0Pricing
DevOps Bootcamp · 课时

Pipeline 中的 Vault Secrets

在 CI 中安全解密，避免泄露

Pipeline 中的 Vault Secrets 是 CoddyKit 上的免费 DevOps Bootcamp 课时。 这是第 3 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 DevOps Bootcamp 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 DevOps Bootcamp 课程共包含 4 节课。

流水线中的保管库密码问题

加密的保管库文件可以安全地存放在 git 中，但运行器在运行时仍然需要保管库密码来解密它们。🔐

绝不要提交密码

唯一必须留在代码库之外的内容就是保管库密码本身。将它存储在 CI 机密信息中，可以避免它出现在历史记录里。

将其存储在 CI 机密信息中

将密码放入名为 VAULT_PASSWORD 的 GitHub 机密项中，这样它会在日志中被掩码，并且只会在运行时注入。

env:
  VAULT_PASS: ${{ secrets.VAULT_PASSWORD }}

写入临时密码文件

在某个步骤中，将机密信息写入一个短期存在的密码文件，让运行器可以在任务执行期间将它交给 Ansible。

- run: echo "$VAULT_PASS" > .vault_pass

使用 vault-password-file 解密

使用 --vault-password-file 让任务指向该文件，这样 Ansible 就能解密保管库内容，而不会出现提示。

ansible-playbook site.yml \
  --vault-password-file .vault_pass

或者使用环境变量

Ansible 也会读取 ANSIBLE_VAULT_PASSWORD_FILE，因此您可以设置一次，而不必在每条命令中都传入该选项。

export ANSIBLE_VAULT_PASSWORD_FILE=.vault_pass

不要在 CI 中使用 --ask-vault-pass

交互式 --ask-vault-pass 会等待人工输入，因此会卡住流水线。请始终改用文件提供密码。

始终清理临时文件

在作业结束时删除临时文件。一个 always 步骤可以保证即使剧本中途失败也会执行清理。

- if: always()
  run: rm -f .vault_pass

进行掩码处理，不要回显

CI 会自动对日志中的已注册机密信息进行掩码，但绝不要自行 echo 密码，因为手动输出可能会绕过这种掩码。

为多个保管库命名 ID

使用多个保管库时，为每个保管库指定一个保管库 ID，这样生产环境和预发布环境的机密信息就会分别使用各自的密码解密。

--vault-id prod@.prod_pass \
--vault-id stage@.stage_pass

无需重新部署即可轮换

更改 CI 机密信息，就能一次性为整条流水线轮换密码，无需修改代码。

快速检查

流水线应如何提供保管库密码？

回顾：机密信息始终保密

您已经在 CI 中安全地解密了保管库：将密码存储为机密信息，通过密码文件提供，跳过提示，并在完成后清理。🔒

常见问题解答

「Pipeline 中的 Vault Secrets」课时是免费的吗？

是的 — 「Pipeline 中的 Vault Secrets」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 DevOps Bootcamp 课程的其余内容，请升级到 CoddyKit PRO。 DevOps Bootcamp 课程共包含 4 节课。

「Pipeline 中的 Vault Secrets」这节课中我会学到什么？

在 CI 中安全解密，避免泄露 你通过在浏览器中直接运行的动手代码来练习 DevOps Bootcamp，全天候 AI 导师会在你学习这节课的过程中回答你的问题。

学习 DevOps Bootcamp 需要有经验吗？

无需任何先前经验。CoddyKit 上的 DevOps Bootcamp 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 3 节课，共 4 节。

「Pipeline 中的 Vault Secrets」课时需要多长时间？

大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。

我能在这节 DevOps Bootcamp 课中编写并运行代码吗？

能。每节 DevOps Bootcamp 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。

此课程中的所有课时

  1. 将 ansible-lint 作为质量门禁
  2. 在 GitHub Actions 中运行 Playbook
  3. Pipeline 中的 Vault Secrets
  4. 带审批和 Check Mode 的受控部署
← 返回 DevOps Bootcamp