パイプラインで Vault Secret を扱う

暗号化されたvault ファイルは git に安全に保存できますが、ランナーは実行時に復号するための vault パスワードを必要とします。🔐

リポジトリの外に置かなければならないものは、vault パスワードそのものです。CI シークレットに保存すれば、履歴にも残りません。

VAULT_PASSWORD のような GitHub Secret にパスワードを保存します。ログではマスクされ、実行時にだけ注入されます。

ステップ内でシークレットを短時間だけ有効なパスワードファイルに書き込み、実行中にランナーから Ansible へ渡せるようにします。

--vault-password-file でそのファイルをプレイに指定すると、プロンプトを表示せずに Ansible が vault の内容を復号します。

Ansible は ANSIBLE_VAULT_PASSWORD_FILE も読み取るため、コマンドごとにフラグを渡す代わりに、1度だけ設定できます。

対話型の --ask-vault-pass は人間の入力を待つため、パイプラインが停止します。代わりに、必ずファイルからパスワードを渡します。

ジョブの終了時に一時ファイルを削除します。always ステップを使えば、プレイブックが途中で失敗しても確実に後片付けできます。

CI は登録済みのシークレットをログ内で自動的にマスクしますが、自分でパスワードを echo してはいけません。手動出力によってマスクを無効にできてしまうためです。

複数の vault がある場合は、それぞれにvault IDを付けます。prod と staging のシークレットを、それぞれ専用のパスワードで復号できます。

CI シークレットを変更すると、コードを変更せずにパイプライン全体のパスワードを一度にローテーションできます。

CI で vault を安全に復号しました。パスワードをシークレットとして保存し、パスワードファイルで渡し、プロンプトを避け、最後に後片付けします。🔒