Vault で機密情報を守る
Pro会員限定中級約45分6レッスン
DBパスワードやAPIトークンを平文のままプレイブックに置くのは事故のもと。ansible-vault でファイルを暗号化し、パスワードファイルを使って実行・閲覧・復号する一連の運用を身につけます。ansible.cfg での省略と encrypt_string まで扱います。
対象者: パスワードやトークンを含む構成を、安全にチームで共有したい方
前提知識: 変数の優先順位 修了程度（vars_files と template を知っていること）
この教材を終えると、できるようになること
- vars_files で読み込む機密ファイルが平文のままだと何が起きるかを説明できる
- --vault-password-file を使って機密ファイルを暗号化できる
- Vault で暗号化した vars_files を含むプレイブックを、パスワードファイル付きで実行できる
- 暗号化ファイルの内容確認（view）と復号（decrypt）を使い分けられる
- ansible.cfg の vault_password_file で鍵を既定化し、encrypt_string の用途を説明できる
修了後の姿: ロールで構造化し、Vaultで機密を守り、タグ・ローリング適用・エラー制御を使った本番想定のAnsible運用ができるようになります。
Chapter 1暗号化して、鍵で開ける
平文の危険を確認し、暗号化・実行・閲覧・設定ファイルでの省略までを実践します。
- 平文パスワードの何が危ないのかsecrets.yml と dbconfig.yml を読み、機密情報がどこに置かれているかを確認します。約7分（有料会員限定）
- ansible-vault encrypt で暗号化するパスワードファイルを使って secrets.yml を暗号化し、中身が読めなくなることを確認します。約9分（有料会員限定）
- 暗号化したまま実行する鍵なしの実行が止まることを見てから、--vault-password-file 付きで適用します。約10分（有料会員限定）
- view で中身を確認する・decrypt で戻す暗号化したまま中身を読む view と、平文に戻す decrypt の使い分けを学びます。約8分（有料会員限定）
- ansible.cfg で鍵の指定を省くvault_password_file を設定ファイルに書き、毎回のオプション指定を不要にします。約10分（有料会員限定）
Chapter 2確認クイズ
Vault の運用を確認します。