エンジニアの皆さん、こんにちは。インフラの深淵を覗き込み、自動化の快感を知ってしまった諸君にこそ伝えたい「守りの技術」の話をしましょう。
Ansibleは最強の自動化ツールですが、最大の弱点は「機密情報の取り扱い」にあります。Playbookの中にDBのパスワードやAPIキーを平文で書いてGitにプッシュする……そんなミスは、まさに「自ら爆弾を抱えて歩く」ようなもの。
今回は、Ansible Vaultを使いこなし、「機密情報は決して明かさないが、自動化は完全に遂行する」というエンジニアの作法を伝授します。
—
1. なぜ Ansible Vault が「現場」で必須なのか
「変数ファイルにパスワードを書かなければいいのでは？」と考えるかもしれません。しかし、IaC（Infrastructure as Code）において、設定値はコードの一部です。コードをGitで管理できない環境は、インフラのバージョン管理を放棄しているのと同じ。
Ansible Vaultは、機密情報を含んだファイルを暗号化し、実行時にメモリ上でだけ復号して読み込む仕組みです。 これにより、Gitには暗号化された「暗号の塊」だけを保存し、安全に構成管理を完結させることができます。
—
2. 最初のセットアップ：暗号化された変数の作成
まずは、機密情報を格納するファイルを作成しましょう。
group_vars/all などのディレクトリ配下に secrets.yml を作成
ansible-vault create [ファイル名] で暗号化ファイルを新規作成できます
ansible-vault create group_vars/all/secrets.yml
コマンドを打つとパスワードの入力を求められます。これがVaultのマスターパスワードです。以後、このファイルを編集する際は必ずこのパスワードが必要になります。
ファイルの中身は、YAML形式で自由に書けます。
group_vars/all/secrets.yml
暗号化された機密情報
db_password: “SuperSecretPassword123!”
api_key: “sk-live-5f3a9e…”
保存してエディタを閉じると、ファイルの中身は人間には解読不能なバイナリ（あるいは難読化された文字列）に変換されています。`cat` で覗いてみてください。正解を知る者以外には、ただの文字列の羅列に見えるはずです。
—
3. HelloWorld 的な動作確認：暗号化変数を使ってみる
暗号化した変数をPlaybookで呼び出すのは簡単です。普段の変数と同じように書くだけ。Ansibleが自動的に「あ、これはVaultで保護されているな」と判断して復号を試みます。
site.yml
- hosts: localhost
tasks:
- name: 機密情報を読み込んで表示してみる
debug:
msg: “パスワードは {{ db_password }} です”
実行時は `–ask-vault-pass` オプションを付けます。
ansible-playbook site.yml –ask-vault-pass
これで、実行時にパスワードを入力することで、安全に機密情報が読み込まれます。
—
4. 【極限の知見】実行時のパスワード入力を自動化する
現場レベルで最もストレスになるのが、「毎回手動でパスワードを入力すること」です。CI/CDパイプラインに組み込む際も、手動入力では止まってしまいますよね。
ここで「パスワードファイル」を使うテクニックを伝授します。
1. パスワードをファイルに書き出す（絶対にGit管理対象にはしないでください！）
`echo “あなたのパスワード” > .vault_pass`
2. `.gitignore` に追加
`.vault_pass` を除外設定に加えるのは絶対です。
3. `ansible.cfg` で指定する
ansible.cfg
[defaults]
vault_password_file = .vault_pass
こう設定しておけば、Ansibleは自動的に `.vault_pass` を読み込み、パスワード入力なしで暗号化ファイルを復号します。これで、セキュリティを保ったまま、ワンコマンドでデプロイが完了する環境が整いました。
—
伝説のエンジニアからのアドバイス
Vaultを運用する上で最も重要なのは、「マスターパスワードを忘れないこと」です。これを紛失すると、暗号化されたファイルは二度と開けません。本番環境のパスワードが永久に闇に消えることになります。
また、チーム開発では、マスターパスワードの共有方法をKeePassや1Passwordなどのセキュアなパスワードマネージャで行う運用フローを確立してください。
さあ、これで機密情報の管理という「インフラエンジニアの重荷」から解放されましたね。次は、この仕組みをどうCI/CDに組み込み、サーバーを自動構築していくか……その深淵を一緒に探求していきましょう。
迷ったらまたここへ戻ってきなさい。あなたの自動化の旅を、いつでもサポートします。