Vault и секреты

Часть курса Ansible

Всё, что вы писали до сих пор, можно было спокойно показать кому угодно. Инвентари, шаблоны, значения по умолчанию для ролей: ничего из этого вам не навредит, даже если прочитает посторонний. А потом вы доходите до задачи, которая заводит пользователя базы данных, и ей нужен пароль. Вы вписываете его в group_vars/db.

Ответ Ansible на это - Vault, небольшой инструмент шифрования, встроенный в команду ansible-vault. Он позволяет файлу лежать в репозитории нечитаемым шифротекстом, а Ansible расшифровывает его в памяти в момент запуска плейбука. Такой файл можно спокойно коммитить. Единственное, что вы держите вне репозитория, это парольная фраза, и это один секрет вместо пятидесяти. ...