community.hashi_vault.hashi_vault lookup — получение секретов из Vault от HashiCorp
Примечание
Этот плагин поиска входит в коллекцию community.hashi_vault (версия 7.1.0).
Возможно, эта коллекция уже установлена, если вы используете пакет ansible. Она не входит в ansible-core. Чтобы проверить, установлена ли она, выполните ansible-galaxy collection list.
Для установки используйте: ansible-galaxy collection install community.hashi_vault. Для использования этого плагина поиска требуются дополнительные зависимости; подробную информацию см. в разделе Требования.
Чтобы использовать его в плейбуке, укажите: community.hashi_vault.hashi_vault.
- Краткое описание
- Требования
- Параметры ключевых слов
- Примечания
- См. также
- Примеры
- Возвращаемое значение
Краткое описание
- Получение секретов из Vault от HashiCorp.
- Рассмотрите возможность перехода на другие плагины коллекции.
Требования
Следующие зависимости необходимы на локальном управляющем узле, выполняющем этот поиск.
-
hvac(библиотека Python) - Подробные сведения о требованиях см. на странице требований коллекции.
Параметры ключевых слов
Здесь описаны параметры ключевых слов поиска. Это значения key1=value1, key2=value2 и так далее в следующих примерах: lookup('community.hashi_vault.hashi_vault', key1=value1, key2=value2, ...) и query('community.hashi_vault.hashi_vault', key1=value1, key2=value2, ...)
Параметр | Комментарии |
|---|---|
auth_method строка | Используемый метод аутентификации. Метод аутентификации Метод аутентификации
Метод аутентификации Метод аутентификации Варианты:
Конфигурация:
|
aws_access_key псевдонимы: aws_access_key_id строка | Используемый ключ доступа AWS. Конфигурация:
|
aws_iam_server_id строка добавлено в community.hashi_vault 0.2.0 | Если указано, задает значение для заголовка Конфигурация:
|
aws_profile псевдонимы: boto_profile строка | |
aws_secret_key псевдонимы: aws_secret_access_key строка | Секретный ключ AWS, соответствующий ключу доступа. Конфигурация:
|
aws_security_token строка | Токен безопасности AWS при использовании временных ключей доступа и секретных ключей. Конфигурация:
|
azure_client_id строка добавлено в community.hashi_vault 3.2.0 | Идентификатор клиента (также известный как идентификатор приложения) субъекта-службы Azure AD или управляемого удостоверения. Должен быть UUID. Если не указано, будет использоваться назначенное системой управляемое удостоверение. Конфигурация:
|
azure_client_secret строка добавлено в community.hashi_vault 3.2.0 | Секрет клиента субъекта-службы Azure AD. Конфигурация:
|
azure_resource строка добавлено в community.hashi_vault 3.2.0 | URL ресурса для приложения, зарегистрированного в Azure Active Directory. Обычно его не следует менять относительно значения по умолчанию. По умолчанию: Конфигурация:
|
azure_tenant_id строка добавлено в community.hashi_vault 3.2.0 | Идентификатор клиента Azure Active Directory (также известный как идентификатор каталога) субъекта-службы. Должен быть UUID. Обязателен при использовании субъекта-службы для аутентификации в Vault, например, если указаны и azure_client_id, и azure_client_secret. Необязателен при использовании управляемого удостоверения для аутентификации в Vault. Конфигурация:
|
ca_cert псевдонимы: cacert строка | Путь к сертификату, используемому для аутентификации. Если он не задан другим способом, будет использоваться переменная среды Конфигурация:
|
cert_auth_private_key путь добавлено в community.hashi_vault 1.4.0 | Для аутентификации Конфигурация:
|
cert_auth_public_key путь добавлено в community.hashi_vault 1.4.0 | Для аутентификации Конфигурация:
|
jwt строка | JSON Web Token (JWT), используемый для аутентификации в Vault с помощью JWT. Конфигурация:
|
mount_point строка | Точка монтирования Vault. Если не указана, используется точка монтирования по умолчанию для заданного метода аутентификации. Не применяется для аутентификации с помощью токена. Конфигурация:
|
namespace строка | Пространство имен Vault, в котором хранятся секреты. Для этого параметра необходимы HVAC версии 0.7.0+ и Vault версии 0.11+. Этого также можно добиться, добавив пространство имен в начало точки монтирования аутентификации и/или пути к секрету (например, Если задана переменная среды Конфигурация:
|
password строка | Пароль для аутентификации. Конфигурация:
|
proxies любое значение добавлено в community.hashi_vault 1.1.0 | URL-адреса прокси-серверов, используемых для доступа к службе Vault. Значением может быть строка или словарь. Если это словарь, укажите схему (например, Если это строка, укажите один URL-адрес, который будет использоваться как прокси-сервер для схем Строка, которую можно интерпретировать как словарь, будет преобразована в словарь (см. примеры). Для ресурсов HTTP и HTTPS можно указать разные прокси-серверы. Если параметр не указан, используются переменные среды библиотеки Requests. Конфигурация:
|
region строка | Регион AWS, для которого создается подключение. Конфигурация:
|
retries любое значение добавлено в community.hashi_vault 1.3.0 | Позволяет повторять запросы при ошибках на основе класса Retry библиотеки urllib3. В этой коллекции заданы рекомендуемые значения по умолчанию для повторных подключений к Vault. Для этого параметра можно указать положительное число (целое) или словарь. Если параметр не указан или значение равно Число задает общее количество повторных попыток; для остальных параметров используются значения коллекции по умолчанию. Значение-словарь напрямую используется для инициализации класса Подробные сведения о повторных попытках см. в руководстве пользователя коллекции. Конфигурация:
|
retry_action строка добавлено в community.hashi_vault 1.3.0 | Определяет, показывать ли сообщения о повторных попытках и каким образом. Не влияет на запросы, которые не повторяются. Варианты:
Конфигурация:
|
return_format псевдонимы: as строка | Определяет, как обрабатываются при возврате несколько пар «ключ/значение» в пути.
Варианты:
|
role_id строка | Идентификатор или имя роли Vault. Используется в методах аутентификации При аутентификации Для аутентификации Конфигурация:
|
secret строка / обязательный | Путь Vault к запрашиваемому секрету в формате |
secret_id строка | Идентификатор секрета для аутентификации в Vault с помощью AppRole. Конфигурация:
|
timeout целое число добавлено в community.hashi_vault 1.3.0 | Задает время ожидания подключения в секундах. Если значение не задано, используется значение по умолчанию библиотеки Конфигурация:
|
token строка | Токен Vault. Токен можно указать явно, с помощью перечисленных переменных [env], а также с помощью переменной среды Если токен не задан явно или через переменную среды, плагин проверит наличие файла токена, определяемого параметрами token_path и token_file. Порядок загрузки токена (используется первый найденный): Конфигурация:
|
token_file строка | Если токен не задан, будет предпринята попытка прочитать его из этого файла в token_path. По умолчанию: Конфигурация:
|
token_path строка | Если токен не задан, будет предпринята попытка прочитать файл token_file по этому пути. Конфигурация:
|
token_validate логическое значение добавлено в community.hashi_vault 0.2.0 | При аутентификации с помощью токена перед его использованием будет выполнена операция Отключите эту опцию, если у вашего токена нет возможности Варианты:
Конфигурация:
|
url строка | URL-адрес службы Vault. Если значение не задано другим способом, будет использоваться значение переменной среды Если Конфигурация:
|
username строка | Имя пользователя для аутентификации. Конфигурация:
|
validate_certs логическое значение | Управляет проверкой и подтверждением подлинности SSL-сертификатов. Обычно отключать эту проверку следует только для самоподписанных сертификатов. Если задано значение Если не задан ни validate_certs, ни Варианты:
Конфигурация:
|
Примечание
Перечисленные выше для каждого типа записей параметры конфигурации (переменная Ansible, переменная среды и т. д.) расположены в порядке приоритета от низкого к высокому. Например, переменная, находящаяся ниже в списке, переопределяет переменную, расположенную выше. Типы записей также расположены в порядке приоритета от низкого к высокому. Например, запись ansible.cfg (расположенная выше в списке) переопределяется переменной Ansible (расположенной ниже в списке).
Примечания
Примечание
- Из-за текущего ограничения библиотеки HVAC при указании неверной конечной точки ошибка может не возникнуть.
- Начиная с community.hashi_vault 0.1.0, при указании пути KV v2 возвращается только последняя версия секрета.
- Начиная с community.hashi_vault 0.1.0, все параметры можно передавать в виде строки term (разделенные пробелами пары ключ=значение) или в виде параметров (см. примеры).
- Начиная с community.hashi_vault 0.1.0, если secret является первым параметром в строке term,
secret=не требуется (см. примеры).
См. также
См. также
- Руководство по миграции community.hashi_vault.hashi_vault
-
Переход с lookup
hashi_vault. - О lookup community.hashi_vault.hashi_vault
-
Прошлое, настоящее и будущее lookup
hashi_vault. - Lookup community.hashi_vault.vault_read
-
Официальная документация по плагину lookup
community.hashi_vault.vault_read. - community.hashi_vault.vault_read
-
Выполняет операцию чтения в HashiCorp Vault.
- Lookup community.hashi_vault.vault_kv2_get
-
Официальная документация по плагину lookup
community.hashi_vault.vault_kv2_get. - community.hashi_vault.vault_kv2_get
-
Получает секрет из хранилища секретов KV версии 2 в HashiCorp Vault.
- Lookup community.hashi_vault.vault_kv1_get
-
Официальная документация по плагину lookup
community.hashi_vault.vault_kv1_get. - community.hashi_vault.vault_kv1_get
-
Получает секрет из хранилища секретов KV версии 1 в HashiCorp Vault.
- Руководство по lookup community.hashi_vault
-
Рекомендации по использованию lookup в
community.hashi_vault.
Примеры
- ansible.builtin.debug:
msg: "{{ lookup('community.hashi_vault.hashi_vault', 'secret=secret/hello:value token=c975b780-d1be-8016-866b-01d0f9b688a5 url=http://myvault:8200') }}"
- name: Return all secrets from a path
ansible.builtin.debug:
msg: "{{ lookup('community.hashi_vault.hashi_vault', 'secret=secret/hello token=c975b780-d1be-8016-866b-01d0f9b688a5 url=http://myvault:8200') }}"
- name: Vault that requires authentication via LDAP
ansible.builtin.debug:
msg: "{{ lookup('community.hashi_vault.hashi_vault', 'secret/hello:value auth_method=ldap mount_point=ldap username=myuser password=mypas') }}"
- name: Vault that requires authentication via username and password
ansible.builtin.debug:
msg: "{{ lookup('community.hashi_vault.hashi_vault', 'secret=secret/hola:val auth_method=userpass username=myuser password=psw url=http://vault:8200') }}"
- name: Connect to Vault using TLS
ansible.builtin.debug:
msg: "{{ lookup('community.hashi_vault.hashi_vault', 'secret=secret/hola:value token=c975b780-d1be-8016-866b-01d0f9b688a5 validate_certs=False') }}"
- name: using certificate auth
ansible.builtin.debug:
msg: "{{ lookup('community.hashi_vault.hashi_vault', 'secret/hi:val token=xxxx url=https://vault:8200 validate_certs=True cacert=/cacert/path/ca.pem') }}"
- name: Authenticate with a Vault app role
ansible.builtin.debug:
msg: "{{ lookup('community.hashi_vault.hashi_vault', 'secret=secret/hello:value auth_method=approle role_id=myroleid secret_id=mysecretid') }}"
- name: Return all secrets from a path in a namespace
ansible.builtin.debug:
msg: "{{ lookup('community.hashi_vault.hashi_vault', 'secret=secret/hello token=c975b780-d1be-8016-866b-01d0f9b688a5 namespace=teama/admins') }}"
# When using KV v2 the PATH should include "data" between the secret engine mount and path (e.g. "secret/data/:path")
# see: https://www.vaultproject.io/api/secret/kv/kv-v2.html#read-secret-version
- name: Return latest KV v2 secret from path
ansible.builtin.debug:
msg: "{{ lookup('community.hashi_vault.hashi_vault', 'secret=secret/data/hello token=my_vault_token url=http://myvault_url:8200') }}"
# The following examples show more modern syntax, with parameters specified separately from the term string.
- name: secret= is not required if secret is first
ansible.builtin.debug:
msg: "{{ lookup('community.hashi_vault.hashi_vault', 'secret/data/hello token=<token> url=http://myvault_url:8200') }}"
- name: options can be specified as parameters rather than put in term string
ansible.builtin.debug:
msg: "{{ lookup('community.hashi_vault.hashi_vault', 'secret/data/hello', token=my_token_var, url='http://myvault_url:8200') }}"
# return_format (or its alias 'as') can control how secrets are returned to you
- name: return secrets as a dict (default)
ansible.builtin.set_fact:
my_secrets: "{{ lookup('community.hashi_vault.hashi_vault', 'secret/data/manysecrets', token=my_token_var, url='http://myvault_url:8200') }}"
- ansible.builtin.debug:
msg: "{{ my_secrets['secret_key'] }}"
- ansible.builtin.debug:
msg: "Secret '{{ item.key }}' has value '{{ item.value }}'"
loop: "{{ my_secrets | dict2items }}"
- name: return secrets as values only
ansible.builtin.debug:
msg: "A secret value: {{ item }}"
loop: "{{ query('community.hashi_vault.hashi_vault', 'secret/data/manysecrets', token=my_token_var, url='http://vault_url:8200', return_format='values') }}"
- name: return raw secret from API, including metadata
ansible.builtin.set_fact:
my_secret: "{{ lookup('community.hashi_vault.hashi_vault', 'secret/data/hello:value', token=my_token_var, url='http://myvault_url:8200', as='raw') }}"
- ansible.builtin.debug:
msg: "This is version {{ my_secret['metadata']['version'] }} of hello:value. The secret data is {{ my_secret['data']['data']['value'] }}"
# AWS IAM authentication method
# uses Ansible standard AWS options
- name: authenticate with aws_iam
ansible.builtin.debug:
msg: "{{ lookup('community.hashi_vault.hashi_vault', 'secret/hello:value', auth_method='aws_iam', role_id='myroleid', profile=my_boto_profile) }}"
# JWT auth
- name: Authenticate with a JWT
ansible.builtin.debug:
msg: "{{ lookup('community.hashi_vault.hashi_vault', 'secret/hola:val', auth_method='jwt', role_id='myroleid', jwt='myjwt', url='https://vault:8200') }}"
#GCP auth
- name: Authenticate with GCP
ansible.builtin.debug:
msg: "{{ lookup('community.hashi_vault.hashi_vault', 'secret/hola:val', auth_method='gcp', role_id='myroleid', jwt='myjwt', url='https://vault:8200') }}"
# Disabling Token Validation
# Use this when your token does not have the lookup-self capability. Usually this is applied to all tokens via the default policy.
# However you can choose to create tokens without applying the default policy, or you can modify your default policy not to include it.
# When disabled, your invalid or expired token will be indistinguishable from insufficent permissions.
- name: authenticate without token validation
ansible.builtin.debug:
msg: "{{ lookup('community.hashi_vault.hashi_vault', 'secret/hello:value', token=my_token, token_validate=False) }}"
# "none" auth method does no authentication and does not send a token to the Vault address.
# One example of where this could be used is with a Vault agent where the agent will handle authentication to Vault.
# https://www.vaultproject.io/docs/agent
- name: authenticate with vault agent
ansible.builtin.debug:
msg: "{{ lookup('community.hashi_vault.hashi_vault', 'secret/hello:value', auth_method='none', url='http://127.0.0.1:8100') }}"
# Use a proxy
- name: use a proxy with login/password
ansible.builtin.debug:
msg: "{{ lookup('community.hashi_vault.hashi_vault', 'secret=... token=... url=https://... proxies=https://user:pass@myproxy:8080') }}"
- name: 'use a socks proxy (need some additional dependencies, see: https://requests.readthedocs.io/en/master/user/advanced/#socks )'
ansible.builtin.debug:
msg: "{{ lookup('community.hashi_vault.hashi_vault', 'secret=... token=... url=https://... proxies=socks5://myproxy:1080') }}"
- name: use proxies with a dict (as param)
ansible.builtin.debug:
msg: "{{ lookup('community.hashi_vault.hashi_vault', '...', proxies={'http': 'http://myproxy1', 'https': 'http://myproxy2'}) }}"
- name: use proxies with a dict (as param, pre-defined var)
vars:
prox:
http: http://myproxy1
https: https://myproxy2
ansible.builtin.debug:
msg: "{{ lookup('community.hashi_vault.hashi_vault', '...', proxies=prox }}"
- name: use proxies with a dict (as direct ansible var)
vars:
ansible_hashi_vault_proxies:
http: http://myproxy1
https: https://myproxy2
ansible.builtin.debug:
msg: "{{ lookup('community.hashi_vault.hashi_vault', '...' }}"
- name: use proxies with a dict (in the term string, JSON syntax)
ansible.builtin.debug:
msg: "{{ lookup('community.hashi_vault.hashi_vault', '... proxies={\"http\":\"http://myproxy1\",\"https\":\"http://myproxy2\"}') }}"
- name: use ansible vars to supply some options
vars:
ansible_hashi_vault_url: 'https://myvault:8282'
ansible_hashi_vault_auth_method: token
set_fact:
secret1: "{{ lookup('community.hashi_vault.hashi_vault', 'secret/data/secret1') }}"
secret2: "{{ lookup('community.hashi_vault.hashi_vault', 'secret/data/secret2') }}"
- name: use a custom timeout
debug:
msg: "{{ lookup('community.hashi_vault.hashi_vault', 'secret/data/secret1', timeout=120) }}"
- name: use a custom timeout and retry on failure 3 times (with collection retry defaults)
vars:
ansible_hashi_vault_timeout: 5
ansible_hashi_vault_retries: 3
debug:
msg: "{{ lookup('community.hashi_vault.hashi_vault', 'secret/data/secret1') }}"
- name: retry on failure (with custom retry settings and no warnings)
vars:
ansible_hashi_vault_retries:
total: 6
backoff_factor: 0.9
status_forcelist: [500, 502]
allowed_methods:
- GET
- PUT
debug:
msg: "{{ lookup('community.hashi_vault.hashi_vault', 'secret/data/secret1', retry_action='warn') }}"
Возвращаемое значение
Ключ | Описание |
|---|---|
Возвращаемое значение список / элементы=словарь | запрошенные секреты Возвращается: при успешном выполнении |
Ссылки коллекции
© 2012–2018 Michael DeHaan
© 2018–2025 Red Hat, Inc.
Licensed under the GNU General Public License version 3.
https://docs.ansible.com/projects/ansible/latest/collections/community/hashi_vault/hashi_vault_lookup.html
