Как расшифровать Vault File в момент исполнения pipeline

1️⃣ Как кратко ответить

Для расшифровки Vault File в момент исполнения pipeline используйте Ansible Vault с командой ansible-vault decrypt в сочетании с безопасным хранением и передачей пароля, например, через переменные окружения или секреты CI/CD системы.

2️⃣ Подробное объяснение темы

Ansible Vault — это инструмент, который позволяет шифровать и расшифровывать файлы, содержащие конфиденциальные данные, такие как пароли или ключи доступа. В контексте DevOps и CI/CD pipeline, часто возникает необходимость расшифровки таких файлов на этапе выполнения, чтобы использовать их содержимое в процессе развертывания или тестирования.

Зачем это нужно

В процессе автоматизации развертывания приложений и инфраструктуры, необходимо безопасно управлять конфиденциальной информацией. Ansible Vault позволяет хранить такие данные в зашифрованном виде, обеспечивая их безопасность и доступность только для авторизованных пользователей или процессов.

Как это работает

1. Создание и шифрование файла:

   • Используйте команду ansible-vault create <filename> для создания нового зашифрованного файла.
   • Для шифрования уже существующего файла используйте ansible-vault encrypt <filename>.

2. Расшифровка файла в pipeline:

   • В CI/CD pipeline, например, в Jenkins, GitLab CI или GitHub Actions, необходимо расшифровать файл перед его использованием.
   • Для этого используется команда ansible-vault decrypt <filename> --vault-password-file <password_file>.

Пример использования в CI/CD

Рассмотрим пример использования в Jenkins pipeline:

pipeline {
    agent any
    environment {
        VAULT_PASSWORD = credentials('vault-password-id') // Хранение пароля в Jenkins Credentials
    }
    stages {
        stage('Decrypt Vault File') {
            steps {
                script {
                    // Создание временного файла для хранения пароля
                    writeFile file: 'vault_pass.txt', text: "${env.VAULT_PASSWORD}"
​
                    // Расшифровка файла с использованием временного файла пароля
                    sh 'ansible-vault decrypt secrets.yml --vault-password-file vault_pass.txt'
​
                    // Удаление временного файла пароля для безопасности
                    sh 'rm vault_pass.txt'
                }
            }
        }
        stage('Use Decrypted Secrets') {
            steps {
                // Использование расшифрованных данных
                sh 'cat secrets.yml'
            }
        }
    }
}

Пояснение к коду

• environment: Определяет переменные окружения, в данном случае VAULT_PASSWORD, которая получает значение из Jenkins Credentials.
• writeFile: Создает временный файл vault_pass.txt, содержащий пароль для Ansible Vault.
• sh 'ansible-vault decrypt': Расшифровывает файл secrets.yml с использованием временного файла пароля.
• sh 'rm vault_pass.txt': Удаляет временный файл пароля после расшифровки для обеспечения безопасности.
• sh 'cat secrets.yml': Пример использования расшифрованного файла, здесь просто вывод его содержимого.

Заключение

Использование Ansible Vault в CI/CD pipeline позволяет безопасно управлять конфиденциальной информацией, необходимой для автоматизации процессов. Важно обеспечить безопасное хранение и передачу пароля для Vault, чтобы предотвратить несанкционированный доступ к зашифрованным данным.