如何在Ansible Playbook中安全地实现文件加密操作？

以下三个方案按安全优先级从高到低排序，均可解决你提到的密码泄露风险：

方案1：使用Ansible原生vault过滤器加密（首推） #

整个加密过程完全在Ansible进程内完成，无外部命令调用，完全避免密码暴露在进程列表或临时文件中，加密后的文件与标准ansible-vault格式完全兼容，后续可直接用ansible-vault工具或过滤器解密。
示例任务：

- name: 读取原始备份文件内容
  ansible.builtin.slurp:
    src: "{{ file_to_encrypt }}"
  register: raw_backup_content

- name: 加密内容后写入目标加密文件
  ansible.builtin.copy:
    content: "{{ raw_backup_content.content | b64decode | ansible.builtin.vault_encrypt(vault_password=vaulted_encryption_password) }}"
    dest: "{{ encrypted_file }}"
    mode: '0600'

要求Ansible版本≥2.10，vaulted_encryption_password可直接从Ansible Vault加密的变量中读取，无需明文落地。

方案2：OpenSSL stdin传密模式 #

如果需要生成OpenSSL兼容的加密文件，可通过stdin传递密码，避免密码出现在命令行参数中：

- name: 安全调用OpenSSL加密备份
  ansible.builtin.shell:
    cmd: openssl {{ openssl_parameters }} -kfile /dev/stdin -in {{ file_to_encrypt }} -out {{ encrypted_file }}
    stdin: "{{ vaulted_encryption_password }}"
  no_log: true

添加no_log: true可避免Ansible运行日志中意外泄露密码信息。

方案3：内存临时文件调用ansible-vault命令 #

如果必须使用ansible-vault命令行工具，可将密码写入内存文件系统的临时文件，避免密码持久化到磁盘：

- name: 在tmpfs内存分区创建临时密码文件
  ansible.builtin.tempfile:
    path: /dev/shm
    state: file
    mode: '0600'
  register: vault_pw_temp
  no_log: true

- name: 写入加密密码到临时文件
  ansible.builtin.copy:
    content: "{{ vaulted_encryption_password }}"
    dest: "{{ vault_pw_temp.path }}"
    mode: '0600'
  no_log: true

- name: 调用ansible-vault加密文件
  ansible.builtin.command:
    cmd: ansible-vault encrypt {{ file_to_encrypt }} --vault-password-file {{ vault_pw_temp.path }}
  no_log: true

- name: 销毁临时密码文件
  ansible.builtin.file:
    path: "{{ vault_pw_temp.path }}"
    state: absent

内容的提问来源于stack exchange，提问作者avgvtvs