Ansible Vault : guide pratique pour gérer les secrets proprement

Réponse rapide

Ansible Vault chiffre les secrets dans les fichiers YAML pour éviter leur exposition dans Git.

ansible-vault create group_vars/all/vault.yml
ansible-vault edit group_vars/all/vault.yml
ansible-playbook -i inventory.ini site.yml --ask-vault-pass

Contexte

En IaC, le risque principal est le secret en clair dans le repo ou dans les logs CI. Vault répond précisément à ce risque.

Organisation recommandée

  • group_vars/all/main.yml : variables non sensibles
  • group_vars/all/vault.yml : variables sensibles chiffrées

Commandes essentielles

ansible-vault view group_vars/all/vault.yml
ansible-vault rekey group_vars/all/vault.yml
ansible-vault encrypt_string 'token123' --name 'vault_api_token'

Cas CI/CD

La doc Ansible recommande une gestion contrôlée du mot de passe Vault (variable protégée, accès restreint, rotation planifiée).

Erreurs fréquentes

  • mettre un secret en clair “temporairement”,
  • partager le mot de passe Vault sans procédure,
  • ne jamais faire de rotation.

Checklist sécurité

  • secrets chiffrés
  • revue MR
  • accès limités
  • rotation planifiée

FAQ

Vault remplace-t-il un secret manager ?

Pas forcément, mais c’est une base solide pour beaucoup d’équipes.

Glossaire rapide

  • Regex : expression régulière pour décrire un motif de recherche texte.
  • MTTR : temps moyen de rétablissement après incident.
  • CI/CD : intégration continue / déploiement continu.
  • Idempotence : relancer une tâche donne le même état final sans effet secondaire indésirable.

Sources officielles

Conclusion

Ansible Vault est un standard pragmatique pour sécuriser les secrets dans un workflow Ansible.

Tags: , ,

Laisser un commentaire