модуль azure.azcollection.azure_rm_keyvault — управление экземпляром Key Vault

access_policies

list / elements=dictionary

Массив из 0–16 субъектов, имеющих доступ к хранилищу ключей.

Все субъекты в массиве должны использовать тот же идентификатор арендатора, что и арендатор хранилища ключей.

Несовместим с hsm_name

application_id

string

Идентификатор приложения клиента, выполняющего запрос от имени субъекта.

certificates

list / elements=string

Список разрешений для сертификатов.

Варианты:

• "get"
• "list"
• "delete"
• "create"
• "import"
• "update"
• "managecontacts"
• "getissuers"
• "listissuers"
• "setissuers"
• "deleteissuers"
• "manageissuers"
• "recover"
• "purge"
• "backup"
• "restore"

keys

list / elements=string

Список разрешений для ключей.

Варианты:

• "encrypt"
• "decrypt"
• "wrapkey"
• "unwrapkey"
• "sign"
• "verify"
• "get"
• "list"
• "create"
• "update"
• "import"
• "delete"
• "backup"
• "restore"
• "recover"
• "purge"

object_id

string / обязательный

Идентификатор объекта пользователя, субъекта-службы или группы безопасности в арендаторе Azure Active Directory для хранилища.

Идентификатор объекта должен быть уникальным в списке политик доступа.

Обратите внимание: это не идентификатор приложения. Идентификатор объекта можно получить, выполнив команду «az ad sp show --id <application id>».

secrets

list / elements=string

Список разрешений для секретов.

Варианты:

• "get"
• "list"
• "set"
• "delete"
• "backup"
• "restore"
• "recover"
• "purge"

storage

list / elements=string

Список разрешений для учетных записей хранилища.

tenant_id

string

Идентификатор арендатора Azure Active Directory, который следует использовать для аутентификации запросов к хранилищу ключей.

Если значение не указано, будет использоваться текущее значение tenant_id для хранилища ключей.

ad_user

string

Имя пользователя Active Directory. Используйте при аутентификации пользователя Active Directory, а не субъекта-службы.

adfs_authority_url

string

добавлено в azure.azcollection 0.0.1

URL центра Azure AD. Используйте при аутентификации по имени пользователя и паролю, если у вас есть собственный центр ADFS.

administrators

list / elements=string

Список OID администраторов для операций с плоскостью данных Managed HSM.

Несовместим с vault_name

По умолчанию: []

api_profile

string

добавлено в azure.azcollection 0.0.1

Выбирает профиль API для взаимодействия со службами Azure. Значение latest по умолчанию подходит для общедоступных облаков; будущие значения позволят использовать Azure Stack.

По умолчанию: "latest"

append_tags

boolean

Определяет, является ли поле тегов каноническим или теги только добавляются к существующим.

Если поле каноническое, все теги, отсутствующие в параметре tags, будут удалены из метаданных объекта.

Варианты:

• false
• true ← (по умолчанию)

auth_source

string

добавлено в azure.azcollection 0.0.1

Определяет источник учетных данных для аутентификации.

Также можно задать с помощью переменной окружения ANSIBLE_AZURE_AUTH_SOURCE.

Если задано значение auto (по умолчанию), используется следующий порядок приоритета: параметры модуля -> env -> credential_file -> cli.

Если задано значение env, учетные данные считываются из переменных окружения.

Если задано значение credential_file, профиль считывается из ~/.azure/credentials.

Если задано значение cli, учетные данные берутся из профиля Azure CLI. Для определения идентификатора подписки, если их несколько, можно использовать subscription_id или переменную окружения AZURE_SUBSCRIPTION_ID; в противном случае используется подписка az cli по умолчанию.

Если задано значение msi, хост-компьютер должен быть ресурсом Azure с включенным расширением MSI. Для определения идентификатора подписки, если ресурсу предоставлен доступ к нескольким подпискам, можно использовать subscription_id или переменную окружения AZURE_SUBSCRIPTION_ID; в противном случае выбирается первая подписка.

Параметр msi добавлен в Ansible 2.6.

Варианты:

• "auto" ← (по умолчанию)
• "cli"
• "credential_file"
• "env"
• "msi"

cert_validation_mode

string

добавлено в azure.azcollection 0.0.1

Управляет проверкой сертификатов для конечных точек Azure. По умолчанию все модули проверяют сертификат сервера, однако при использовании HTTPS-прокси или Azure Stack может потребоваться отключить эту проверку, передав ignore. Значение также можно задать в профиле файла учетных данных или с помощью переменной окружения AZURE_CERT_VALIDATION.

Варианты:

• "ignore"
• "validate"

client_id

string

Идентификатор клиента Azure. Используйте при аутентификации с помощью субъекта-службы или управляемого удостоверения (msi).

Также можно задать с помощью переменной окружения AZURE_CLIENT_ID.

cloud_environment

string

добавлено в azure.azcollection 0.0.1

Для облачных сред, отличных от общедоступного облака США, — имя среды (определенное в Azure Python SDK, например AzureChinaCloud, AzureUSGovernment) или URL-адрес конечной точки обнаружения метаданных (обязателен для Azure Stack). Значение также можно задать в профиле файла учетных данных или с помощью переменной окружения AZURE_CLOUD_ENVIRONMENT.

По умолчанию: "AzureCloud"

disable_instance_discovery

boolean

добавлено в azure.azcollection 2.3.0

Определяет, будет ли выполняться обнаружение экземпляра при попытке аутентификации. Установка значения true полностью отключает обнаружение экземпляра и проверку центра. Эта возможность предназначена для сценариев, в которых невозможно подключиться к конечной точке метаданных, например в частных облаках или Azure Stack. Обнаружение экземпляра включает получение метаданных центра с адреса https://login.microsoft.com/ для проверки центра. Если задать значение **True**, проверка центра будет отключена. Поэтому крайне важно убедиться, что настроенный узел центра действителен и заслуживает доверия.

Задается в профиле файла учетных данных или с помощью переменной окружения AZURE_DISABLE_INSTANCE_DISCOVERY.

Варианты:

• false ← (по умолчанию)
• true

enable_purge_protection

boolean

Свойство, указывающее, включена ли для этого хранилища защита от окончательного удаления.

Варианты:

• false ← (по умолчанию)
• true

enable_rbac_authorization

boolean

Свойство, управляющее авторизацией операций с данными.

Если enable_rbac_authorization=true, для авторизации операций с данными хранилище ключей будет использовать управление доступом на основе ролей (RBAC), а политики доступа, указанные в свойствах хранилища, будут игнорироваться.

Если enable_rbac_authorization=false, хранилище ключей будет использовать политики доступа, указанные в его свойствах, а все политики, хранящиеся в Azure Resource Manager, будут игнорироваться.

Если значение равно null или не задано, это свойство останется без изменений.

Начиная с версии API 2026-02-01, если значение не указано, Azure по умолчанию устанавливает true (RBAC).

Варианты:

• false
• true

enable_soft_delete

boolean

Свойство, указывающее, включена ли для этого хранилища ключей функция обратимого удаления.

Варианты:

• false
• true ← (по умолчанию)

enabled_for_deployment

boolean

Свойство, указывающее, разрешено ли виртуальным машинам Azure получать из хранилища ключей сертификаты, сохраненные в виде секретов.

Несовместим с hsm_name

Варианты:

• false
• true

enabled_for_disk_encryption

boolean

Свойство, указывающее, разрешено ли Azure Disk Encryption получать секреты из хранилища и раскрывать ключи.

Несовместим с hsm_name

Варианты:

• false
• true

enabled_for_template_deployment

boolean

Свойство, указывающее, разрешено ли Azure Resource Manager получать секреты из хранилища ключей.

Несовместим с hsm_name

Варианты:

• false
• true

hsm_name

string

Имя HSM.

Несовместим с vault_name

identity

dictionary

добавлено в azure.azcollection 3.0.0

Удостоверение для HSM; недопустимо для vault_name.

Несовместим с vault_name

type

string

Тип управляемого удостоверения

Варианты:

• "UserAssigned"
• "None" ← (по умолчанию)

user_assigned_identity

string

Назначенное пользователем управляемое удостоверение, связанное с этим ресурсом

is_purge_deleted

boolean

Определяет, следует ли безвозвратно удалить указанное хранилище. Иными словами, очистить удаленное хранилище ключей Azure.

Значение по умолчанию — True

Если задан is_purge_deleted, необходимо настроить location. Если он не настроен, будет использоваться расположение группы ресурсов по умолчанию.

Варианты:

• false ← (по умолчанию)
• true

location

string

Расположение ресурса. Если не задано, по умолчанию используется расположение группы ресурсов.

log_mode

string

Родительский аргумент.

log_path

string

Родительский аргумент.

network_acls

dictionary

Набор правил, определяющих доступность хранилища из определенных сетевых расположений.

bypass

string

Определяет, какой трафик может обходить сетевые правила.

Если значение не указано, по умолчанию используется ‘AzureServices’.

Варианты:

• "AzureServices" ← (по умолчанию)
• "None"

default_action

string

Действие по умолчанию, если ни одно правило из ipRules и virtualNetworkRules не совпало.

Это значение используется только после проверки свойства bypass.

Варианты:

• "Allow"
• "Deny"

ip_rules

list / elements=dictionary

Список правил для IP-адресов.

value

string

Диапазон IPv4-адресов в нотации CIDR.

Например, 124.56.78.91 (отдельный IP-адрес) или 124.56.78.0/24 (все адреса, начинающиеся с 124.56.78).

virtual_network_rules

list / elements=dictionary

Список правил для виртуальных сетей.

id

string

Полный идентификатор ресурса подсети виртуальной сети.

ignore_missing_vnet_service_endpoint

boolean

Свойство, указывающее, следует ли NRP игнорировать проверку наличия настроенных serviceEndpoints в родительской подсети.

Варианты:

• false
• true

oidc_token

string

добавлено в azure.azcollection 3.17.0

Токен OpenID Connect (OIDC) (JWT), используемый для аутентификации с помощью удостоверения рабочей нагрузки.

Этот токен обменивается с Azure AD с использованием федеративного удостоверения OIDC.

Полезен в системах CI (например, GitHub Actions, Azure DevOps), где платформа напрямую предоставляет токен OIDC.

Также можно задать с помощью переменной окружения AZURE_FEDERATED_TOKEN.

oidc_token_file_path

path

добавлено в azure.azcollection 3.17.0

Путь к файлу, содержащему токен OpenID Connect (OIDC) (JWT), используемый для аутентификации с помощью удостоверения рабочей нагрузки.

Файл должен содержать только исходный токен.

Этот способ обычно используется на платформах, которые сохраняют токены OIDC в виде файлов.

Также можно задать с помощью переменной окружения AZURE_FEDERATED_TOKEN_FILE.

password

string

Пароль пользователя Active Directory. Используйте при аутентификации пользователя Active Directory, а не субъекта-службы.

profile

string

Профиль безопасности из файла ~/.azure/credentials.

public_network_access

string

Свойство, указывающее, будет ли хранилище принимать трафик из общедоступного Интернета.

Варианты:

• "Disabled"
• "Enabled"

recover_mode

boolean

Создать хранилище в режиме восстановления.

Варианты:

• false
• true

resource_group

string / обязательный

Имя группы ресурсов, к которой относится сервер.

secret

string

Секрет клиента Azure. Используется при аутентификации с помощью субъекта-службы.

sku

dictionary

Сведения о SKU.

family

string / обязательный

Имя семейства SKU.

name

string / обязательный

Имя SKU, указывающее, является ли хранилище ключей стандартным или премиум-хранилищем.

Варианты:

• "standard"
• "premium"

soft_delete_retention_in_days

integer

Свойство, указывающее количество дней хранения удалённых хранилищ.

state

string

Задать состояние KeyVault. Используйте present для создания или обновления KeyVault и absent для его удаления.

Варианты:

• "absent"
• "present" ← (по умолчанию)

subscription_id

string

Идентификатор вашей подписки Azure.

tags

dictionary

Словарь пар «строка:строка», назначаемых объекту в качестве метаданных.

Теги метаданных объекта будут обновлены с учётом всех предоставленных значений.

Чтобы удалить теги, установите для параметра append_tags значение false.

В настоящее время зоны Azure DNS и службы Traffic Manager также не допускают использование пробелов в тегах.

Azure Front Door не поддерживает использование

Azure Automation и Azure CDN поддерживают не более 15 тегов для ресурсов.

tenant

string

Идентификатор клиента Azure. Используется при аутентификации с помощью субъекта-службы.

thumbprint

string

добавлено в azure.azcollection 1.14.0

Отпечаток закрытого ключа, указанного в x509_certificate_path.

Используется при аутентификации с помощью субъекта-службы.

Обязателен, если задан параметр x509_certificate_path.

vault_name

string

Имя хранилища.

Несовместимо с параметром hsm_name

vault_tenant

псевдонимы: tenant_id

string

Идентификатор клиента Azure Active Directory, который следует использовать для аутентификации запросов к хранилищу ключей.

x509_certificate_path

path

добавлено в azure.azcollection 1.14.0

Путь к сертификату X509 в формате PEM, используемому для создания субъекта-службы.

Сертификат необходимо добавить в конец файла закрытого ключа.

Используется при аутентификации с помощью субъекта-службы.

id

string

Идентификатор ресурса Azure Resource Manager для хранилища ключей.

Возвращается: всегда

Пример: "id"