What is ansible vault | مرجع آموزشی

Ansible basic tutorials

Ansible Vault is a feature of ansible that allows you to keep sensitive data such as passwords or keys in encrypted files, rather than as plaintext in playbooks or roles.
با استفاده از این قابلیت می‌توان اطلاعات مهم و حیاتی مثل کلمات عبور را به صورت رمز شده در پرونده‌های PlayBook یا roles استفاده نمود.
برای استفاده از این قابلیت می‌توان از دستور ansible-vault استفاده نمود.
برای مشاهده‌ی سویچ‌های این ابزار به صورت زیر عمل کنید :

1	# ansible-vault --help

برای مطالعه بیشتر در خصوص این ابزار به صورت زیر عمل کنید :

1	# man ansible-vault

فرض کنید پرونده‌ای حاوی اطلاعات حساس در دسترس دارید. برای رمزنگاری این پرونده توسط ابزار ansible-vault به صورت زیر عمل کنید :

1	# ansible-vault encrypt ./file.txt

نکته: پرونده‌ی file.txt مثال بوده و باید تعویض شود.
با اجرای دستور بالا از شما کلمه‌ی عبوری برای رمزنگاری پرونده درخواست می‌شود.
حال در صورتی که پرونده را با ابزاری مثل cat مشاهده کنید، خواهید دید که محتویات آن به صورت رمز درآمده است. (توسط الگوریتم AES)
به عنوان مثال PlayBook زیر را در نظر بگیرید :

---

- hosts: centos-servers

tasks:

- name: copy file

copy: src=/root/file.txt dest=/opt

نکته: برای اشاره به پرونده‌ی file.txt نیازی نیست مسیر آن را به صورت کامل وارد کرد البته در صورتی که پرونده‌ی مورد نظر (در این مثال پرونده‌ی file.txt) کنار پرونده‌ی PlayBook قرار گرفته باشد.
نکته: مسیر opt/ مثال بوده و باید تعویض شود.
PlayBook بالا باعث می‌شود تا پرونده‌ی file.txt به مسیر opt/ در خادم‌های تحت مدیریت گروه centos-servers فرستاده شود.
جهت اجرای PlayBook گفته شده در بالا به صورت زیر عمل کنید :

1	# ansible-playbook playbook.yaml

نکته: پرونده‌ی playbook.yaml مثال بوده و باید تعویض شود.
با اجرای PlayBook بالا خواهید دید که با خطای زیر روبه‌رو خواهید شد چرا که پرونده‌ی file.txt رمزنگاری شده است.

PLAY [centos-servers] ***********************************************************************************************************************************************

TASK [Gathering Facts] **********************************************************************************************************************************************

ok: [172.16.0.245]

TASK [copy file] ****************************************************************************************************************************************************

fatal: [172.16.0.245]: FAILED! => {"msg": "A vault password or secret must be specified to decrypt /root/ansible/file.txt"}

to retry, use: --limit @/root/ansible/playbook.retry

PLAY RECAP **********************************************************************************************************************************************************

172.16.0.245 : ok=1 changed=0 unreachable=0 failed=1

به منظور اجرای PlayBook هایی که حاوی پرونده‌های رمز شده توسط ابزار ansible-vault هستند، باید از سویچ ask-vault-pass– به صورت زیر استفاده نمود :

1	# ansible-playbook playbook.yaml --ask-vault-pass

با اجرای دستور بالا، کلمه عبوری که با آن پرونده‌ی file.txt رمزنگاری شده است از شما پرسیده می‌شود که می‌بایست آن را وارد کنید.
در صورتی که دستور بالا به صورت موفقیت آمیز اجرا شده باشد، با خروجی‌ای مشابه زیر روبه‌رو خواهید شد :

Vault password:

PLAY [centos-servers] ***********************************************************************************************************************************************

TASK [Gathering Facts] **********************************************************************************************************************************************

ok: [172.16.0.245]

TASK [copy file] ****************************************************************************************************************************************************

changed: [172.16.0.245]

PLAY RECAP **********************************************************************************************************************************************************

172.16.0.245 : ok=2 changed=1 unreachable=0 failed=0

نکته: پرونده‌ی file.txt به صورت رمزگشایی شده به خادم‌های تحت مدیریتی که در پرونده‌ی PlayBook مشخص شده است، انتقال داده می‌شود.
به جای استفاده از سویچ ask-vault-pass– می‌توان از سویج vault-password-file– استفاده نمود و کلمه عبور را از داخل یک پرونده فراخوانی کرد. برای این منظور :

1	# ansible-playbook playbook.yaml --vault-password-file=./password.txt

به منظور مشاهده‌ی محتویات اصلی پرونده‌ی رمزنگاری توسط ابزار ansible-vault به صورت زیر عمل کنید :

1	# ansible-vault view file.txt

با اجرای دستور بالا از شما کلمه‌ی عبوری که برای رمزنگاری پرونده استفاده شده است، پرسیده می‌شود.
در مرحله بعد محتویات اصلی پرونده‌ی file.txt چاپ می‌شود.

به منظور تغییر محتویات پرونده‌ی رمزنگاری شده توسط ابزار ansible-vault به صورت زیر عمل کنید :

1	# ansible-vault edit file.txt

با اجرای دستور بالا، کلمه عبوری که با آن پرونده‌ی file.txt رمزنگاری شده است، پرسیده می‌شود.
در مرحله بعد بعد از وارد کردن کلمه عبور، وارد محیط ویرایشگر می‌شوید.

به منظور تغییر کلمه‌ی عبوری که برای رمزنگاری پرونده‌ی file.txt در نظر گرفته شده است، می‌توان از سویچ rekey استفاده نمود. برای این منظور :

1	# ansible-vault rekey file.txt

با اجرای دستور بالا ابتدا کلمه‌ی عبوری که برای رمزنگاری پرونده‌ی file.txt استفاده شده است، پرسیده می‌شود.
در مرحله بعد کلمه عبور جدید باید وارد شود.

به منظور خروج پرونده‌ی رمزنگاری شده از حالت رمزنگاری از سویچ decrypt به شکل زیر استفاده می‌شود :

1	# ansible-vault decrypt file.txt

با اجرای دستور بالا، کلمه‌ی عبوری که برای رمزنگاری پرونده‌ی file.txt استفاده شده است، پرسیده می‌شود.
در مرحله بعد پرونده‌ی file.txt کاملا رمزگشایی شده طوری که محتویات اصلی آن با ابزارهایی نظیر cat قابل رویت خواهد بود.
در صورتی که دستور بالا به صورت موفقیت آمیز اجرا شود. خروجی‌ای مشابه زیر دریافت خواهید کرد :

1	Decryption successful

به منظور مطالعه‌ی بیشتر دو لینک زیر پیشنهاد می‌شود :

1 2	https://docs.ansible.com/ansible/latest/user_guide/vault.html https://docs.ansible.com/ansible/latest/user_guide/playbooks_vault.html

Ansible Vault – لوکال
Using Vault in playbooks – لوکال

آزمایش شده بر روی Ansible نسخه‌ی 2.5.1
آزمایش شده بر روی سیستم عامل Ubuntu 18.04