如何通过编程为ansible-vault自动提供Vault密码？

以下几种方案可以解决你在流水线场景中重复输入Vault密码的问题，实现用户单次输入后自动复用：

方法1：临时密码文件（最直接易用） #

通过创建一个权限严格的临时文件存储密码，后续所有ansible-vault命令通过参数指定该文件，脚本结束后自动删除文件避免泄露。

示例bash脚本：

#!/bin/bash

# 生成临时文件，设置仅当前用户可读的权限
VAULT_PASS_FILE=$(mktemp)
chmod 0600 "$VAULT_PASS_FILE"

# 读取用户输入的密码（不回显）
read -s -p "请输入Ansible Vault密码: " VAULT_PASSWORD
echo "$VAULT_PASSWORD" > "$VAULT_PASS_FILE"
echo

# 示例1：加密文件
ansible-vault encrypt secret.yml --vault-password-file "$VAULT_PASS_FILE"

# 示例2：编辑加密文件
ansible-vault edit secret.yml --vault-password-file "$VAULT_PASS_FILE"

# 脚本执行完毕后删除临时文件
rm -f "$VAULT_PASS_FILE"

方法2：环境变量传递 #

利用Ansible官方支持的ANSIBLE_VAULT_PASSWORD环境变量，用户输入一次后将密码存入该变量，后续ansible-vault命令会自动读取，无需额外参数。

示例bash脚本：

#!/bin/bash

# 读取用户输入的密码（不回显）
read -s -p "请输入Ansible Vault密码: " VAULT_PASSWORD
export ANSIBLE_VAULT_PASSWORD="$VAULT_PASSWORD"
echo

# 后续调用ansible-vault无需指定密码参数
ansible-vault encrypt secret.yml
ansible-vault edit secret.yml

# 可选：脚本结束后清除环境变量，避免残留
unset ANSIBLE_VAULT_PASSWORD

方法3：密码缓存脚本（适合高频调用场景） #

编写一个轻量的缓存脚本，第一次运行时让用户输入密码并缓存，后续调用直接返回缓存的密码，彻底避免重复输入提示。

第一步：创建密码缓存脚本vault_pass_cache.sh

#!/bin/bash

# 缓存文件路径，仅当前用户可见
CACHE_FILE="/tmp/ansible_vault_pass_$(whoami)"

if [ ! -f "$CACHE_FILE" ]; then
    # 首次运行，读取用户输入
    read -s -p "请输入Ansible Vault密码: " VAULT_PASS
    echo "$VAULT_PASS" > "$CACHE_FILE"
    chmod 0600 "$CACHE_FILE"
    echo
fi

# 输出缓存的密码
cat "$CACHE_FILE"

第二步：在主脚本中调用该缓存脚本

#!/bin/bash

# 指定密码缓存脚本路径
VAULT_PASS_SCRIPT="./vault_pass_cache.sh"

# 执行ansible-vault命令
ansible-vault encrypt secret.yml --vault-password-file "$VAULT_PASS_SCRIPT"
ansible-vault edit secret.yml --vault-password-file "$VAULT_PASS_SCRIPT"

# 可选：脚本结束后清理缓存文件
rm -f "/tmp/ansible_vault_pass_$(whoami)"

注意事项 #

• 所有存储密码的临时文件/缓存文件必须设置chmod 0600权限，防止其他用户读取
• 脚本执行完毕后务必清理临时文件、环境变量或缓存，避免密码泄露
• 如果是CI/CD流水线场景，也可以直接通过流水线的秘密管理工具（如GitHub Secrets、GitLab CI Variables）注入密码到环境变量或临时文件，无需用户手动输入

内容的提问来源于stack exchange，提问作者Jibril