Модуль community.general.krb_ticket — утилиты Kerberos для управления билетами

Примечание

Этот модуль входит в коллекцию community.general (версия 12.6.1).

Возможно, эта коллекция уже установлена, если вы используете пакет ansible. Она не входит в ansible-core. Чтобы проверить, установлена ли она, выполните ansible-galaxy collection list.

Для установки используйте: ansible-galaxy collection install community.general. Для использования этого модуля необходимы дополнительные требования; подробности см. в разделе Требования.

Чтобы использовать его в плейбуке, укажите: community.general.krb_ticket.

Добавлено в community.general 10.0.0

Краткое описание
Требования
Параметры
Атрибуты
Примеры

Краткое описание

Управление билетами Kerberos с помощью базовых утилит kinit, klist и kdestroy.
См. справочную информацию на странице https://web.mit.edu/kerberos/krb5-1.12/doc/user/user_commands/index.html.

Требования

На узле, выполняющем этот модуль, должны быть установлены следующие компоненты.

Пакеты krb5-user и krb5-config

Параметры

Параметр	Комментарии
address_restricted boolean	Запрашивать билеты, ограниченные локальным адресом узла, или билеты без такого ограничения. Варианты: `false` `true`
anonymous boolean	Запрашивает анонимную обработку. Варианты: `false` `true`
cache_name string	Использовать `cache_name` в качестве имени и расположения кэша билетов. Если этот параметр не используется, применяются имя и расположение кэша по умолчанию. Кэш учетных данных по умолчанию может различаться в разных системах. Если параметр не задан, вместо него используется значение переменной среды `KRB5CCNAME`; это значение применяется для именования кэша билетов по умолчанию.
canonicalization boolean	Запрашивает каноникализацию имени принципала и позволяет KDC ответить именем принципала клиента, отличным от запрошенного. Варианты: `false` `true`
enterprise boolean	Обрабатывает имя принципала как имя предприятия (подразумевает параметр `canonicalization`). Варианты: `false` `true`
forwardable boolean	Запрашивать делегируемые или неделегируемые билеты. Варианты: `false` `true`
kdestroy_all boolean	Если задано значение `state=absent`, удаляет все кэши учетных данных в коллекции. Эквивалентно выполнению команды `kdestroy -A`. Варианты: `false` `true`
keytab boolean	Запрашивает билет, полученный с помощью ключа из локальной таблицы ключей узла. Если `keytab_path` не указан, выполняется попытка использовать путь к таблице ключей клиента по умолчанию (параметр `-i`). Варианты: `false` `true`
keytab_path path	Используется при значении `keytab=true`, чтобы указать путь к файлу таблицы ключей. Необходимо указать `password` или `keytab_path`.
lifetime string	Запрашивает билет с указанным сроком действия. Если `lifetime` не задан, используется срок действия билета по умолчанию. Указание срока действия билета, превышающего максимально допустимый (настраивается на каждом сайте), не отменяет настроенное максимальное значение. После значения `lifetime` необходимо указать один из следующих суффиксов: `s` — секунды, `m` — минуты, `h` — часы, `d` — дни. Нельзя смешивать единицы измерения; значение `3h30m` приведет к ошибке. Справочную информацию см. на странице https://web.mit.edu/kerberos/krb5-1.12/doc/basic/date_format.html.
password string	Пароль принципала. Необходимо указать `password` или `keytab_path`.
principal string	Имя принципала. Если не задано, используется имя пользователя, запускающего этот модуль.
proxiable boolean	Запрашивать проксируемые или непроксируемые билеты. Варианты: `false` `true`
renewable string	Запрашивает возобновляемые билеты с общим сроком действия `renewable`. После значения `renewable` необходимо указать один из следующих разделителей: `s` — секунды, `m` — минуты, `h` — часы, `d` — дни. Нельзя смешивать единицы измерения; значение `3h30m` приведет к ошибке. Справочную информацию см. на странице https://web.mit.edu/kerberos/krb5-1.12/doc/basic/date_format.html.
renewal boolean	Запрашивает продление билета на выдачу билетов. Обратите внимание: срок действия билета с истекшим сроком действия нельзя продлить, даже если он все еще находится в пределах периода возобновления. Варианты: `false` `true`
start_time string	Запрашивает билет с отложенным началом действия. Для таких билетов устанавливается флаг недействительности; перед использованием их необходимо повторно отправить в KDC для проверки. `start_time` задает длительность задержки до момента, когда билет может стать действительным. Можно использовать абсолютные форматы времени, например, для `July 27, 2012 at 20:30` необходимо задать `start_time=20120727203000`. Также можно использовать формат длительности времени, например `lifetime` или `renewable`. Справочную информацию см. на странице https://web.mit.edu/kerberos/krb5-1.12/doc/basic/date_format.html.
state string	Состояние билета Kerberos. `present` эквивалентно команде `kinit`. `absent` эквивалентно команде `kdestroy`. Варианты: `"present"` ← (по умолчанию) `"absent"`
validate boolean	Запрашивает передачу билета на выдачу билетов из кэша (с установленным флагом недействительности) в KDC для проверки. Если билет находится в пределах запрошенного временного диапазона, кэш заменяется проверенным билетом. Варианты: `false` `true`

Атрибуты

Атрибут	Поддержка	Описание
check_mode	Поддержка: полная	Может работать в режиме `check_mode` и возвращать прогноз изменения состояния, не изменяя целевой узел.
diff_mode	Поддержка: отсутствует	В режиме diff возвращает сведения об изменениях (или о возможных изменениях в `check_mode`).

Примеры

- name: Get Kerberos ticket using default principal
  community.general.krb_ticket:
    password: some_password

- name: Get Kerberos ticket using keytab
  community.general.krb_ticket:
    keytab: true
    keytab_path: /etc/ipa/file.keytab

- name: Get Kerberos ticket with a lifetime of 7 days
  community.general.krb_ticket:
    password: some_password
    lifetime: 7d

- name: Get Kerberos ticket with a starting time of July 2, 2024, 1:35:30 p.m.
  community.general.krb_ticket:
    password: some_password
    start_time: "240702133530"

- name: Get Kerberos ticket using principal name
  community.general.krb_ticket:
    password: some_password
    principal: admin

- name: Get Kerberos ticket using principal with realm
  community.general.krb_ticket:
    password: some_password
    principal: admin@IPA.TEST

- name: Check for existence by ticket cache
  community.general.krb_ticket:
    cache_name: KEYRING:persistent:0:0

- name: Make sure default ticket is destroyed
  community.general.krb_ticket:
    state: absent

- name: Make sure specific ticket destroyed by principal
  community.general.krb_ticket:
    state: absent
    principal: admin@IPA.TEST

- name: Make sure specific ticket destroyed by cache_name
  community.general.krb_ticket:
    state: absent
    cache_name: KEYRING:persistent:0:0

- name: Make sure all tickets are destroyed
  community.general.krb_ticket:
    state: absent
    kdestroy_all: true

Авторы

Alexander Bakanovskii (@abakanovskii)

Ссылки на коллекцию

© 2012–2018 Michael DeHaan
© 2018–2025 Red Hat, Inc.
Licensed under the GNU General Public License version 3.
https://docs.ansible.com/projects/ansible/latest/collections/community/general/krb_ticket_module.html