Модуль community.aws.secretsmanager_secret — управление секретами, хранящимися в AWS Secrets Manager

Примечание

Этот модуль входит в коллекцию community.aws (версия 10.1.0).

Возможно, эта коллекция уже установлена, если вы используете пакет ansible. Она не входит в ansible-core. Чтобы проверить, установлена ли она, выполните ansible-galaxy collection list.

Чтобы установить её, используйте: ansible-galaxy collection install community.aws. Для использования этого модуля могут потребоваться дополнительные компоненты. Подробности см. в разделе Требования.

Чтобы использовать модуль в плейбуке, укажите: community.aws.secretsmanager_secret.

Добавлено в community.aws 1.0.0

Краткое описание
Требования
Параметры
Примечания
Примеры
Возвращаемые значения

Краткое описание

Создание, обновление и удаление секретов, хранящихся в AWS Secrets Manager.
До выпуска версии 5.0.0 этот модуль назывался community.aws.aws_secret. Использование не изменилось.

Псевдонимы: aws_secret

Требования

На хосте, выполняющем этот модуль, должны быть установлены следующие компоненты.

python >= 3.6
boto3 >= 1.34.0
botocore >= 1.34.0

Параметры

Параметр	Комментарии
access_key псевдонимы: aws_access_key_id, aws_access_key строка	Идентификатор ключа доступа AWS. Дополнительную информацию о токенах доступа см. в документации AWS: https://docs.aws.amazon.com/general/latest/gr/aws-sec-cred-types.html#access-keys-and-secret-access-keys. Также можно использовать переменные среды `AWS_ACCESS_KEY_ID` или `AWS_ACCESS_KEY` в порядке убывания приоритета. Параметры aws_access_key и profile являются взаимоисключающими. Псевдоним aws_access_key_id добавлен в выпуске 5.1.0 для согласованности с AWS botocore SDK.
aws_ca_bundle путь	Путь к пакету сертификатов CA, используемому для проверки SSL-сертификатов. Также можно использовать переменную среды `AWS_CA_BUNDLE`.
aws_config словарь	Словарь для изменения конфигурации botocore. Список параметров см. в документации AWS: https://botocore.amazonaws.com/v1/documentation/api/latest/reference/config.html#botocore.config.Config.
debug_botocore_endpoint_logs логический	Использовать регистратор `botocore.endpoint` для анализа уникальных (а не общего количества) вызовов API `"resource:action"`, выполненных во время задачи, и выводить их набор в ключ resource_actions результатов задачи. Используйте обработчик обратного вызова `aws_resource_action` для вывода общего списка вызовов, выполненных в ходе плейбука. Также можно использовать переменную среды `ANSIBLE_DEBUG_BOTOCORE_LOGS`. Возможные значения: `false` ← (по умолчанию) `true`
description строка	Задает описание секрета, предоставленное пользователем. По умолчанию: `""`
endpoint_url псевдонимы: aws_endpoint_url строка	URL для подключения вместо конечных точек AWS по умолчанию. Хотя этот параметр можно использовать для подключения к другим совместимым с AWS сервисам, коллекции amazon.aws и community.aws тестируются только с AWS. Также можно использовать переменную среды `AWS_URL`.
json_secret json добавлено в community.aws 4.1.0	Задает данные в формате JSON, которые нужно зашифровать и сохранить в новой версии секрета. Взаимоисключающий параметр с secret.
kms_key_id строка	Задает ARN или псевдоним главного ключа клиента AWS KMS (CMK), который будет использоваться для шифрования значений secret в версиях, хранящихся в этом секрете.
name строка / обязательный	Понятное имя создаваемого секрета.
overwrite логический добавлено в community.aws 5.3.0	Перезаписывать ли существующий секрет с тем же именем. Если задано значение `True`, существующий секрет с тем же именем name будет перезаписан. Если задано значение `False`, секрет с указанным именем name будет создан, только если он ещё не существует. Возможные значения: `false` `true` ← (по умолчанию)
profile псевдонимы: aws_profile строка	Именованный профиль AWS для аутентификации. Дополнительную информацию об именованных профилях см. в документации AWS: https://docs.aws.amazon.com/cli/latest/userguide/cli-configure-profiles.html. Также можно использовать переменную среды `AWS_PROFILE`. Параметр profile взаимоисключающий с параметрами aws_access_key, aws_secret_key и session_token.
purge_tags логический	Если задано значение `purge_tags=true` и параметр `tags` установлен, существующие теги будут удалены из ресурса, чтобы его теги точно соответствовали заданным параметром `tags`. Если параметр `tags` не задан, теги не будут изменены, даже если установлено значение `purge_tags=True`. Ключи тегов, начинающиеся с `aws:`, зарезервированы Amazon и не могут быть изменены. Поэтому они игнорируются при обработке параметра `purge_tags`. Дополнительную информацию см. в документации Amazon: https://docs.aws.amazon.com/general/latest/gr/aws_tagging.html#tag-conventions. Возможные значения: `false` `true` ← (по умолчанию)
recovery_window целое число	Используется только при отсутствии состояния. Задает количество дней, в течение которых Secrets Manager ожидает перед удалением секрета. Если задано значение 0, удаление выполняется принудительно, без возможности восстановления. По умолчанию: `30`
region псевдонимы: aws_region строка	Регион AWS. Для глобальных сервисов, таких как IAM, Route53 и CloudFront, параметр region игнорируется. Также можно использовать переменную среды `AWS_REGION`. Дополнительную информацию см. в документации Amazon AWS: http://docs.aws.amazon.com/general/latest/gr/rande.html#ec2_region.
replica список / элементы=словарь добавлено в community.aws 5.3.0	Задает список регионов и идентификаторов kms_key_id (необязательно), в которые нужно реплицировать секрет.
kms_key_id строка	Задает ARN или псевдоним главного ключа клиента AWS KMS (CMK) в целевом регионе (если не указано иное, используется alias/aws/secretsmanager).
region строка / обязательный	Регион, в который нужно реплицировать секрет.
resource_policy json добавлено в community.aws 3.1.0	Задает политику ресурса в формате JSON, прикрепляемую к секрету. Полезно для предоставления доступа к секретам между учетными записями.
rotation_interval целое число	Задает количество дней между автоматическими плановыми ротациями секрета. По умолчанию: `30`
rotation_lambda строка	Задает ARN функции Lambda, которая может выполнять ротацию секрета.
secret строка	Задает строковые или двоичные данные, которые нужно зашифровать и сохранить в новой версии секрета. Взаимоисключающий параметр с json_secret. По умолчанию: `""`
secret_key псевдонимы: aws_secret_access_key, aws_secret_key строка	Секретный ключ доступа AWS. Дополнительную информацию о токенах доступа см. в документации AWS: https://docs.aws.amazon.com/general/latest/gr/aws-sec-cred-types.html#access-keys-and-secret-access-keys. Также можно использовать переменные среды `AWS_SECRET_ACCESS_KEY` или `AWS_SECRET_KEY` в порядке убывания приоритета. Параметры secret_key и profile являются взаимоисключающими. Псевдоним aws_secret_access_key добавлен в выпуске 5.1.0 для согласованности с AWS botocore SDK.
secret_type строка	Задает тип данных, которые нужно зашифровать. Возможные значения: `"binary"` `"string"` ← (по умолчанию)
session_token псевдонимы: aws_session_token строка	Токен сеанса AWS STS для использования с временными учетными данными. Дополнительную информацию о токенах доступа см. в документации AWS: https://docs.aws.amazon.com/general/latest/gr/aws-sec-cred-types.html#access-keys-and-secret-access-keys. Также можно использовать переменную среды `AWS_SESSION_TOKEN`. Параметры session_token и profile являются взаимоисключающими.
state строка	Должен ли секрет существовать. Возможные значения: `"present"` ← (по умолчанию) `"absent"`
tags псевдонимы: resource_tags словарь	Словарь тегов, применяемых к ресурсу. Если параметр `tags` не задан, теги не будут изменены.
validate_certs логический	Если задано значение `false`, SSL-сертификаты при взаимодействии с API AWS проверяться не будут. Настоятельно не рекомендуется задавать validate_certs=false; вместо этого рассмотрите возможность использования aws_ca_bundle. Возможные значения: `false` `true` ← (по умолчанию)

Примечания

Примечание

Поддержка purge_tags добавлена в выпуске 4.0.0.
Внимание: Для модулей переменные среды и файлы конфигурации считываются в контексте «хоста» Ansible, а не «контроллера». Поэтому файлы может потребоваться явно скопировать на «хост». Для плагинов поиска и подключений переменные среды и файлы конфигурации считываются в контексте «контроллера» Ansible, а не «хоста».
Используемый Ansible пакет AWS SDK (boto3) также может считывать значения по умолчанию для учетных данных и других параметров, например региона, из файлов конфигурации в контексте «хоста» Ansible (обычно ~/.aws/credentials). Дополнительную информацию см. по адресу https://boto3.amazonaws.com/v1/documentation/api/latest/guide/credentials.html.

Примеры

- name: Add string to AWS Secrets Manager
  community.aws.secretsmanager_secret:
    name: 'test_secret_string'
    state: present
    secret_type: 'string'
    secret: "{{ super_secret_string }}"

- name: Add a secret with resource policy attached
  community.aws.secretsmanager_secret:
    name: 'test_secret_string'
    state: present
    secret_type: 'string'
    secret: "{{ super_secret_string }}"
    resource_policy: "{{ lookup('template', 'templates/resource_policy.json.j2', convert_data=False) | string }}"

- name: remove string from AWS Secrets Manager
  community.aws.secretsmanager_secret:
    name: 'test_secret_string'
    state: absent
    secret_type: 'string'
    secret: "{{ super_secret_string }}"

- name: Only create a new secret, but do not update if alredy exists by name
  community.aws.secretsmanager_secret:
    name: 'random_string'
    state: present
    secret_type: 'string'
    secret: "{{ lookup('community.general.random_string', length=16, special=false) }}"
    overwrite: false

Возвращаемые значения

Общие возвращаемые значения описаны здесь, ниже перечислены поля, уникальные для этого модуля:

Ключ	Описание
secret complex	Информация о секрете Возвращается: всегда
arn string	ARN секрета. Возвращается: всегда Пример: `"arn:aws:secretsmanager:eu-west-1:xxxxxxxxxx:secret:xxxxxxxxxxx"`
description string	Описание секрета. Возвращается: если у секрета есть описание Пример: `"An example description"`
last_accessed_date string	Дата последнего обращения к секрету. Возвращается: всегда Пример: `"2018-11-20T01:00:00+01:00"`
last_changed_date string	Дата последнего изменения секрета. Возвращается: всегда Пример: `"2018-11-20T12:16:38.433000+01:00"`
name string	Имя секрета. Возвращается: всегда Пример: `"my_secret"`
rotation_enabled boolean	Состояние ротации секрета. Возвращается: всегда Пример: `false`
tags list / elements=dictionary	Список словарей, представляющих теги, связанные с секретом, в стандартном формате boto3. Возвращается: если у секрета есть теги
key string	Имя или ключ тега. Возвращается: при успешном выполнении Пример: `"MyTag"`
value string	Значение тега. Возвращается: при успешном выполнении Пример: `"Some value."`
tags_dict dictionary добавлено в community.aws 4.0.0	Словарь, представляющий теги, связанные с секретом. Возвращается: если у секрета есть теги Пример: `{"MyTagName": "Some Value"}`
version_ids_to_stages dictionary	Идентификаторы версий секрета и соответствующие им этапы секрета. Возвращается: всегда Пример: `{"dc1ed59b-6d8e-4450-8b41-536dfe4600a9": ["AWSCURRENT"]}`

Авторы

REY Remi (@rrey)

Ссылки на коллекцию

© 2012–2018 Michael DeHaan
© 2018–2025 Red Hat, Inc.
Licensed under the GNU General Public License version 3.
https://docs.ansible.com/projects/ansible/latest/collections/community/aws/secretsmanager_secret_module.html