Ansible×SOPS：GitOpsの聖域を守る、暗号化の極意
IaCの現場において、「Ansible Vault」は確かに便利だ。だが、大規模なチーム開発、あるいはCI/CDパイプラインへの完全統合を考えたとき、Vaultはしばしば「運用の足枷」となる。
平文のYAMLと暗号化されたYAMLが混在し、差分比較（diff）が困難なVaultファイル。CI環境ごとにパスワードをどう注入するかで苦悩する日々は、今日で終わりにしよう。
本稿では、Mozilla SOPSを採用し、GitOpsの思想に基づいた「真にスケーラブルなシークレット管理術」を伝授する。
—
1. なぜ「Ansible Vault」を捨て、「SOPS」を選ぶのか
Ansible Vaultの最大の問題は、「ファイル全体が暗号化される」ことによる可読性の欠如だ。Gitの差分ログは「Binary file changed」という無意味な記録で埋め尽くされ、レビューはもはや当てずっぽうの作業と化す。
一方、Mozilla SOPSは「構造化データのキー単位」での暗号化を可能にする。
- Gitの恩恵: 暗号化された値だけが置換されるため、キー名や構造の変更をGit上で完璧に追跡できる。
- 鍵管理の分離: AWS KMSやGCP KMS、Ageなど、インフラ側のID管理と暗号化を直結できる。
—
2. 実装：SOPS + Ansible Lookupの魔法
SOPSで暗号化したファイルを、Ansibleが実行時に透過的に読み込むための最強の実装を紹介する。
事前準備：`.sops.yaml` の定義
プロジェクトルートに配置し、暗号化ルールを宣言する。
.sops.yaml
creation_rules:
- path_regex: secrets/.\.yaml$
kms: “arn:aws:kms:ap-northeast-1:123456789012:key/your-key-id”
Ansibleでの動的読み込み
`ansible-community.sops` コレクションを使用すれば、Ansibleの `lookup` プラグイン経由でスマートにシークレットを注入できる。
tasks/main.yml
- name: セキュアな変数の読み込み
set_fact:
db_password: “{{ lookup(‘community.sops.sops’, ‘secrets/db_creds.yaml’) | json_query(‘db_password’) }}”
—
3. CI/CD環境での自動復号フロー
GitHub Actionsで実行する場合、IAMロール（OIDC）を使い、シークレットキーそのものをCI上に保存しないのがプロの鉄則だ。
.github/workflows/deploy.yml
jobs:
ansible:
runs-on: ubuntu-latest
steps:
- uses: actions/checkout@v4
- name: Configure AWS Credentials
uses: aws-actions/configure-aws-credentials@v4
with:
role-to-assume: arn:aws:iam::123456789012:role/github-actions-role
- name: Install SOPS
run: |
curl -LO https://github.com/getsops/sops/releases/latest/download/sops-linux.amd64
# …インストール処理
- name: Run Playbook
run: ansible-playbook site.yml
—
4. チーム開発を加速させる「神テクニック」
プロフェッショナル向け設定とプラグイン
1. VS Codeの神プラグイン:
- `sops-edit`: ファイルを開くと自動で復号し、閉じると暗号化して保存する。「暗号化し忘れてpush」という悲劇を物理的に防ぐ。
2. Gitフックの自動化:
- `.git/hooks/pre-commit` にSOPSのバリデーションを仕込み、暗号化されていないシークレットのコミットを即座にブロックせよ。
3. キーボードショートカット:
- `sops –encrypt –in-place
` を `Ctrl+Alt+E` にマッピングするだけで、開発速度は劇的に向上する。
ベストプラクティス：ディレクトリ構成
.
├── inventory/
├── playbooks/
├── secrets/ <-- 暗号化対象
│ ├── production.yaml <-- SOPSで暗号化済み
│ └── staging.yaml <-- SOPSで暗号化済み
├── group_vars/
│ └── all.yml <-- 参照用変数のみを記述
└── .sops.yaml <-- 鍵管理ルールの中心
---
現場のテックリードからの提言
シークレット管理において、最も恐ろしいのは「ツールそのものの脆弱性」ではなく、「運用が属人化し、ブラックボックス化すること」だ。
SOPSとKMSを組み合わせれば、鍵のローテーションはインフラ側で完結し、アプリケーション側のコードを一切触る必要はない。IAMを通じた監査ログも完璧に残る。これが、我々SREが求める「自動化とガバナンスの黄金比」だ。
「面倒くさい」という理由でVaultを使い続けているなら、今すぐその思考を捨てろ。GitOpsの未来は、暗号化されたYAMLの向こう側にある。
さあ、今日からコードをクリーンに、そして堅牢に保つ旅を始めよう。