premier pas avec ansible vault :

créer un fichier de clef :

echo "passwd" > ./vault_ansible_pass

Modifier ansible.cfg pour ajouter :

vault_password_file=./vault_ansible_pass

Tester un crypage de chaine :

ansible-vault encrypt_string 'test'

on obtient :

!vault |
          $ANSIBLE_VAULT;1.1;AES256
          32366137346335353631326132326337336364656439313064366532393236633935623962393865
          6435623261396163613363313438643365373362336137320a316365363033663463656232376562
          66356431646238666466323237346464636135343231653263316165633132306134313564363439
          3639333136373638660a323036633265653335323434376530666561353230623162616662333637
          65393832343137356230393332383839393338343837383662366631636338313262

il suffit de copier/coller dans la variable ansible !

Ce fichier est bien entendu secret, et ne doit pas être publié dans git. Une solution est d'utiliser un dossier ~/.ansible_vault et de nommer vos roles selon vos domaines (exemple : vault_ovh_password)