如何使用Ansible Vault加密变量并在Playbook中调用？

我来帮你搞定这个问题——你遇到的Attempting to decrypt but no vault secrets found错误，本质是Ansible在执行Playbook时找不到解密加密变量所需的Vault密码。下面给你几种常用的解决方式，按需选择即可：

1. 执行Playbook时直接指定密码 #

这是最直接的临时解决方案：

• 交互式输入密码：执行Playbook时加上--ask-vault-pass参数，Ansible会提示你输入Vault密码：

  ansible-playbook your_playbook.yml --ask-vault-pass
  

• 使用密码文件：先创建一个仅自己可读的密码文件（比如vault_pass.txt），把你的Vault密码写入其中，然后执行chmod 600 vault_pass.txt限制文件权限（非常重要，避免敏感信息泄露）。之后执行Playbook时指定这个文件：

  ansible-playbook your_playbook.yml --vault-password-file vault_pass.txt
  

2. 配置Ansible自动读取密码文件 #

如果不想每次执行Playbook都加参数，可以修改Ansible配置文件实现自动读取：

• 找到Ansible的配置文件（优先级：当前目录的ansible.cfg > 用户目录的~/.ansible.cfg > 系统级的/etc/ansible/ansible.cfg）
• 在配置文件中添加或修改[defaults]段的vault_password_file配置，指向你的密码文件路径：

  [defaults]
  vault_password_file = /absolute/path/to/your/vault_pass.txt
  

• 保存配置后，后续执行Playbook时就无需额外指定密码参数，Ansible会自动读取该文件解密变量。

3. 通过环境变量传递密码 #

适合临时测试或者CI/CD场景：

• 指定密码文件路径：设置环境变量ANSIBLE_VAULT_PASSWORD_FILE指向你的密码文件：

  export ANSIBLE_VAULT_PASSWORD_FILE=/path/to/vault_pass.txt
  

• 直接传递密码内容（不推荐）：如果不想用文件，也可以直接把密码放到环境变量里，但这种方式会在命令历史中留下记录，风险较高：

  export ANSIBLE_VAULT_PASSWORD='your_vault_password_here'
  

• 设置好环境变量后，直接执行Playbook即可，无需额外参数。

额外注意事项 #

• 如果你用了多个不同的Vault密码加密不同的变量，可以使用--vault-id参数指定对应的密码标识和文件，比如：

  ansible-playbook your_playbook.yml --vault-id dev@vault_dev_pass.txt --vault-id prod@vault_prod_pass.txt
  

• 可以先通过简单命令验证加密变量是否能正常解密：

  ansible localhost -m debug -a "msg={{ vault_db_password }}" --vault-password-file vault_pass.txt
  

  如果能正常输出解密后的密码，说明配置没问题，再去运行Playbook就不会报错了。

内容的提问来源于stack exchange，提问作者Heihade1