASS && export INVENTORY_PASS && echo
  

• 动态清单脚本读取示例（Python）：

  import os
  username = os.environ.get("INVENTORY_USER")
  password = os.environ.get("INVENTORY_PASS")
  

• 也可以把设置和Ansible命令合并成一行，避免环境变量残留：

  INVENTORY_USER=$(read -p "User: "; echo $REPLY) INVENTORY_PASS=$(read -s -p "Pass: "; echo $REPLY) ansible-playbook your-playbook.yml
  

2. Ansible Vault加密凭证文件 #

用Ansible Vault加密存储凭证，动态清单脚本调用Vault解密读取，彻底避免明文文件暴露。

• 创建并加密凭证文件：
  先新建inventory-creds.yml：

  inventory_user: your-username
  inventory_pass: your-password
  

  然后加密：

  ansible-vault encrypt inventory-creds.yml
  

• 动态清单脚本读取示例（Python）：
  脚本中通过subprocess调用Ansible Vault解密读取内容：

  import subprocess
  import yaml
  
  # 交互式输入Vault密码（也可通过环境变量VAULT_PASSWORD传递）
  vault_pass = input("输入Vault密码: ").strip()
  result = subprocess.run(
      ["ansible-vault", "view", "inventory-creds.yml", "--vault-password-file", "/dev/stdin"],
      input=vault_pass.encode(),
      capture_output=True,
      check=True
  )
  creds = yaml.safe_load(result.stdout.decode())
  username = creds["inventory_user"]
  password = creds["inventory_pass"]
  

3. 系统密钥环存储与读取 #

利用操作系统自带的密钥环工具存储凭证，脚本调用工具读取，无需在终端输入或存储明文。

Linux（使用secret-tool） #

• 先存储凭证：

  secret-tool store --label='Ansible Inventory 凭证' service ansible-inventory username your-username
  secret-tool store --label='Ansible Inventory 凭证' service ansible-inventory password your-password
  

• 脚本读取示例：

  import subprocess
  
  def get_from_keyring(key):
      result = subprocess.run(
          ["secret-tool", "lookup", "service", "ansible-inventory", key],
          capture_output=True,
          check=True
      )
      return result.stdout.decode().strip()
  
  username = get_from_keyring("username")
  password = get_from_keyring("password")
  

macOS（使用security命令） #

• 存储凭证：

  security add-generic-password -a "$USER" -s "ansible-inventory" -w your-password -U
  security add-generic-password -a "$USER" -s "ansible-inventory-username" -w your-username -U
  

• 脚本读取：

  import subprocess
  import os
  
  username = subprocess.check_output(
      ["security", "find-generic-password", "-a", os.getenv("USER"), "-s", "ansible-inventory-username", "-w"]
  ).strip().decode()
  password = subprocess.check_output(
      ["security", "find-generic-password", "-a", os.getenv("USER"), "-s", "ansible-inventory", "-w"]
  ).strip().decode()
  

4. 交互式变量传递（避免命令历史暴露） #

通过命令行交互式输入变量，直接传递给脚本依赖的环境变量，同时避免密码出现在命令历史中：

ansible-playbook -e "inventory_user=$(read -p '输入清单用户名: '; echo $REPLY)" -e "inventory_pass=$(read -s -p '输入清单密码: '; echo $REPLY)" your-playbook.yml

脚本中读取对应的环境变量：

import os
username = os.environ.get("ANSIBLE_INVENTORY_USER")
password = os.environ.get("ANSIBLE_INVENTORY_PASS")

内容的提问来源于stack exchange，提问作者T J