Ansible Vault を使用したコンテンツの暗号化

Vault ID の制限

Ansible は、特定の Vault ID ラベルを使用するたびに同じパスワードを使用することを強制しません。異なる変数やファイルを、同じ Vault ID ラベルで異なるパスワードを使用して暗号化することができます。これは通常、プロンプトでパスワードを入力して間違えた場合に起こります。意図的に、同じ Vault ID ラベルで異なるパスワードを使用することは可能です。たとえば、各ラベルを、単一のパスワードではなく、パスワードのクラスへの参照として使用することができます。このシナリオでは、どの特定のパスワードまたはファイルを使用するかを常にコンテキストで知っておく必要があります。しかし、誤って同じ Vault ID ラベルと異なるパスワードを使用する 2 つのファイルを暗号化してしまう可能性が高くなります。誤って同じラベルで異なるパスワードの 2 つのファイルを暗号化してしまった場合は、1つのファイルで rekey を行って問題を解決できます。

Vault ID 一致の強制

デフォルトでは、Vault ID ラベルは、変数やファイルの暗号化にどのパスワードを使用したかを思い出させるためのヒントに過ぎません。Ansible は、暗号化されたコンテンツのヘッダーにある Vault ID が、コンテンツの使用時に指定した Vault ID と一致するかどうかはチェックしません。Ansible は、指定したパスワードで暗号化されたコマンドまたは Playbook によって呼び出されたすべてのファイルおよび変数を復号します。暗号化されたコンテンツをチェックし、コンテンツに含まれる Vault ID が --vault-id で指定したものと一致した場合にのみ暗号化を解除するには、設定オプション DEFAULT_VAULT_ID_MATCH を設定します。DEFAULT_VAULT_ID_MATCH を設定すると、各パスワードは同じラベルで暗号化したデータを復号するためにのみ使用されます。これは効率的で予測可能であり、異なる値が異なるパスワードで暗号化された場合のエラーを減らすことができます。

パスワードのファイルへの保存

Vault のパスワードをファイルに保存するには、ファイルの 1 行にパスワードを文字列で入力します。ファイルのパーミッションが適切であることを確認してください。パスワードファイルをソースコントロールに追加しないでください。

Vault パスワードクライアントスクリプトを使用したサードパーティーツールへのパスワードの保存

Valut パスワードは、システムキーリング、データベース、またはシークレットマネージャーに保存し、Valut パスワードクライアントスクリプトを使用して Ansible 内から取り出すことができます。パスワードは 1 行の文字列として入力します。パスワードに Vault ID がある場合は、パスワード保存ツールと連携する方法で保存します。

Vault パスワードクライアントスクリプトを作成するには、以下のようにします。

• -client または -client.EXTENSION で終わる名前でファイルを作成します。

• ファイルを実行可能な状態にします。

• スクリプト自体:

  • 標準出力にパスワードを出力します。

  • --vault-id オプションを許可します。

  • スクリプトがデータ (データベースパスワードなど) の入力を求める場合は、TTY にプロンプトが表示されます。

サードパーティーのツールに保存されている Vault パスワードを使用する Playbook を実行する場合は、--vault-id フラグ内でスクリプトをソースとして指定します。以下を例に示します。

ansible-playbook --vault-id dev@contrib/vault/vault-keyring-client.py

Ansible はクライアントスクリプトを --vault-id オプション付きで実行するため、スクリプトは指定された Vault ID ラベルを知ることができます。たとえば、シークレットマネージャーからパスワードを読み込むスクリプトは、Vault ID ラベルを使用して、「dev」または「prod」のいずれかのパスワードを選択できます。上記のコマンドの例では、クライアントスクリプトの実行結果は次のようになります。

contrib/vault/vault-keyring-client.py --vault-id dev

システムキーリングからパスワードを読み込むクライアントスクリプトの例は、vault-keyring-client script <https://github.com/ansible-community/contrib-scripts/blob/main/vault/vault-keyring-client.py> を参照してください。

変数を暗号化することの利点および欠点

変数レベルの暗号化では、ファイルを簡単に読み取ることができます。平文の変数と暗号化された変数を混在させることができ、プレイやロールの中でインラインでも使用できます。しかし、パスワードのローテーションはファイルレベルの暗号化のように簡単ではありません。暗号化された変数に 鍵の再設定 は使用できません。また、変数レベルの暗号化は変数に対してのみ機能します。タスクやその他のコンテンツを暗号化する場合は、ファイル全体を暗号化する必要があります。

暗号化されたファイルの作成

ansible-vault encrypt_string コマンドは、入力 (もしくはコピーまたは生成) した文字列を暗号化して、Playbook、ロール、変数ファイルに含めることができる形式にします。基本的な暗号化変数を作成するには、ansible-vault encrypt_string コマンドに 3 つのオプションを渡します。

• Vault パスワードのソース (プロンプト、ファイル、またはスクリプト、Vault ID あり/なし)

• 暗号化する文字列

• 文字列名 (変数の名前)

パターンは以下のようになります。

ansible-vault encrypt_string <password_source> '<string_to_encrypt>' --name '<string_name_of_variable>'

たとえば、「a_password_file」に保存されたパスワードのみを使用して文字列を「foobar」を暗号化する際に、変数「the_secret」に名前を付けます。

ansible-vault encrypt_string --vault-password-file a_password_file 'foobar' --name 'the_secret'

上記のコマンドにより、以下のような内容が作成されます。

the_secret: !vault |
      $ANSIBLE_VAULT;1.1;AES256
      62313365396662343061393464336163383764373764613633653634306231386433626436623361
      6134333665353966363534333632666535333761666131620a663537646436643839616531643561
      63396265333966386166373632626539326166353965363262633030333630313338646335303630
      3438626666666137650a353638643435666633633964366338633066623234616432373231333331
      6564

文字列「foooodev」を暗号化するには、Vault ID ラベル「dev」に「a_password_file」に格納されている「dev」の Vault パスワードを追加し、暗号化された変数「the_dev_secret」を呼び出します。

ansible-vault encrypt_string --vault-id dev@a_password_file 'foooodev' --name 'the_dev_secret'

上記のコマンドにより、以下のような内容が作成されます。

the_dev_secret: !vault |
          $ANSIBLE_VAULT;1.2;AES256;dev
          30613233633461343837653833666333643061636561303338373661313838333565653635353162
          3263363434623733343538653462613064333634333464660a663633623939393439316636633863
          61636237636537333938306331383339353265363239643939666639386530626330633337633833
          6664656334373166630a363736393262666465663432613932613036303963343263623137386239
          6330

標準入力から読み込んだ文字列「letmein」を暗号化するために、a_password_file に保存されている「dev」の Vault のパスワードを使用して Vault ID「dev」を追加し、変数に「db_password」という名前を付けます。

echo -n 'letmein' | ansible-vault encrypt_string --vault-id dev@a_password_file --stdin-name 'db_password'

上記のコマンドにより、以下が出力されます。

Reading plaintext input from stdin. (ctrl-d to end input, twice if your content does not already have a new line)
db_password: !vault |
          $ANSIBLE_VAULT;1.2;AES256;dev
          61323931353866666336306139373937316366366138656131323863373866376666353364373761
          3539633234313836346435323766306164626134376564330a373530313635343535343133316133
          36643666306434616266376434363239346433643238336464643566386135356334303736353136
          6565633133366366360a326566323363363936613664616364623437336130623133343530333739
          3039

暗号化する文字列の入力を求められるため、「a_password_file」の「dev」の Vault パスワードで暗号化し、変数名を「new_user_password」とし、Vault ID ラベル「dev」を付与します。

ansible-vault encrypt_string --vault-id dev@a_password_file --stdin-name 'new_user_password'

上記のコマンドにより、以下のプロンプトが表示されます。

Reading plaintext input from stdin. (ctrl-d to end input, twice if your content does not already have a new line)

暗号化する文字列 (「hunter2」など) を入力し、ctrl-d を押してお待ちください。

上記のシーケンスにより、以下のような出力が作成されます。

new_user_password: !vault |
          $ANSIBLE_VAULT;1.2;AES256;dev
          37636561366636643464376336303466613062633537323632306566653533383833366462366662
          6565353063303065303831323539656138653863353230620a653638643639333133306331336365
          62373737623337616130386137373461306535383538373162316263386165376131623631323434
          3866363862363335620a376466656164383032633338306162326639643635663936623939666238
          3161

上記の例の出力を将来使用するために、任意の Playbook、変数ファイル、またはロールに追加することができます。暗号化された変数は、平文の変数よりもサイズが大きくなりますが、機密性の高いコンテンツを保護する一方で、Playbook、変数ファイル、またはロールの残りの部分は平文のままなとなるため、簡単に読み取ることができます。

暗号化された変数の表示

暗号化された変数の元の値は、デバッグモジュールを使用して見ることができます。その際には、変数の暗号化に使用したパスワードを渡す必要があります。たとえば、上記の最後の例で作成した変数を「vars.yml」というファイルに保存した場合に、その変数の暗号化されていない値を見るには次のようにします。

ansible localhost -m ansible.builtin.debug -a var="new_user_password" -e "@vars.yml" --vault-id dev@a_password_file

localhost | SUCCESS => {
    "new_user_password": "hunter2"
}

ファイルを暗号化することの利点および欠点

ファイルレベルの暗号化は簡単に使用できます。暗号化されたファイルのパスワードローテーションは、rekey コマンドで簡単に行うことができます。ファイルを暗号化すると、慎重に扱うべき値だけでなく、使用する変数の名前も隠すことができます。しかし、ファイルレベルの暗号化では、ファイルの内容に簡単にアクセスして読むことができなくなります。これは暗号化されたタスクファイルでは問題になるかもしれません。変数ファイルを暗号化する場合、これらの変数への参照を暗号化されていないファイルに保持する 1 つの方法、「Vault 処理された変数を安全に表示」を参照してください。Ansible は、暗号化されたファイルを読み込んだり参照したりする際には、常に暗号化されたファイル全体を復号します。これは、Ansible は復号しない限りコンテンツが必要かどうかを知ることができないからです。

暗号化されたファイルの作成

「multi_password_file」の Vault パスワード「test」を使用して、「foo.yml」という名前の新しい暗号化データファイルを作成するには、以下を行います。

ansible-vault create --vault-id test@multi_password_file foo.yml

このツールは、エディター ($EDITOR で定義したエディターがなんであれ、デフォルトは vi) を起動します。コンテンツを追加します。エディターセッションを終了すると、ファイルは暗号化されたデータとして保存されます。ファイルのヘッダーには、作成時に使用した Vault ID が反映されます。

``$ANSIBLE_VAULT;1.2;AES256;test``

Vault ID「my_new_password」が割り当てられた新しい暗号化データファイルを作成し、パスワードの入力を求められるようにするには、以下を行います。

ansible-vault create --vault-id my_new_password@prompt foo.yml

ここでも、エディターのファイルにコンテンツを追加して保存します。プロンプトで作成した新しいパスワードを必ず保存し、そのファイルを復号するときに見つけられるようにしてください。

既存ファイルの暗号化

既存ファイルを暗号化するには、ansible-vault encrypt コマンドを使用します。このコマンドは、一度に複数のファイルで動作します。以下に例を示します。

ansible-vault encrypt foo.yml bar.yml baz.yml

「プロジェクト」IDで既存のファイルを暗号化し、パスワードの入力を求めるプロンプトを表示するには、以下のようになります。

ansible-vault encrypt --vault-id project@prompt foo.yml bar.yml baz.yml

暗号化したファイルの表示

暗号化したファイルの内容を編集せずに表示する場合は、ansible-vault view コマンドを使用できます。

ansible-vault view foo.yml bar.yml baz.yml

暗号化されたファイルの編集

暗号化されたファイルをその場で編集するには、ansible-vault edit コマンドを使用します。このコマンドは、ファイルを一時的なファイルに復号し、内容を編集できるようにした後、内容を保存して再度暗号化し、エディターを閉じるときに一時的なファイルを削除します。以下に例を示します。

ansible-vault edit foo.yml

「vault2」パスワードファイルで暗号化され、Vault ID「pass2」を割り当てたファイルを編集するには、以下を実行します。

ansible-vault edit --vault-id pass2@vault2 foo.yml

暗号化されたファイルのパスワードまたは Vault ID の変更

暗号化された 1 つまたは複数のファイルのパスワードを変更するには、rekey コマンドを使用します。

ansible-vault rekey foo.yml bar.yml baz.yml

このコマンドは、複数のデータファイルの鍵を一度に再設定することができ、元のパスワードと新しいパスワードを要求します。鍵を一度に再設定したファイルに別の ID を設定するには、新しい ID を --new-vault-id に渡します。たとえば、「ppold」ファイルから「preprod1」の Vault ID で暗号化されたファイルのリストで Vault ID「preprod2」に鍵を再設定し、新しいパスワードの入力を求める場合です。

ansible-vault rekey --vault-id preprod1@ppold --new-vault-id preprod2@prompt foo.yml bar.yml baz.yml

暗号化されたファイルの復号化

暗号化されたファイルがあり、そのファイルを暗号化したままにしておきたくない場合は、ansible-vault decrypt コマンドを実行することで永久に暗号化を解除することができます。このコマンドは暗号化されていないファイルをディスクに保存するため、代わりに edit を使用しないようにしてください。

ansible-vault decrypt foo.yml bar.yml baz.yml

エディターを確保するための手順

Ansible Vault は、設定されたエディターに依存しており、これが情報漏えいの原因となることがあります。ほとんどのエディターには、データの損失を防ぐ方法がありますが、通常は、秘密のコピーが平文で保存されている可能性のある追加の平文ファイルに依存しています。エディターのドキュメントを参照して、セキュアなデータの開示を回避するようにエディターを設定してください。以下のセクションでは、一般的なエディターに関するガイダンスを提供していますが、エディターのセキュリティーを確保するための完全なガイドと考えるべきではありません。

set noswapfile

set nobackup
set nowritebackup

set viminfo=

set clipboard=

(setq x-select-enable-clipboard nil)

(setq make-backup-files nil)

(setq auto-save-default nil)