Como gerir dados secretos e informações confidenciais ao usar Ansible?

Para gerir dados secretos no Ansible, utiliza-se a ferramenta integrada Ansible Vault. Ela permite cifrar ficheiros com informações confidenciais (por exemplo, passwords, chaves API, certificados) para os armazenar de forma segura no repositório.

Exemplo de uso do Ansible Vault:

# Criar um ficheiro cifrado
ansible-vault create secrets.yml

# Editar um ficheiro cifrado
ansible-vault edit secrets.yml

# Executar um playbook usando dados cifrados
ansible-playbook playbook.yml --ask-vault-pass

Para além do Vault, recomenda-se:

• Guardar segredos fora do código, por exemplo, em sistemas de gestão de segredos (HashiCorp Vault, AWS Secrets Manager).
• Utilizar variáveis de ambiente ou inventários dinâmicos para passar segredos.
• Minimizar o acesso aos segredos e rotacionar as chaves regularmente.

Assim, o Ansible Vault é a principal e mais simples forma de gerir segredos de forma segura em projetos Ansible.