Quel est l'équivalent de configuration d'Ansible de `--vault-password-file`?

Selon l'aide de ansible-playbook, on pourrait utiliser --user=REMOTE_USERpour définir l'utilisateur ssh, mais on pourrait également définir ansible_ssh_user: REMOTE_USERdans l'hôte ou le groupe_vars.

Question

Quelle variable doit être définie dans le répertoire group- ou host_vars pour éviter qu'elle --vault-password-filene soit définie lors de l'exécution ansible-playbook?

Tentatives

• Lorsque ansible_vault_password_file: ~/.vault_pass.txtest défini dans la configuration, le déchiffrement échoue:

  ERROR! Decryption failed on /path/to/vault
  

• Aucune variable de coffre-fort associée n'a été trouvée dans cette documentation

Voici la définition:

DEFAULT_VAULT_PASSWORD_FILE = get_config(p, DEFAULTS, 'vault_password_file', \
'ANSIBLE_VAULT_PASSWORD_FILE', None, value_type='path')

Cela signifie que vous mettez soit ansible.cfg ou playbook:

vault_password_file: ~/.vault_pass.txt

Ou dans votre shell défini cette variable:

export ANSIBLE_VAULT_PASSWORD_FILE=~/.vault_pass.txt

Vous pouvez définir une variable d'environnement ANSIBLE_VAULT_PASSWORD_FILEstockant le chemin d'accès au fichier de mots de passe du coffre-fort. De cette façon, vous n'aurez pas toujours à utiliser le --vault-password-filecommutateur lors de l'exécution d'un playbook.

Ceci est décrit dans la documentation d'Ansible's Vault, disponible ici .

Alors, ajoutez-en export ANSIBLE_VAULT_PASSWORD_FILE=~/.vault_pass.txtà votre ~/.bash_profilesource et vous êtes prêt à partir.

Si vous avez besoin de mots de passe de coffre-fort différents pour différents groupes d'hôtes, vous devez procéder comme suit:

À l'intérieur de ce sous-répertoire, créez deux fichiers nommés vars et vault. À l'intérieur du fichier vars, définissez toutes les variables nécessaires, y compris les variables sensibles. Ensuite, copiez toutes les variables sensibles dans le fichier du coffre-fort et préfixez ces variables avec vault_. Vous devez ajuster les variables dans le fichier vars pour pointer vers les variables vault_ correspondantes et vous assurer que le fichier vault est chiffré dans le coffre-fort.

Il s'agit d'un exemple d'approche des meilleures pratiques pour la gestion des informations sensibles par groupe. Plus d'informations sont disponibles dans la documentation d'Ansible ici (le texte ci-dessus est copié à partir de là).