【Ansible】HCP Vaultでサーバーの認証情報を登録・取得したい

はじめに

近年、AWS・Azure・GCPといった複数のクラウドサービスを組み合わせて利用するケースが増えています。しかし、それぞれの環境で認証情報を個別に管理すると、運用の手間やセキュリティリスクが発生する可能性があります。
HCP Vaultを利用すれば、クラウド問わず一元的に認証情報を管理でき、マルチクラウド環境でも同じ運用・セキュリティポリシーを適用できます。これにより、認証情報管理の手間を大幅に削減し、安全かつ効率的なシークレット管理が実現できます。
本記事では、Ansibleを使ってHCP Vaultで認証情報を登録・取得する方法を解説します。
HCP VaultとAnsibleを組み合わせた、認証情報の管理・自動化の推進にお役立てください。

TL;DR

この記事を読めば、以下のことがわかります

• AnsibleでHCP Vaultに認証情報を自動登録する方法
• HCP Vaultから認証情報を取得し、Playbookで活用する方法
• HCP Vault関連のPlaybookを書く時のポイント

前提条件

• Initial Root Tokenが作成済みであること
  • あくまでも動作確認なので、このトークンを使用します
  • 環境変数ANSIBLE_HASHI_VAULT_TOKENに設定します

実行環境

• Ansible
  • ansible-core: 2.19.3
• Ansible Collection
  • community.hashi_vault: 7.1.0
• Python library
  • hvac: 2.4.0

詳細

1. Playbook実行前の準備（環境変数の設定）

• Playbookを実行する環境で以下のように環境変数を設定します

  export ANSIBLE_HASHI_VAULT_ADDR=https://<Vault Server Address>:<Vault Server Port>/
  export ANSIBLE_HASHI_VAULT_TOKEN=<Initial Root Token>
  

2. サーバーのユーザー名・パスワード登録用Playbookの実行

• 実行コマンド

  ansible-navigator run vault_server_cred_register.yml
  

• Playbook例

  • ポイント
    1. 保管するシークレットエンジン（今回は、test_servers）の存在確認をして、存在しなかった場合は作成します
    2. シークレットエンジンに対して、サーバーごとのログインに必要なユーザー名とパスワードを保管します
  vault_server_cred_register.yml

  ---
  - name: Register server credentials to HCP Vault
    hosts: localhost
    connection: local
    gather_facts: false
    vars:
      # Vaultのマウントポイント
      vault_mount_point: test_servers/
      # 登録するデータ
      server_creds:
        - hostname: server01
          username: user01
          password: p@ssw0rd01
        - hostname: server02
          username: user02
          password: p@ssw0rd02
    tasks:
      # Vaultに現在マウントされているシークレットエンジン一覧を取得
      - name: Get list of mounted engines
        community.hashi_vault.vault_read:
          url: "{{ lookup('env', 'ANSIBLE_HASHI_VAULT_ADDR') }}"
          token: "{{ lookup('env', 'ANSIBLE_HASHI_VAULT_TOKEN') }}"
          validate_certs: false
          path: "sys/mounts"
        register: __mount_list
  
      # 指定パスにKV v2シークレットエンジンがなければマウント
      - name: Mount KV v2 engine if not exists
        community.hashi_vault.vault_write:
          url: "{{ lookup('env', 'ANSIBLE_HASHI_VAULT_ADDR') }}"
          token: "{{ lookup('env', 'ANSIBLE_HASHI_VAULT_TOKEN') }}"
          validate_certs: false
          path: "sys/mounts/{{ vault_mount_point }}"
          data:
            type: kv
            options:
              version: 2
        when:
          - __mount_list.data.data[vault_mount_point] is not defined
  
      # 各サーバーのユーザー名とパスワードをVaultに登録
      - name: Register username and password to Vault per server
        community.hashi_vault.vault_kv2_write:
          url: "{{ lookup('env', 'ANSIBLE_HASHI_VAULT_ADDR') }}"
          token: "{{ lookup('env', 'ANSIBLE_HASHI_VAULT_TOKEN') }}"
          validate_certs: false
          engine_mount_point: "{{ vault_mount_point }}"
          path: "{{ item.hostname }}"
          data:
            username: "{{ item.username }}"
            password: "{{ item.password }}"
        loop: "{{ server_creds }}"
  

• 実行結果

  • 以下のような階層構造で、サーバーの認証情報が保管されます

  test_servers/               # KV v2シークレットエンジンのマウントポイント
  ├── server01/               # サーバーごとのパス
  │   ├── username            # ユーザー名（シークレットのキー）
  │   └── password            # パスワード（シークレットのキー）
  └── server02/
      ├── username
      └── password
  

  • 以下のように認証情報が登録されます（認証情報の中身はあえて表示させています）

    

3. サーバーのユーザー名・パスワード確認用Playbookの実行

• 実行コマンド

  ansible-navigator run vault_server_cred_display.yml -i hosts.yml
  

• インベントリ例

  • ポイント
    1. Lookupプラグインでcommunity.hashi_vault.hashi_vaultを指定することで、認証情報を取得可能です
       • 変数inventory_hostnameを使うことで、ホスト名にもとづいた認証情報の取得がしやすくなります
       • インベントリでurlやtokenを指定しなくても動くのは、community.hashi_vault.hashi_vaultがデフォルトで環境変数ANSIBLE_HASHI_VAULT_ADDRとANSIBLE_HASHI_VAULT_TOKENを見にいく仕様だからです
  hosts.yml

  ---
  all:
    hosts:
       server01:
         ansible_host: 192.0.2.1
         ansible_user: >-
           {{ lookup('community.hashi_vault.hashi_vault',
           'secret=test_servers/data/' + inventory_hostname + ':username', validate_certs=false) }}
         ansible_password: >-
           {{ lookup('community.hashi_vault.hashi_vault',
           'secret=test_servers/data/' + inventory_hostname + ':password', validate_certs=false) }}
       server02:
         ansible_host: 192.0.2.2
         ansible_user: >-
           {{ lookup('community.hashi_vault.hashi_vault',
           'secret=test_servers/data/' + inventory_hostname + ':username', validate_certs=false) }}
         ansible_password: >-
           {{ lookup('community.hashi_vault.hashi_vault',
           'secret=test_servers/data/' + inventory_hostname + ':password', validate_certs=false) }}
  

• Playbook例

  vault_server_cred_display.yml

  ---
  - name: Fetch server credential and display
    hosts: all
    gather_facts: false
    tasks:
      - name: Display server info
        ansible.builtin.debug:
          msg:
            - "IP Address: {{ ansible_host }}"
            - "Username: {{ ansible_user }}"
            - "Password: {{ ansible_password }}"
  

• 実行結果

  • 以下のように、実行ログにサーバーの認証情報が表示されます（以下は実行ログの一部を抜粋）

  TASK [Display server info] *****************************************************
  ok: [server01] => {
      "msg": [
          "IP Address: 192.0.2.1",
          "Username: user01",
          "Password: p@ssw0rd01"
      ]
  }
  ok: [server02] => {
      "msg": [
          "IP Address: 192.0.2.2",
          "Username: user02",
          "Password: p@ssw0rd02"
      ]
  }
  

さいごに

本記事では、AnsibleとHCP Vaultを組み合わせて、認証情報の登録・取得を自動化する方法を紹介しました。
これにより、クラウドを問わず、セキュアかつ効率的に認証情報を管理できることがご理解いただけたかと思います。
運用の自動化やセキュリティ強化を目指す方は、ぜひHCP VaultとAnsibleの活用を検討してみてください。

参考URL

• community.hashi_vault
  • community.hashi_vaultコレクションのモジュール一覧
• community.hashi_vault.hashi_vault
  • community.hashi_vault.hashi_vault Lookupプラグインの使い方

---