Posso usar o mesmo token do Vault para vários playbooks?

Tecnicamente sim, mas o ideal é gerar tokens transitórios e escopados para cada execução.

O segredo buscado pelo lookup pode vazar em logs?

Só se você esquecer de usar no_log: true na task. Sempre proteja tasks sensíveis.

Como auditar quem acessou um segredo via Ansible?

Habilite o audit device no Vault e cruze os logs de execução do Ansible com os logs do Vault.

Entrar ou criar conta

Automação e segurança de cloud com Ansible e HashiCorp Vault

Integração Vault-Ansible: práticas recomendadas de consumo de segredos

Em resumo

Integrar Ansible e Vault exige rigor para evitar vazamento de segredos em logs, variáveis ou arquivos temporários. Esta lição detalha o fluxo seguro de consumo de segredos, erros comuns e como garantir rastreabilidade sem comprometer a confidencialidade.

Conta gratuita