Sekrety Vault w potoku
Bezpieczne odszyfrowywanie w CI bez wycieków.
Sekrety Vault w potoku to bezpłatna lekcja DevOps Bootcamp na CoddyKit. To lekcja 3 z 4. Możesz przeczytać całą lekcję poniżej za darmo — a potem ćwiczyć ją interaktywnie w przeglądarce z wbudowanym edytorem kodu i tutorem AI dostępnym 24/7. To część ścieżki edukacyjnej DevOps Bootcamp, a Twój postęp synchronizuje się między webem a aplikacją CoddyKit. Kurs DevOps Bootcamp zawiera 4 lekcji w sumie.
Problem z sekretami w pipeline
Zaszyfrowane pliki vault są bezpieczne w repozytorium git, ale runner nadal potrzebuje hasła vault, aby odszyfrować je w czasie działania. 🔐
Nigdy nie zatwierdzaj hasła
Jedyną rzeczą, która musi pozostać poza repozytorium, jest samo hasło vault. Zapisanie go w sekretach CI chroni je przed trafieniem do historii.
Zapisz je w sekretach CI
Umieść hasło w GitHub Secret, na przykład VAULT_PASSWORD, gdzie będzie ukrywane w logach i wstrzykiwane dopiero w czasie działania.
env:
VAULT_PASS: ${{ secrets.VAULT_PASSWORD }}Utwórz tymczasowy plik z hasłem
W jednym z kroków zapisz sekret do krótkotrwałego pliku z hasłem, który runner przekaże Ansible podczas wykonywania play.
- run: echo "$VAULT_PASS" > .vault_passOdszyfruj za pomocą vault-password-file
Wskaż ten plik za pomocą --vault-password-file, aby Ansible odszyfrował zawartość vault bez wyświetlania monitu.
ansible-playbook site.yml \
--vault-password-file .vault_passMożesz też użyć zmiennej środowiskowej
Ansible odczytuje również ANSIBLE_VAULT_PASSWORD_FILE, więc można ustawić ją raz zamiast przekazywać tę flagę przy każdym poleceniu.
export ANSIBLE_VAULT_PASSWORD_FILE=.vault_passBez --ask-vault-pass w CI
Interaktywne --ask-vault-pass czeka na człowieka, przez co pipeline się zawiesza. Zawsze przekazuj hasło z pliku.
Zawsze posprzątaj
Usuń plik tymczasowy po zakończeniu joba. Krok always gwarantuje sprzątanie nawet wtedy, gdy playbook zakończy się błędem w połowie działania.
- if: always()
run: rm -f .vault_passMaskuj, nie wyświetlaj
CI automatycznie maskuje zarejestrowane sekrety w logach, ale nigdy samodzielnie nie używaj echo do wyświetlania hasła, ponieważ ręczne wypisanie może ominąć to maskowanie.
Nadaj nazwy wielu identyfikatorom vault
W przypadku wielu vaultów nadaj każdemu identyfikator vault, aby sekrety produkcyjne i testowe były odszyfrowywane za pomocą własnych haseł.
--vault-id prod@.prod_pass \
--vault-id stage@.stage_passObróć hasło bez ponownego wdrożenia
Zmiana sekretu CI obraca hasło dla całego pipeline jednocześnie i nie wymaga zmiany kodu.
Szybkie sprawdzenie
Jak pipeline powinien przekazywać hasło vault?
Podsumowanie: sekrety pozostają sekretami
Bezpiecznie odszyfrowano vault w CI: hasło jest przechowywane jako sekret, przekazywane za pomocą pliku z hasłem, bez monitów, a po zakończeniu plik jest usuwany. 🔒
Często zadawane pytania
Czy lekcja „Sekrety Vault w potoku” jest bezpłatna?
Tak — pełny tekst „Sekrety Vault w potoku” jest dostępny za darmo tutaj w sieci. Aby ćwiczyć ją interaktywnie (wbudowany edytor kodu i tutor AI dostępny 24/7) i odblokować resztę kursu DevOps Bootcamp, przejdź na CoddyKit PRO. Kurs DevOps Bootcamp zawiera 4 lekcji w sumie.
Co nauczysz się w „Sekrety Vault w potoku”?
Bezpieczne odszyfrowywanie w CI bez wycieków. Ćwiczysz DevOps Bootcamp z praktycznym kodem, który uruchamiasz bezpośrednio w przeglądarce, a tutor AI dostępny 24/7 odpowiada na Twoje pytania podczas pracy nad lekcją.
Czy potrzebuję doświadczenia, aby zacząć DevOps Bootcamp?
Nie wymagamy żadnego doświadczenia. DevOps Bootcamp w CoddyKit jest strukturyzowany dla początkujących i zaawansowanych użytkowników, więc możesz zacząć tutaj lub od początku i uczyć się w swoim tempie. To lekcja 3 z 4.
Ile czasu zajmuje lekcja „Sekrety Vault w potoku”?
Większość lekcji CoddyKit trwa około 5–10 minut. Każda lekcja to mały, interaktywny krok, dzięki czemu robisz systematyczne postępy i zawsze wracasz dokładnie do tego samego miejsca — na webie i w aplikacji.
Czy mogę pisać i uruchamiać kod w tej lekcji DevOps Bootcamp?
Tak. Każda lekcja DevOps Bootcamp zawiera wbudowany edytor kodu, więc piszesz i uruchamiasz prawdziwy kod bezpośrednio w przeglądarce i od razu otrzymujesz sprzężenie zwrotne od AI — bez konfiguracji na komputerze.
Wszystkie lekcje w tym kursie
- ansible-lint jako bramka jakości
- Uruchamianie playbooków w GitHub Actions
- Sekrety Vault w potoku
- Wdrożenia z zatwierdzeniami i trybem check