управляй рисками

Обеспечивать иными средствами. В смысле тут суть в том что волт будет жить после падения

Однако, и об этом говорили на презентации, запечатывание при наличии доступа на сервер не имеет значения, т.к. перезапуск сервиса даст распечатанный волт

Возвращаясь к нашим токенам.
Вот сейчас у меня есть Ансибль-плейбук и пароли зашифрованные через ansible-vault. Ансибль я запускаю в дженкинсе или в gitlab-ci. У них в переменных окружения хранится пароль для рассшифровывания файла секретов.
Я нажимаю Run или коммит в гит и всё работает.
Как мне с минимумом трудозатрат перенести хранение паролей в Хашикопр Волт, при этому что-бы я точно так же нажимал Run и ничего никуда не вводил каждый раз?

Если я правильно понимаю: цель не хранить реквизиты на хосте в виде конфигов или переменных окружения. В таком случае само приложение должно уметь сходить в волт за реквизитами или к какому-то другому секретовладетелю.

Из памяти сложней выдрать нужные данные

верно

риски полностью не устраняются, но можно снизить до приемлемого уровня

И если вопрос в том что поправить в сборках - выдачу каких-то стартовых реквизитов, которые временные. Т.е. если ими завлодеет зловред, то толку от них 0.

у ансибла есть плагин для чтения секретов из хашикорп волта

чтобы ходить в волт нужен токен, поэтому в дженкинс надо научиться доставлять этот токен

Ну вот есть приложение Ансибль который умеет ходть в Волт кучей способов: через токен, approle, userpass и т.д.
И выходит, что самый удобный способ использовать старый добрый userpass.
И вот с этого я начал: зачем они наворотили эти протухающие токены и агенты которые их продляют, если всё равно где-то будет лежать логин/пароль.

если можешь хранить секреты сразу в дженкинсе, никто ж не запрещает

равно как и остаться на ansible vault

если хашиволт не даёт профита, то и не надо его юзать

Как я уже использую approle:
secret_id_num_uses=1
sercret_id_ttl=2m

я могу выдать secret_id приложению. Свою роль оно уже знает. Приложение авторизуется в волте и даее само обновляет свой токен.
Не представляю как узнать какой токен у приложения. Если приложение перестанет продлевать токен - он протухнет и никто не упрёт мои никому не нужные секреты.

А вот это про любой инструмент можно сказать. Например k8s не оч нужен для сайта визитки или магазина на вордпрессе.

А secret-id он же тоже тухнет как токены?

а вообще, для сервисов нужно использовать механизм AppRole, так как получение секрета в один шаг через токен - так себе схема

по умолчанию - нет. Дефолтное значение 0, но можно установить число отличное от 0 и будет протухать