ข้อมูลลับของ Vault ใน Pipeline

ไฟล์ vault ที่เข้ารหัสไว้ปลอดภัยใน git แต่ตัวรันยังต้องใช้รหัสผ่าน vault เพื่อถอดรหัสขณะเรียกใช้ 🔐

สิ่งเดียวที่ต้องเก็บไว้นอกรีโพสitoryคือรหัสผ่าน vault การจัดเก็บไว้ในข้อมูลลับของ CI จะทำให้รหัสผ่านไม่อยู่ในประวัติ

ใส่รหัสผ่านไว้ในข้อมูลลับของ GitHub เช่น VAULT_PASSWORD ซึ่งจะถูกปิดบังในบันทึกและถูกฉีดเข้าไปเฉพาะขณะเรียกใช้

ในขั้นตอนหนึ่ง ให้เขียนข้อมูลลับลงในไฟล์รหัสผ่านอายุสั้นที่ตัวรันสามารถส่งให้ Ansible ระหว่างทำเพลย์

ชี้เพลย์ไปยังไฟล์นั้นด้วย --vault-password-file เพื่อให้ Ansible ถอดรหัสเนื้อหาใน vault ได้โดยไม่ต้องแสดงข้อความถาม

Ansible ยังอ่าน ANSIBLE_VAULT_PASSWORD_FILE ได้ด้วย คุณจึงกำหนดค่าเพียงครั้งเดียว แทนการส่งแฟล็กในทุกคำสั่ง

--ask-vault-pass แบบโต้ตอบจะรอมนุษย์ตอบ จึงทำให้ไปป์ไลน์ค้าง ควรส่งรหัสผ่านจากไฟล์แทนเสมอ

ลบไฟล์ชั่วคราวเมื่อจบงาน ขั้นตอน always จะรับประกันการล้างข้อมูล แม้เพลย์บุ๊กจะล้มเหลวระหว่างทาง

ระบบ CI จะปิดบังข้อมูลลับที่ลงทะเบียนไว้ในบันทึกโดยอัตโนมัติ แต่ห้ามใช้ echo แสดงรหัสผ่านด้วยตนเอง เพราะผลลัพธ์ที่แสดงเองอาจทำให้การปิดบังดังกล่าวใช้ไม่ได้

หากมี vault หลายรายการ ให้แต่ละรายการมีID ของ vault เพื่อให้ข้อมูลลับของ production และ staging ถูกถอดรหัสด้วยรหัสผ่านของตนเอง

การเปลี่ยนข้อมูลลับของ CI จะเปลี่ยนรหัสผ่านสำหรับไปป์ไลน์ทั้งหมดพร้อมกัน โดยไม่ต้องแก้ไขโค้ด

คุณถอดรหัส vault ใน CI ได้อย่างปลอดภัยแล้ว: จัดเก็บรหัสผ่านเป็นข้อมูลลับ ส่งผ่านไฟล์รหัสผ่าน ไม่ใช้การถามแบบโต้ตอบ และล้างข้อมูลหลังเสร็จงาน 🔒