Vault 与密钥

Ansible 课程的一部分

到目前为止你写下的所有东西，给谁看都无所谓。主机清单、模板、角色的默认变量，就算被陌生人读到也伤不到你。直到你写到创建数据库用户的那个任务，它需要一个密码。你把密码敲进 group_vars/db.yml，提交、推送，从此这个密码就永久留在了项目历史里，凡是能访问仓库的人都读得到；就算你后来把那一行删掉，它照样读得到，因为 git 连删掉的行也一并记着。

Ansible 给出的答案是 Vault，一个内置在 ansible-vault 命令里的小型加密工具。它让文件以不可读的密文形式待在仓库里，等剧本真正运行的那一刻，Ansible 再在内存中把它解开。文件本身可以放心提交，唯一要留在仓库之外的是那句口令，而且需要保管的是一句口令，不是五十个密钥。 ...