Ansible Vault : secrets d'infrastructure dans ansible-roles

Les playbooks Ansible du repo github.com/kaeyros-analytics-org/ansible-roles contiennent des variables sensibles : adresses IP, credentials serveurs, paramètres système. Ces données sont protégées par Ansible Vault dans les fichiers group_vars et host_vars. Cette page détaille les commandes essentielles et les règles à respecter pour manipuler ces fichiers en toute sécurité.

Le mot de passe maître d’Ansible Vault est stocké dans Passbolt, groupe DevOps.

Structure des fichiers chiffrés

Les fichiers suivants doivent toujours être chiffrés s’ils contiennent des données sensibles :

ansible-roles/
└── inventory/
    └── */
        ├── group_vars/
        │   └── *.yml
        └── host_vars/
            └── *.yml

Commandes essentielles

ansible-vault edit inventory/production/group_vars/webservers.yml

ansible-vault view inventory/production/host_vars/big-one-9d0479e4.yml

ansible-vault rekey inventory/production/group_vars/all.yml

ansible-vault encrypt inventory/staging/group_vars/database.yml

ansible-vault decrypt inventory/production/group_vars/secrets.yml

Ne jamais commiter un fichier non chiffré contenant des secrets dans le repo ansible-roles. Utilisez un pre-commit hook ou vérifiez manuellement avec git diff --cached avant chaque push. Si un fichier sensible est exposé, contactez immédiatement devops@kaeyros-analytics.com.

Pour éviter les erreurs, configurez votre éditeur pour reconnaître l’en-tête !vault | et afficher une alerte visuelle lorsque vous ouvrez un fichier non chiffré dans un répertoire group_vars ou host_vars.

Pour toute question sur Ansible Vault ou sur le repo ansible-roles, contactez l’équipe DevOps à l’adresse devops@kaeyros-analytics.com.

Secrets

Accès et RBAC

Pentest et audit

Ansible Vault : secrets d'infrastructure dans ansible-roles

Structure des fichiers chiffrés

Commandes essentielles

​Structure des fichiers chiffrés

​Commandes essentielles

Structure des fichiers chiffrés

Commandes essentielles