Модуль community.general.ipa_hbacrule — управление правилом FreeIPA HBAC

Примечание

Этот модуль входит в коллекцию community.general (версия 12.6.1).

Возможно, эта коллекция уже установлена, если вы используете пакет ansible. Она не входит в ansible-core. Чтобы проверить, установлена ли она, выполните ansible-galaxy collection list.

Чтобы установить её, используйте: ansible-galaxy collection install community.general.

Чтобы использовать её в плейбуке, укажите: community.general.ipa_hbacrule.

Краткое описание
Параметры
Атрибуты
Примечания
Примеры
Возвращаемые значения

Краткое описание

Добавление, изменение или удаление правила IPA HBAC с помощью API IPA.

Параметры

Параметр	Описание
cn псевдонимы: name строка / обязательный	Каноническое имя. Его нельзя изменить, так как оно является уникальным идентификатором.
description строка	Описание.
host список / элементы=строка	Список имён узлов для назначения. Если передать пустой список, из правила будут удалены все узлы. Если параметр не указан, узлы не проверяются и не изменяются.
hostcategory строка	Категория узлов. Варианты: `"all"`
hostgroup список / элементы=строка	Список имён групп узлов для назначения. Если передать пустой список, из правила будут удалены все группы узлов. Если параметр не указан, группы узлов не проверяются и не изменяются.
ipa_host строка	IP-адрес или имя узла сервера IPA. Если значение не указано в задаче, вместо него используется значение переменной среды `IPA_HOST`. Если в задаче не указаны ни переменная среды `IPA_HOST`, ни значение, для обнаружения сервера FreeIPA используется DNS. Соответствующая запись, необходимая в FreeIPA, — это запись `ipa-ca`. Если в задаче недоступны ни запись DNS, ни переменная среды `IPA_HOST`, ни значение, используется значение по умолчанию. По умолчанию: `"ipa.example.com"`
ipa_pass строка	Пароль пользователя-администратора. Если значение не указано в задаче, вместо него используется значение переменной среды `IPA_PASS`. Обратите внимание: если доступна библиотека `urllib_gssapi`, для аутентификации в FreeIPA можно использовать GSSAPI. Если доступна переменная среды `KRB5CCNAME`, модуль использует этот кэш учётных данных Kerberos для аутентификации на сервере FreeIPA. Если доступна переменная среды `KRB5_CLIENT_KTNAME`, а `KRB5CCNAME` — нет, модуль использует этот файл keytab Kerberos для аутентификации. Если GSSAPI недоступен, необходимо использовать `ipa_pass`.
ipa_port целое число	Порт сервера FreeIPA / IPA. Если значение не указано в задаче, вместо него используется значение переменной среды `IPA_PORT`. Если в задаче не указаны ни переменная среды `IPA_PORT`, ни значение, устанавливается значение по умолчанию. По умолчанию: `443`
ipa_prot строка	Протокол, используемый сервером IPA. Если значение не указано в задаче, вместо него используется значение переменной среды `IPA_PROT`. Если в задаче не указаны ни переменная среды `IPA_PROT`, ни значение, устанавливается значение по умолчанию. Варианты: `"http"` `"https"` ← (по умолчанию)
ipa_timeout целое число	Задаёт время ожидания бездействия (в секундах) для подключения. Для массовых операций можно увеличить это значение, чтобы избежать тайм-аута со стороны сервера IPA. Если значение не указано в задаче, вместо него используется значение переменной среды `IPA_TIMEOUT`. Если в задаче не указаны ни переменная среды `IPA_TIMEOUT`, ни значение, устанавливается значение по умолчанию. По умолчанию: `10`
ipa_user строка	Учётная запись администратора, используемая на сервере IPA. Если значение не указано в задаче, вместо него используется значение переменной среды `IPA_USER`. Если в задаче не указаны ни переменная среды `IPA_USER`, ни значение, устанавливается значение по умолчанию. По умолчанию: `"admin"`
service список / элементы=строка	Список имён служб для назначения. Если передать пустой список, из правила будут удалены все службы. Если параметр не указан, службы не проверяются и не изменяются.
servicecategory строка	Категория служб. Варианты: `"all"`
servicegroup список / элементы=строка	Список имён групп служб для назначения. Если передать пустой список, из правила будут удалены все назначенные группы служб. Если параметр не указан, группы служб не проверяются и не изменяются.
sourcehost список / элементы=строка	Список имён исходных узлов для назначения. Если передать пустой список, из правила будут удалены все назначенные исходные узлы. Если параметр не указан, исходные узлы не проверяются и не изменяются.
sourcehostcategory строка	Категория исходных узлов. Варианты: `"all"`
sourcehostgroup список / элементы=строка	Список имён групп исходных узлов для назначения. Если передать пустой список, из правила будут удалены все назначенные группы исходных узлов. Если параметр не указан, группы исходных узлов не проверяются и не изменяются.
state строка	Требуемое состояние. Варианты: `"absent"` `"disabled"` `"enabled"` `"present"` ← (по умолчанию)
user список / элементы=строка	Список имён пользователей для назначения. Если передать пустой список, из правила будут удалены все назначенные пользователи. Если параметр не указан, пользователи не проверяются и не изменяются.
usercategory строка	Категория пользователей. Варианты: `"all"`
usergroup список / элементы=строка	Список имён групп пользователей для назначения. Если передать пустой список, из правила будут удалены все назначенные группы пользователей. Если параметр не указан, группы пользователей не проверяются и не изменяются.
validate_certs логическое значение	Применяется только в том случае, если `ipa_prot` имеет значение `https`. Если установлено значение `false`, сертификаты SSL не проверяются. Это следует устанавливать в значение `false` только на сайтах под личным управлением, использующих самоподписанные сертификаты. Варианты: `false` `true` ← (по умолчанию)

Атрибуты

Атрибут	Поддержка	Описание
check_mode	Поддержка: полная	Модуль может работать в режиме `check_mode` и возвращать прогноз изменения статуса без изменения целевого объекта.
diff_mode	Поддержка: отсутствует	В режиме сравнения возвращает сведения об изменениях (или о возможных изменениях в `check_mode`).

Примечания

Примечание

Этот модуль использует JSON-RPC поверх HTTP(S) для связи с сервером FreeIPA. Если необходимо зарегистрировать управляемый узел в области FreeIPA, можно воспользоваться коллекцией freeipa.ansible_freeipa, однако для управления развёртыванием потребуется доступ к оболочке одного из узлов области.

Примеры

- name: Ensure rule to allow all users to access any host from any host
  community.general.ipa_hbacrule:
    name: allow_all
    description: Allow all users to access any host from any host
    hostcategory: all
    servicecategory: all
    usercategory: all
    state: present
    ipa_host: ipa.example.com
    ipa_user: admin
    ipa_pass: topsecret

- name: Ensure rule with certain limitations
  community.general.ipa_hbacrule:
    name: allow_all_developers_access_to_db
    description: Allow all developers to access any database from any host
    hostgroup:
      - db-server
    usergroup:
      - developers
    state: present
    ipa_host: ipa.example.com
    ipa_user: admin
    ipa_pass: topsecret

- name: Ensure rule is absent
  community.general.ipa_hbacrule:
    name: rule_to_be_deleted
    state: absent
    ipa_host: ipa.example.com
    ipa_user: admin
    ipa_pass: topsecret

Возвращаемые значения

Общие возвращаемые значения описаны здесь; ниже приведены поля, уникальные для этого модуля:

Ключ	Описание
hbacrule словарь	Правило HBAC, возвращённое API IPA. Возвращается: всегда

Авторы

Thomas Krahn (@Nosmoht)

Ссылки на коллекцию

© 2012–2018 Michael DeHaan
© 2018–2025 Red Hat, Inc.
Licensed under the GNU General Public License version 3.
https://docs.ansible.com/projects/ansible/latest/collections/community/general/ipa_hbacrule_module.html