azure.azcollection.azure_keyvault_secret lookup – Чтение секрета из Azure Key Vault.

Примечание

Этот плагин поиска входит в коллекцию azure.azcollection (версия 3.18.0).

Возможно, эта коллекция уже установлена, если вы используете пакет ansible. Она не входит в ansible-core. Чтобы проверить, установлена ли она, выполните ansible-galaxy collection list.

Для установки используйте: ansible-galaxy collection install azure.azcollection. Для использования этого плагина поиска требуются дополнительные компоненты; подробности см. в разделе Требования.

Чтобы использовать его в плейбуке, укажите: azure.azcollection.azure_keyvault_secret.

Добавлено в azure.azcollection 1.12.0

Краткое описание
Требования
Аргументы
Параметры-ключевые слова
Примечания
См. также
Возвращаемое значение

Краткое описание

Этот плагин поиска возвращает содержимое секрета, сохранённого в Azure Key Vault.
Если узел Ansible — виртуальная машина Azure с включённой MSI, пользователю не нужно предоставлять учётные данные для доступа к Azure Key Vault.

Требования

Следующие требования должны быть выполнены на локальном управляющем узле, который выполняет этот плагин поиска.

Все пакеты Python, перечисленные в requirements.txt коллекции, должны быть установлены через pip на узле, выполняющем модули из azure.azcollection
Полные инструкции по установке доступны по адресу https://galaxy.ansible.com/azure/azcollection
На узле, выполняющем этот модуль, должна быть установлена коллекция azure.azcollection из galaxy
azure
python >= 2.7
requests

Аргументы

Параметр	Комментарии
Terms string / обязательный	Имя секрета; версию можно указать в формате secret_name/secret_version.

Параметры-ключевые слова

Здесь описаны параметры-ключевые слова плагина поиска. В приведённых ниже примерах это значения key1=value1, key2=value2 и т. д.: lookup('azure.azcollection.azure_keyvault_secret', key1=value1, key2=value2, ...) и query('azure.azcollection.azure_keyvault_secret', key1=value1, key2=value2, ...)

Параметр	Комментарии
auth_source string	Определяет источник учётных данных для аутентификации. Также можно задать с помощью переменной окружения `ANSIBLE_AZURE_AUTH_SOURCE`. Если задано значение `auto` (по умолчанию), применяется следующий порядок приоритета: параметры модуля -> `env` -> `credential_file` -> `cli`. Если задано значение `env`, учётные данные будут получены из переменных окружения. Если задано значение `cli`, учётные данные будут получены из профиля Azure CLI. Для указания идентификатора подписки, если их несколько, можно использовать `subscription_id` или переменную окружения `AZURE_SUBSCRIPTION_ID`; в противном случае используется подписка az cli по умолчанию. Если задано значение `msi`, компьютер должен быть ресурсом Azure с включённым расширением MSI. Для указания идентификатора подписки, если ресурсу предоставлен доступ к нескольким подпискам, можно использовать `subscription_id` или переменную окружения `AZURE_SUBSCRIPTION_ID`; в противном случае выбирается первая подписка. Параметр `msi` добавлен в Ansible 2.6. Варианты: `"auto"` ← (по умолчанию) `"cli"` `"env"` `"msi"` Конфигурация: Переменная окружения: `ANSIBLE_AZURE_AUTH_SOURCE`
client_id string	Идентификатор клиента Azure. Используется при аутентификации с помощью субъекта-службы или управляемого удостоверения (msi). Также можно задать с помощью переменной окружения `AZURE_CLIENT_ID`. Конфигурация: Переменная окружения: `AZURE_CLIENT_ID`
cloud_environment string добавлено в azure.azcollection 0.0.1	Для облачных сред, отличных от общедоступного облака США, укажите имя среды (как определено в Azure Python SDK, например, `AzureChinaCloud`, `AzureUSGovernment`) или URL диспетчера ресурсов (обязательно для Azure Stack). Также можно задать через профиль файла учётных данных или переменную окружения `AZURE_CLOUD_ENVIRONMENT`. Если указать URL, необходимо также задать ARM_CLOUD_METADATA_URL, если облако не зарегистрировано в azcli. По умолчанию: `"AzureCloud"` Конфигурация: Переменная окружения: `AZURE_CLOUD_ENVIRONMENT`
cloud_type string	Укажите облако, например `azure`, `usgovcloudapi`.
oidc_token string	Токен OpenID Connect (OIDC) (JWT), используемый для аутентификации с помощью удостоверения рабочей нагрузки. Конфигурация: Переменная окружения: `AZURE_FEDERATED_TOKEN`
oidc_token_file_path path	Путь к файлу, содержащему токен OpenID Connect (OIDC) (JWT), используемый для аутентификации с помощью удостоверения рабочей нагрузки. Конфигурация: Переменная окружения: `AZURE_FEDERATED_TOKEN_FILE`
secret string	Секрет клиента Azure. Используется при аутентификации с помощью субъекта-службы. Конфигурация: Переменная окружения: `AZURE_SECRET`
subscription_id string	Идентификатор вашей подписки Azure. Конфигурация: Переменная окружения: `AZURE_SUBSCRIPTION_ID`
tenant псевдонимы: tenant_id string	Идентификатор клиента Azure. Используется при аутентификации с помощью субъекта-службы. Конфигурация: Переменная окружения: `AZURE_TENANT`
use_cli string	Если use_cli=True, используются учётные данные, полученные командой «az login»; по умолчанию — false. Устарело; вместо этого используйте auth_source=cli.
use_msi string	Автоматическое обнаружение токена MSI. По умолчанию сначала выполняется попытка аутентификации MSI, а затем используется auth_source. Чтобы полностью отключить MSI, задайте False. По умолчанию: `true`
vault_url string / обязательный	URL-адрес Azure Key Vault.

Примечания

Примечание

При совместном использовании параметров-ключевых слов и позиционных параметров позиционные параметры необходимо указывать перед параметрами-ключевыми словами: lookup('azure.azcollection.azure_keyvault_secret', term1, term2, key1=value1, key2=value2) и query('azure.azcollection.azure_keyvault_secret', term1, term2, key1=value1, key2=value2)
Если версия не указана, этот плагин возвращает последнюю версию секрета.
Если Ansible запущен на виртуальной машине Azure с включённой MSI, параметры client_id, secret и tenant не требуются.
Сведения о включении MSI на виртуальной машине Azure см. в документации: https://docs.microsoft.com/en-us/azure/active-directory/managed-service-identity/
После включения MSI на виртуальной машине Azure не забудьте предоставить ей доступ к Key Vault, добавив новую политику доступа на портале Azure.
Если виртуальной машине назначено несколько управляемых удостоверений, задайте client_id, чтобы выбрать нужное удостоверение, назначенное пользователю, при использовании MSI.
Если MSI не включена на узле Ansible, необходимо предоставить действительный субъект-службу, у которого есть доступ к хранилищу ключей.
Для аутентификации через субъект-службу передайте client_id, secret и tenant или задайте переменные окружения AZURE_CLIENT_ID, AZURE_CLIENT_SECRET и AZURE_TENANT_ID.
Также поддерживается аутентификация через az login. При использовании Azure CLI задайте use_cli=true.
Чтобы использовать плагин из коллекции, укажите полное пространство имён, имя коллекции и имя плагина поиска.
Для аутентификации в Azure можно передать параметры, задать переменные окружения, использовать профиль в ~/.azure/credentials или войти в систему перед запуском задач или плейбука с помощью az login.
Также возможна аутентификация с помощью субъекта-службы.
Для аутентификации через OIDC передайте client_id, tenant и oidc_token или oidc_token_file_path либо задайте переменные окружения AZURE_CLIENT_ID, AZURE_TENANT и AZURE_FEDERATED_TOKEN или AZURE_FEDERATED_TOKEN_FILE.
Для аутентификации через субъект-службу передайте subscription_id, client_id, secret и tenant либо задайте переменные окружения AZURE_SUBSCRIPTION_ID, AZURE_CLIENT_ID, AZURE_SECRET и AZURE_TENANT.
Кроме того, учётные данные можно сохранить в ~/.azure/credentials. Это ini-файл с разделом [default] и следующими ключами: subscription_id, client_id, secret и tenant.

См. также

Вход с помощью Azure CLI: Инструкция по аутентификации с помощью команды az login.

Возвращаемое значение

Ключ	Описание
Возвращаемое значение string	строка с содержимым секрета Возвращается: success

Авторы

Hai Cao (@tk5eq)
Marcin Slowikowski (@msl0)

Ссылки на коллекцию

© 2012–2018 Michael DeHaan
© 2018–2025 Red Hat, Inc.
Licensed under the GNU General Public License version 3.
https://docs.ansible.com/projects/ansible/latest/collections/azure/azcollection/azure_keyvault_secret_lookup.html