Пожалуйста, подскажите, есть ли какой-то способ прикрутить неизвлекаемые аппаратные криптоключи

к Ansible vault ?
Вероятно, чтобы пароль не передавался с командной строки или клавиатуры или обычного plain файла и чтобы был задействован неизвлекаемый секрет на криптотокене.

А ключ хоста на управляемую виртуалку положить не подходит?

Что есть ключ хоста? Некий файл? Мне не очень понятен смысл что-то шифровать ключами, которые не внутри аппаратного криптотокена, чем это отличается от вообще нешифрованного с точки зрения безопасности?

Ключи обычно в рамках какого-то софта, например в PGP одни форматы, в SSH другие.

Конечно.

почитай уже про виды ключей, в том числе про rsa, dsa, почему передаются только открытые ключи, почему это безопасно, и при чём тут простые числа. ЗЫ приватный ключ можно генерить с паролем, который не покинет хост где он находится

С какой целью интересуетесь?

Я знаю про асимметричные ключи, Ansible их поддерживает?

Попсовая ессно, как увсех PCSCD.

там надо спрашивать,какой алгоритм. Всё остальное не сильно важно

ssh их поддерживает.

Дооо, конечно вообще неважно.

Это открытие для меня?

видимо да

Вы похоже вообще полный нуб в аппаратной криптографии. Вздумали меня тут учить.

Генерируешь ключи на ансибле машине через ssh -genkeys ( если не ошибаюсь) и раскладываешь их по хостам куда ходить хочешь.только публичную часть

Да я не про канальную криптозащиту, а про vault У меня НЕ про SSH был вопрос. Vault - это же просто симметричный шифр да еще с ключом на обычном компе, какая это вообще защита, не могу пока вкурить :( Надо вероятно понять как и когда эти симметричные шифры применяются на управляемых хостах. Еще на интервью EPAM даже на КУРСЫ спросили про Vault, - я мол не применял. Только нафик его вообще применять ? Лично я бы не принял на работу человека (в том числе из EPAM), кто использует для криптозащиты тупо вольт без PKCS11. Я им почти так и ответил, что считаю защиту данных неизвлекаемыми ключами важнее.

Тогда сорян, я ансибл второй день только)). Что такое валут не знаю

Та же история :) Я его раньше тыкал палочкой лет 5 назад несколько раз и чето показалось не очень много профита, а щас взглянул на galaxy, и о чудо, уже сильно лучше.

на конечный хост расшифрованное уже все прилетает, он знать не знает как оно там в инвентори лежало