Add/refactor encrytion- and decryption scripts.

decrypt-interactiv.sh

@@ -0,0 +1,203 @@
+#!/usr/bin/env bash
+#
+# decrypt-interactiv.sh
+#
+# Zweck:
+#   - Entschluesselt entweder:
+#       (A) eine komplett mit ansible-vault verschluesselte Datei (ANSIBLE_VAULT Header)
+#       (B) einzelne YAML "!vault |" Bloecke in einer Datei (z.B. group_vars/host_vars)
+#       (C) einen einzelnen verschluesselten String (Argument, Pipe oder interaktiv)
+#
+# Passwort wird einmalig interaktiv abgefragt.
+#
+
+set -euo pipefail
+
+# Temporare Datei fuer das einmalig abgefragte Vault-Passwort.
+VAULT_PASS_FILE=""
+
+cleanup() {
+  # Sicherheitsnetz: Temp-Datei immer entfernen, auch bei Fehler/Abbruch.
+  if [[ -n "${VAULT_PASS_FILE}" && -f "${VAULT_PASS_FILE}" ]]; then
+    rm -f "${VAULT_PASS_FILE}"
+  fi
+}
+
+ask_vault_password_once() {
+  # Passwort nur einmal pro Lauf abfragen und danach wiederverwenden.
+  if [[ -n "${VAULT_PASS_FILE}" && -f "${VAULT_PASS_FILE}" ]]; then
+    return 0
+  fi
+
+  if [[ ! -r /dev/tty ]]; then
+    echo "Error: No interactive TTY available for password prompt." >&2
+    return 1
+  fi
+
+  local pw1=""
+
+  # Wichtig: Passwort direkt vom Terminal lesen, nicht von stdin.
+  read -rsp "Vault password: " pw1 < /dev/tty
+  printf '\n' > /dev/tty
+
+  if [[ -z "${pw1}" ]]; then
+    echo "Error: Empty password is not allowed." >&2
+    return 1
+  fi
+
+  # Passwort in Datei speichern, damit ansible-vault es nicht interaktiv erwartet.
+  VAULT_PASS_FILE="$(mktemp)"
+  chmod 600 "${VAULT_PASS_FILE}"
+  printf '%s' "${pw1}" > "${VAULT_PASS_FILE}"
+
+  unset pw1
+}
+
+decrypt_with_prompted_password() {
+  # Alle decrypt-Aufrufe laufen zentral ueber diese Funktion.
+  ask_vault_password_once
+  ansible-vault decrypt --vault-password-file "${VAULT_PASS_FILE}" "$@" 2>/dev/null
+}
+
+########################################
+# Hilfe anzeigen
+########################################
+show_help() {
+  cat <<EOF
+Usage:
+  $(basename "$0") [OPTION] [INPUT]
+
+Decrypt modes:
+
+  1) Full vault-encrypted file (ANSIBLE_VAULT header):
+     $(basename "$0") secrets.vault
+
+  2) YAML file containing one or multiple "!vault |" blocks:
+     $(basename "$0") group_vars/all.yml
+
+  3) Encrypted vault string:
+     $(basename "$0") 'secret: !vault | \$ANSIBLE_VAULT;1.1;AES256 ...'
+     echo 'secret: !vault | ...' | $(basename "$0")
+
+  4) Interactive mode (paste, then Ctrl-D):
+     $(basename "$0")
+
+Options:
+  -h, --help   Show this help and exit
+
+Notes:
+  - This script prints decrypted values to stdout.
+  - Vault password is prompted once per script run.
+EOF
+}
+
+########################################
+# Hauptfunktion
+########################################
+vdecr() {
+  unset IFS
+
+  if [[ "${1:-}" == "-h" || "${1:-}" == "--help" ]]; then
+    show_help
+    return 0
+  fi
+
+  if ! command -v ansible-vault >/dev/null 2>&1; then
+    echo "Error: ansible-vault not found in PATH." >&2
+    return 1
+  fi
+
+  ########################################
+  # Wenn ein Argument uebergeben wurde
+  ########################################
+  if [[ -n "${1:-}" ]]; then
+
+    # --- Fall 1: Argument ist eine Datei ---
+    if [[ -f "$1" ]]; then
+
+      if [[ "$(head -n1 "$1")" == "\$ANSIBLE_VAULT;1.1;AES256" ]]; then
+        decrypt_with_prompted_password "$1"
+        return 0
+      fi
+
+      printf 'Reading vault values from file...\n\n'
+
+      local parsing=0
+      local result=""
+      local name=""
+
+      local blue
+      local discard
+      blue="$(tput setaf 4 || true)"
+      discard="$(tput sgr0 || true)"
+
+      # Best-effort Parsing: Datei wird in Tokens zerlegt und !vault-Bloecke
+      # werden gesammelt, dann rekursiv als Stringinput entschluesselt.
+      while IFS= read -r token; do
+
+        if [[ "$(echo "$token" | grep -c "\!vault")" -gt 0 ]] && [[ $parsing -eq 0 ]]; then
+          parsing=1
+
+        elif [[ $parsing -eq 1 ]] && [[ "$(echo "$token" | grep -c ":")" -eq 0 ]]; then
+          result="$(printf "%s\n%s" "$result" "$token")"
+
+        else
+          if [[ -n "$result" ]]; then
+            printf "\n\n%s%s%s\n" "$blue" "$name" "$discard"
+            printf "%s" "$result" | vdecr
+            name=""
+            result=""
+            parsing=0
+          fi
+        fi
+
+        if [[ "$(echo "$token" | grep -c ":")" -eq 1 ]]; then
+          name="$token"
+        fi
+
+      done < <(tr -s '[:space:]' '\n' < "$1")
+
+      return 0
+    fi
+
+    # --- Fall 3: Argument ist ein String ---
+    local str="$1"
+
+  # --- Fall 4: String kommt per Pipe (stdin ist kein TTY) ---
+  elif [[ ! -t 0 ]]; then
+    local str
+    str="$(cat)"
+
+  # --- Fall 5: Interaktiv ---
+  else
+    printf 'Interactive mode. Paste encrypted string and press Ctrl-D two times to confirm.\n'
+    local str
+    str="$(cat)"
+    printf '\n'
+  fi
+
+  ########################################
+  # String entschluesseln
+  ########################################
+  # YAML-Deko entfernen und den Ciphertext in ein Format bringen,
+  # das ansible-vault decrypt direkt verarbeiten kann.
+  printf -- "%s" "$str" | \
+    sed 's/ /\n/g' | \
+    sed '/---\|^.*:\|\!vault\||\|^$/d' | \
+    decrypt_with_prompted_password
+
+  printf '\n'
+}
+
+# Aufraeumen erfolgt automatisch beim Verlassen des Skripts.
+trap cleanup EXIT
+
+########################################
+# Main
+########################################
+if [[ "${1:-}" == "-h" || "${1:-}" == "--help" ]]; then
+  show_help
+  exit 0
+fi
+
+vdecr "${1:-}"