Vault

このAnsibleロールは基本的なVaultのインストールを実行し、ファイルシステム構造や例の設定を含みます。

また、VagrantとVirtualBoxに基づく環境で最小限の開発または評価サーバーやHA Consulバックアップクラスタをブートストラップすることもできます。開発者モードの設定については、README_VAGRANT.mdと関連するVagrantfileを参照してください。

インストール

Brian Shumatesはこのロールを@ansible-community/hashicorp-toolsに移行しました。このロールはGitHubにあり、Ansible Galaxyとの統合の修正を待っています。 このロールをインストールするには、Ansibleプロジェクトフォルダにroles/requirements.ymlファイルを作成し、次の内容を追加します：

- src: https://github.com/ansible-community/ansible-vault.git
  name: ansible-community.ansible-vault
  scm: git
  version: master

バージョン属性にgitタグを使用できます。また、古い名前name: brianshumate.ansible-vaultを使用することもできます。

要件

このロールは、Archlinux、AmazonLinux、FreeBSD、DebianまたはRHELベースのLinuxディストリビューションが必要です。他のソフトウェアバージョンでも動作する可能性がありますが、以下の特定のソフトウェアとバージョンで動作します：

• Ansible: 2.8.4
• Vault: 1.4.0以上
• AlmaLinux
  • 8
  • 9
• AmazonLinux
  • 2
  • 2022
• ArchLinux
• CentOS
  • 7
  • 8 stream
  • 9 stream
• Debian
  • 9 (stretch)
  • 10 (buster)
  • 11 (bullseye)
• FreeBSD
  • 11
• RockyLinux
  • 8
  • 9
• Ubuntu
  • 18.04 (Bionic Beaver)
  • 20.04 (Focal Fossa)
  • 22.04 (Jammy Jellyfish)

残念ながら、現時点でWindowsのサポートは予定されていません。

警告

デフォルトでは、このロールは実行時にvaultサービスを再起動する可能性があります（設定変更がある場合やOSパッケージがインストールまたは更新された場合）。

クラスターに自動アンシール設定がないと、再起動によりすべてのVaultインスタンスがシールされ、クラスターがダウンする可能性があります。

これを回避するために、プレイブックによるサービスの再起動をvault_service_restartロール変数を使用して無効にすることができます。

このvault_service_restartをfalseに設定すると、プレイブックによるvaultサービスの再起動が無効になります。新しい設定をデプロイするためには、手動でサービスを再起動する必要があります。

ロール変数

ロールはdefaults/main.ymlに変数を定義します：

vault_listener_localhost_enable

• localhostでのVaultリスナーを有効にする場合はtrueに設定
• デフォルト値: false

vault_privileged_install

• Vaultファイルがローカルにダウンロードされて展開するときに権限エラーが表示される場合はtrueに設定。この問題は、ロールがあるユーザー（rootなど）によってダウンロードされ、別のユーザーによってインストールされるときに発生することがあります。
• デフォルト値: false

vault_version

• インストールするバージョン

  • 環境変数VAULT_VERSIONで上書きすることができます。
  • vault_enterprise_premium=Trueの場合は"+prem"が含まれます。
  • vault_enterprise_premium_hsm=Trueの場合は".hsm"が含まれます。

• デフォルト値: 1.5.5

vault_enterprise

• Vault Enterpriseをインストールする際にtrueに設定；現時点で「リモートのみ」のインストール方法は可能ではありません
  • 環境変数VAULT_ENTERPRISEで上書きすることができます。
• デフォルト値: false

vault_pkg

• パッケージファイル名
• デフォルト値: "vault_{{ vault_version }}_linux_amd64.zip"

vault_enterprise_pkg

• パッケージファイル名
• デフォルト値: "vault-enterprise_{{ vault_version }}_{{ vault_os }}_{{ vault_architecture }}.zip"

vault_zip_url

• パッケージダウンロードURL
• デフォルト値: "https://releases.hashicorp.com/vault/{{ vault_version }}/vault_{{ vault_version }}_linux_amd64.zip"
• 内部にホストされているzipがある場合はこの変数を上書きします。
• エンタープライズインストールでも機能します。

vault_checksum_file_url

• SHAサマリーURL
• 内部にshaファイルがホストされている場合はこの変数を上書きします。
• デフォルト値: "https://releases.hashicorp.com/vault/{{ vault_version }}/vault_{{ vault_version}}_SHA256SUMS"

（以降の詳細は省略）