Подскажите, пожалуйста. У меня есть... роль, которая вытаскивает из Hashi Vault

данные для подключения на хосты и складывает в переменную. Потом, в inventory я просто подтягиваю эти данные и подключаюсь. Если есть какая-нибудь критика касательно данного пункта - буду очень рад, если расскажете что, куда, зачем, откуда и насколько я дурак.

Но прошу подсказать с другим. Ну, как понятно, данные для подключения у меня не хранятся, а я их вытаскиваю и подставляю. И вот думаю, как бы мне сделать. Как вариант - подключить hashi-vault роль во всех плейбуках. Мол:

hosts: localhost
roles:
- role: hashi-vault

После чего уже тело самого плейбука, который будет ломиться на хосты. Пока что вижу только такой вариант, с подключением роли. Может подскажете как лучше сделать?

Спасибо

Не надо через роль - это антипаттерн. Используй lookup_plugin (https://docs.ansible.com/ansible/latest/collections/community/hashi_vault/hashi_vault_lookup.html#ansible-collections-community-hashi-vault-hashi-vault-lookup)

Спасибо. В данном случае, в каждом плейбуке, перед "основной логикой", я вставляю код для получения секретов?

В переменных группы ты просто вызываешь загрузку переменных секретами. Плагин запускается на контроллере и обращается к волту.

Спасибо.

это зависит от методики получения секрета

ну из хашиволта проще и правильней всего лукап плагином. Даже не могу представить ситуации, когда он не подойдет