Модуль community.general.ipa_sudorule — управление правилами sudo в FreeIPA

Примечание

Этот модуль входит в коллекцию community.general (версия 12.6.1).

Возможно, эта коллекция уже установлена, если вы используете пакет ansible. Она не входит в ansible-core. Чтобы проверить, установлена ли она, выполните ansible-galaxy collection list.

Чтобы установить её, используйте: ansible-galaxy collection install community.general.

Чтобы использовать её в плейбуке, укажите: community.general.ipa_sudorule.

Краткое описание
Параметры
Атрибуты
Примечания
Примеры
Возвращаемые значения

Краткое описание

Добавление, изменение или удаление правила sudo на сервере IPA с помощью API IPA.

Параметры

Параметр	Комментарии
cmd list / elements=string	Список команд, назначенных правилу. Если передан пустой список, из правила удаляются все команды. Если параметр не указан, команды не проверяются и не изменяются.
cmdcategory string	Категория команд, к которой применяется правило. Варианты: `"all"`
cmdgroup list / elements=string добавлено в community.general 2.0.0	Список групп команд, назначенных правилу. Если передан пустой список, из правила удаляются все группы команд. Если параметр не указан, группы команд не проверяются и не изменяются.
cn псевдонимы: name string / обязательный	Каноническое имя. Не может быть изменено, поскольку является уникальным идентификатором.
deny_cmd list / elements=string добавлено в community.general 8.1.0	Список запрещённых команд, назначенных правилу. Если передан пустой список, из правила удаляются все команды. Если параметр не указан, команды не проверяются и не изменяются.
deny_cmdgroup list / elements=string добавлено в community.general 8.1.0	Список запрещённых групп команд, назначенных правилу. Если передан пустой список, из правила удаляются все группы команд. Если параметр не указан, группы команд не проверяются и не изменяются.
description string	Описание правила sudo.
host list / elements=string	Список хостов, назначенных правилу. Если передан пустой список, из правила удаляются все хосты. Если параметр не указан, хосты не проверяются и не изменяются. Чтобы назначить хосты, параметр `hostcategory` необходимо опустить.
hostcategory string	Категория хостов, к которой применяется правило. Если передано `all`, параметры `host` и `hostgroup` необходимо опустить. Чтобы назначить `all`, параметры `host` и `hostgroup` необходимо опустить. Варианты: `"all"`
hostgroup list / elements=string	Список групп хостов, назначенных правилу. Если передан пустой список, из правила удаляются все группы хостов. Если параметр не указан, группы хостов не проверяются и не изменяются. Чтобы назначить группы хостов, параметр `hostcategory` необходимо опустить.
ipa_host string	IP-адрес или имя хоста сервера IPA. Если значение не указано в задаче, вместо него используется значение переменной окружения `IPA_HOST`. Если в задаче не указаны ни переменная окружения `IPA_HOST`, ни значение параметра, выполняется поиск сервера FreeIPA с помощью DNS. В FreeIPA необходима соответствующая запись `ipa-ca`. Если в задаче недоступны запись DNS, переменная окружения `IPA_HOST` и значение параметра, используется значение по умолчанию. По умолчанию: `"ipa.example.com"`
ipa_pass string	Пароль административного пользователя. Если значение не указано в задаче, вместо него используется значение переменной окружения `IPA_PASS`. Обратите внимание: если доступна библиотека `urllib_gssapi`, для аутентификации в FreeIPA можно использовать GSSAPI. Если доступна переменная окружения `KRB5CCNAME`, модуль использует указанный в ней кэш учётных данных Kerberos для аутентификации на сервере FreeIPA. Если доступна переменная окружения `KRB5_CLIENT_KTNAME`, а `KRB5CCNAME` — нет, модуль использует указанный в ней файл keytab Kerberos для аутентификации. Если GSSAPI недоступен, необходимо использовать `ipa_pass`.
ipa_port integer	Порт сервера FreeIPA / IPA. Если значение не указано в задаче, вместо него используется значение переменной окружения `IPA_PORT`. Если в задаче не указаны ни переменная окружения `IPA_PORT`, ни значение параметра, устанавливается значение по умолчанию. По умолчанию: `443`
ipa_prot string	Протокол, используемый сервером IPA. Если значение не указано в задаче, вместо него используется значение переменной окружения `IPA_PROT`. Если в задаче не указаны ни переменная окружения `IPA_PROT`, ни значение параметра, устанавливается значение по умолчанию. Варианты: `"http"` `"https"` ← (по умолчанию)
ipa_timeout integer	Задаёт время ожидания бездействия соединения (в секундах). Для массовых операций можно увеличить это значение, чтобы избежать тайм-аута со стороны сервера IPA. Если значение не указано в задаче, вместо него используется значение переменной окружения `IPA_TIMEOUT`. Если в задаче не указаны ни переменная окружения `IPA_TIMEOUT`, ни значение параметра, устанавливается значение по умолчанию. По умолчанию: `10`
ipa_user string	Административная учётная запись, используемая на сервере IPA. Если значение не указано в задаче, вместо него используется значение переменной окружения `IPA_USER`. Если в задаче не указаны ни переменная окружения `IPA_USER`, ни значение параметра, устанавливается значение по умолчанию. По умолчанию: `"admin"`
runasextusers list / elements=string добавлено в community.general 2.3.0	Список внешних пользователей RunAs.
runasgroupcategory string	Категория групп RunAs, к которой применяется правило. Варианты: `"all"`
runasusercategory string	Категория пользователей RunAs, к которой применяется правило. Варианты: `"all"`
state string	Требуемое состояние. Варианты: `"absent"` `"disabled"` `"enabled"` `"present"` ← (по умолчанию)
sudoopt list / elements=string	Список параметров для добавления в правило sudo.
user list / elements=string	Список пользователей, назначенных правилу. Если передан пустой список, из правила удаляются все пользователи. Если параметр не указан, пользователи не проверяются и не изменяются.
usercategory string	Категория пользователей, к которой применяется правило. Варианты: `"all"`
usergroup list / elements=string	Список групп пользователей, назначенных правилу. Если передан пустой список, из правила удаляются все группы пользователей. Если параметр не указан, группы пользователей не проверяются и не изменяются.
validate_certs boolean	Применяется только если `ipa_prot` имеет значение `https`. Если установлено значение `false`, сертификаты SSL не проверяются. Устанавливайте значение `false` только для сайтов под личным контролем, использующих самоподписанные сертификаты. Варианты: `false` `true` ← (по умолчанию)

Атрибуты

Атрибут	Поддержка	Описание
check_mode	Поддержка: полная	Модуль может работать в режиме `check_mode` и возвращать прогноз изменения состояния, не изменяя целевой объект.
diff_mode	Поддержка: отсутствует	В режиме сравнения возвращает сведения об изменениях (или возможных изменениях в `check_mode`).

Примечания

Примечание

Для связи с сервером FreeIPA этот модуль использует JSON-RPC поверх HTTP(S). Если необходимо включить управляемый узел в область FreeIPA, рассмотрите возможность использования коллекции freeipa.ansible_freeipa. Для управления развёртыванием требуется доступ к оболочке одного узла из области.

Примеры

- name: Ensure sudo rule is present that's allows all every body to execute any command on any host without being asked
    for a password.
  community.general.ipa_sudorule:
    name: sudo_all_nopasswd
    cmdcategory: all
    description: Allow to run every command with sudo without password
    hostcategory: all
    sudoopt:
      - '!authenticate'
    usercategory: all
    ipa_host: ipa.example.com
    ipa_user: admin
    ipa_pass: topsecret

- name: Ensure user group developers can run every command on host group db-server as well as on host db01.example.com.
  community.general.ipa_sudorule:
    name: sudo_dev_dbserver
    description: Allow developers to run every command with sudo on all database server
    cmdcategory: all
    host:
      - db01.example.com
    hostgroup:
      - db-server
    sudoopt:
      - '!authenticate'
    usergroup:
      - developers
    ipa_host: ipa.example.com
    ipa_user: admin
    ipa_pass: topsecret

- name: Ensure user group operations can run any commands that is part of operations-cmdgroup on any host as user root.
  community.general.ipa_sudorule:
    name: sudo_operations_all
    description: Allow operators to run any commands that is part of operations-cmdgroup on any host as user root.
    cmdgroup:
      - operations-cmdgroup
    hostcategory: all
    runasextusers:
      - root
    sudoopt:
      - '!authenticate'
    usergroup:
      - operators
    ipa_host: ipa.example.com
    ipa_user: admin
    ipa_pass: topsecret

Возвращаемые значения

Общие возвращаемые значения описаны здесь; ниже перечислены поля, уникальные для этого модуля:

Ключ	Описание
sudorule dictionary	Правило sudo в виде, возвращаемом IPA. Возвращается: всегда

Авторы

Thomas Krahn (@Nosmoht)

Ссылки на коллекцию

© 2012–2018 Michael DeHaan
© 2018–2025 Red Hat, Inc.
Licensed under the GNU General Public License version 3.
https://docs.ansible.com/projects/ansible/latest/collections/community/general/ipa_sudorule_module.html