如何通过Ansible从AWS Secrets Manager取凭证并安全传至客户端主机

核心逻辑是让运行Ansible的EC2实例（控制节点）用自身绑定的IAM角色权限拉取Secret，再通过Ansible变量安全传递到目标主机，全程规避明文泄露风险。以下是可行的实现方案：

完整Playbook示例 #

- name: 拉取Secrets Manager凭证并同步到客户端主机
  hosts: client_hosts
  gather_facts: false
  tasks:
    # 第一步：在控制节点（本地）调用Secrets Manager获取凭证
    - name: 从AWS Secrets Manager获取目标凭证
      amazon.aws.secretsmanager_secret:
        name: "your-target-secret-name"
        region: "us-east-1"  # 替换为你的Secret所在区域
      delegate_to: localhost
      register: fetched_secret
      no_log: true  # 关键：禁止日志输出凭证内容，防止泄露

    # 第二步：将凭证安全写入客户端主机（示例：写入文件）
    - name: 将凭证写入客户端主机的安全文件
      copy:
        content: "{{ fetched_secret.secret_string }}"
        dest: "/opt/app/credentials.conf"  # 替换为客户端主机的目标路径
        mode: '0600'  # 严格权限：仅文件所有者可读
        owner: appuser  # 替换为运行应用的用户
        group: appgroup
      no_log: true  # 同样禁止该任务的日志输出

    # 可选：如果凭证是JSON格式，提取指定字段使用
    - name: 提取JSON凭证中的数据库密码
      set_fact:
        db_pass: "{{ (fetched_secret.secret_string | from_json).db_password }}"
      no_log: true

    # 可选：用提取的字段配置应用（示例：修改配置文件）
    - name: 更新应用配置文件的数据库密码
      lineinfile:
        path: "/opt/app/config.ini"
        regexp: "^db_password = "
        line: "db_password = {{ db_pass }}"
      no_log: true

关键配置说明 #

• delegate_to: localhost：强制任务在控制节点（运行Ansible的EC2实例）执行，直接利用实例绑定的IAM角色权限访问Secrets Manager，无需额外配置AWS_ACCESS_KEY_ID等环境变量。
• register: fetched_secret：把获取到的Secret结果存入变量，供后续任务调用。
• no_log: true：所有涉及凭证的任务都必须添加此配置，确保凭证内容不会出现在Ansible运行日志中，彻底避免泄露风险。
• 文件权限控制：写入客户端主机的凭证文件必须设置严格权限（如0600），仅授权用户可访问，防止未授权读取。

前置权限要求 #

确保运行Ansible的EC2实例绑定的IAM角色拥有secretsmanager:GetSecretValue权限，示例IAM策略：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "secretsmanager:GetSecretValue",
      "Resource": "arn:aws:secretsmanager:us-east-1:123456789012:secret:your-target-secret-name-*"
    }
  ]
}

注意事项 #

• 不要在Playbook中硬编码Secret名称，建议通过--extra-vars或Ansible Inventory变量传入，提升灵活性和安全性。
• 如果目标客户端主机需要使用凭证执行命令，避免直接在command/shell模块中明文引用变量，优先使用文件挂载或环境变量临时注入的方式（环境变量也需配合no_log: true）。

内容的提问来源于stack exchange，提问作者taadrap