Vault e Segredos

Parte do curso de Ansible

Tudo o que você escreveu até aqui poderia ser mostrado a qualquer pessoa sem problema. Inventários, templates, defaults de roles: nada disso te prejudicaria se um estranho lesse. Aí você chega na task que cria o usuário do banco de dados, e ela precisa de uma senha. Você digita a senha em group_vars/db.

A resposta do Ansible é o Vault, uma pequena ferramenta de criptografia embutida no comando ansible-vault. Ela deixa um arquivo viver dentro do repositório como texto cifrado ilegível, e deixa o Ansible descriptografá-lo em memória no momento em que o playbook roda. O arquivo pode ser commitado sem risco. A passphrase é a única coisa que fica fora do repositório, e é um segredo só em vez de cinquenta. ...