ansible vault

http://docs.ansible.com/ansible/playbooks_vault.html

ansible-playbook site.yml --vault-password-file ~/.vault_pass.txt

http://qiita.com/takuya599/items/2420fb286318c4279a02

# .ansible.cfg
[defaults]
vault_password_file = ~/.vault_pass.txt

ベストプラクティス

AnsibleのVaultで暗号化されたファイルの管理 - Qiita 2019

つまりこうする
group_vars/apps.yml が対象のファイルだとして、group_vars/apps/vars.yml と group_vars/apps/vault.yml の2つにコピーします。で、次のように書き換えます。

group_vars/apps/vars.yml

wordpress:
  db_name: wordpress
  db_user: wordpress
  db_pass: "{{vault_wordpress.db_pass}}"

group_vars/apps/vault.yml

vault_wordpress:
  db_pass: PASSWORDPASSWORD

https://blog.noldor.info/2016/02/ansible-variables-and-vaults

http://docs.ansible.com/ansible/playbooks_best_practices.html#variables-and-vaults