Spec-Zone.ru › Ansible

Модуль community.hashi_vault.vault_database_role_create — создание или обновление определения (динамической) роли

Примечание

Этот модуль входит в коллекцию community.hashi_vault (версия 7.1.0).

Возможно, эта коллекция уже установлена, если вы используете пакет ansible. Она не входит в ansible-core. Чтобы проверить, установлена ли она, выполните ansible-galaxy collection list.

Чтобы установить её, используйте: ansible-galaxy collection install community.hashi_vault. Для использования этого модуля требуются дополнительные компоненты; подробности см. в разделе Требования.

Чтобы использовать его в плейбуке, укажите: community.hashi_vault.vault_database_role_create.

Добавлено в community.hashi_vault 6.2.0

  • Краткое описание
  • Требования
  • Параметры
  • Атрибуты
  • Примечания
  • Примеры

Краткое описание

  • Создаёт или обновляет определение динамической роли.

Требования

Следующие компоненты требуются на узле, выполняющем этот модуль.

  • hvac (библиотека Python)
  • Подробные сведения о требованиях см. на странице требований коллекции.

Параметры

Параметр

Комментарии

auth_method

string

Метод аутентификации.

Метод аутентификации none добавлен в версии коллекции 1.2.0.

Метод аутентификации cert добавлен в версии коллекции 1.4.0.

aws_iam_login переименован в aws_iam в версии коллекции 2.1.0 и удалён в 3.0.0.

Метод аутентификации azure добавлен в версии коллекции 3.2.0.

Метод аутентификации gcp добавлен в версии коллекции 7.1.0.

Варианты:

  • "token" ← (по умолчанию)
  • "userpass"
  • "ldap"
  • "approle"
  • "aws_iam"
  • "azure"
  • "jwt"
  • "cert"
  • "gcp"
  • "none"

aws_access_key

псевдонимы: aws_access_key_id

string

Ключ доступа AWS.

aws_iam_server_id

string

добавлено в community.hashi_vault 0.2.0

Если задано, устанавливает значение для заголовка X-Vault-AWS-IAM-Server-ID в запросе GetCallerIdentity.

aws_profile

псевдонимы: boto_profile

string

Профиль AWS.

aws_secret_key

псевдонимы: aws_secret_access_key

string

Секретный ключ AWS, соответствующий ключу доступа.

aws_security_token

string

Токен безопасности AWS при использовании временных ключей доступа и секретных ключей.

azure_client_id

string

добавлено в community.hashi_vault 3.2.0

Идентификатор клиента (также известный как идентификатор приложения) субъекта-службы Azure AD или управляемого удостоверения. Должен быть UUID.

Если не задано, будет использоваться назначенное системой управляемое удостоверение.

azure_client_secret

string

добавлено в community.hashi_vault 3.2.0

Секрет клиента субъекта-службы Azure AD.

azure_resource

string

добавлено в community.hashi_vault 3.2.0

URL ресурса для приложения, зарегистрированного в Azure Active Directory. Обычно не следует изменять значение по умолчанию.

По умолчанию: "https://management.azure.com/"

azure_tenant_id

string

добавлено в community.hashi_vault 3.2.0

Идентификатор клиента Azure Active Directory (также известный как идентификатор каталога) субъекта-службы. Должен быть UUID.

Обязателен при аутентификации в Vault с помощью субъекта-службы, например, когда заданы azure_client_id и azure_client_secret.

Необязателен при аутентификации в Vault с помощью управляемого удостоверения.

ca_cert

псевдонимы: cacert

string

Путь к сертификату, используемому для аутентификации.

Если значение не задано иным способом, будет использоваться переменная среды VAULT_CACERT.

cert_auth_private_key

path

добавлено в community.hashi_vault 1.4.0

Для аутентификации cert — путь к файлу закрытого ключа в формате PEM.

cert_auth_public_key

path

добавлено в community.hashi_vault 1.4.0

Для аутентификации cert — путь к файлу сертификата в формате PEM.

connection_name

string / обязательно

Имя подключения, под которым следует создать роль.

creation_statements

list / elements=string / обязательно

Задаёт SQL-операторы для создания и настройки пользователя.

default_ttl

integer

TTL роли по умолчанию.

По умолчанию: 3600

engine_mount_point

string

Путь, по которому подключён сервер секретов.

jwt

string

JSON Web Token (JWT) для аутентификации в Vault с помощью JWT.

max_ttl

integer

Максимальный TTL роли.

По умолчанию: 86400

mount_point

string

Точка монтирования Vault.

Если не задано, используется точка монтирования по умолчанию для указанного метода аутентификации.

Не применяется для аутентификации с помощью токена.

namespace

string

Пространство имён Vault, в котором хранятся секреты. Для этого параметра требуются HVAC 0.7.0+ и Vault 0.11+.

При желании этого можно добиться, добавив пространство имён в начало точки монтирования аутентификации и/или пути к секрету (например, mynamespace/secret/mysecret).

Если задана переменная среды VAULT_NAMESPACE, её значение будет иметь наивысший приоритет среди всех способов задания namespace.

password

string

Пароль для аутентификации.

proxies

any

добавлено в community.hashi_vault 1.1.0

URL прокси-серверов, используемых для доступа к службе Vault.

Значением может быть строка или словарь.

Если задан словарь, укажите схему (например, http или https) в качестве ключа, а URL — в качестве значения.

Если задана строка, укажите один URL, который будет использоваться как прокси для схем http и https.

Строка, которую можно интерпретировать как словарь, будет преобразована в словарь (см. примеры).

Для ресурсов HTTP и HTTPS можно указать разные прокси-серверы.

Если значение не задано, используются переменные среды библиотеки Requests.

region

string

Регион AWS, для которого создаётся подключение.

renew_statements

list / elements=string

Задаёт SQL-операторы для продления срока действия пользователя.

retries

any

добавлено в community.hashi_vault 1.3.0

Позволяет повторять попытки при ошибках на основе класса Retry библиотеки urllib3.

В этой коллекции заданы рекомендуемые значения по умолчанию для повторных попыток подключения к Vault.

Этот параметр можно задать положительным числом (целым) или словарём.

Если параметр не задан или число равно 0, повторные попытки отключены.

Числовое значение задаёт общее количество повторных попыток, а для остальных настроек используются значения коллекции по умолчанию.

Значение-словарь напрямую используется для инициализации класса Retry, что позволяет полностью настроить повторные попытки.

Подробные сведения о повторных попытках см. в руководстве пользователя коллекции.

retry_action

string

добавлено в community.hashi_vault 1.3.0

Определяет, следует ли показывать сообщения о повторных попытках и каким образом.

Не влияет на запросы, для которых повторные попытки не выполняются.

Варианты:

  • "ignore"
  • "warn" ← (по умолчанию)

revocation_statements

list / elements=string

Задаёт SQL-операторы для отзыва доступа пользователя.

role_id

string

Идентификатор или имя роли Vault. Используется в методах аутентификации approle, aws_iam, azure и cert.

При аутентификации cert, если role_id не задан, по умолчанию выполняется попытка использовать все роли сертификатов и возвращается любая подходящая.

Для аутентификации azure параметр role_id обязателен.

role_name

string / обязательно

Имя создаваемой роли.

rollback_statements

list / elements=string

Задаёт SQL-операторы для отката операции создания в случае ошибки.

secret_id

string

Идентификатор секрета для аутентификации в Vault с помощью AppRole.

timeout

integer

добавлено в community.hashi_vault 1.3.0

Задаёт тайм-аут подключения в секундах.

Если значение не задано, используется значение по умолчанию библиотеки hvac.

token

string

Токен Vault. Токен можно задать явно, с помощью перечисленных переменных среды [env], а также с помощью переменной среды VAULT_TOKEN.

Если токен не задан явно или через переменные среды, плагин проверит наличие файла токена, определяемого параметрами token_path и token_file.

Порядок загрузки токена (используется первое найденное значение): token param -> ansible var -> ANSIBLE_HASHI_VAULT_TOKEN -> VAULT_TOKEN -> token file.

token_file

string

Если токен не задан, будет выполнена попытка прочитать его из этого файла в каталоге token_path.

По умолчанию: ".vault-token"

token_path

string

Если токен не задан, будет выполнена попытка прочитать файл token_file по этому пути.

token_validate

boolean

добавлено в community.hashi_vault 0.2.0

При аутентификации с помощью токена перед его использованием выполняется операция lookup-self для проверки его действительности.

Отключите эту проверку, если у вашего токена отсутствует возможность lookup-self.

Варианты:

  • false ← (по умолчанию)
  • true

url

string

URL службы Vault.

Если значение не задано иным способом, будет использоваться значение переменной среды VAULT_ADDR.

Если VAULT_ADDR также не задана, будет вызвана ошибка.

username

string

Имя пользователя для аутентификации.

validate_certs

boolean

Управляет проверкой SSL-сертификатов; обычно её отключают только для самоподписанных сертификатов.

Если задана переменная VAULT_SKIP_VERIFY и параметр validate_certs явно не указан, ему будет присвоено значение, обратное значению этой переменной.

Если не заданы ни validate_certs, ни VAULT_SKIP_VERIFY, по умолчанию используется true.

Варианты:

  • false
  • true

Атрибуты

Атрибут

Поддержка

Описание

action_group

Группа действий: community.hashi_vault.vault

Используйте group/community.hashi_vault.vault в module_defaults, чтобы задать значения по умолчанию для этого модуля.

check_mode

Поддержка: частичная

В режиме проверки будет возвращён пример ответа, но создание роли в Hashicorp Vault выполнено не будет.

Может работать в режиме check_mode и возвращать прогноз состояния изменений без изменения целевого объекта.

Примечания

Примечание

  • Этот модуль всегда сообщает о состоянии changed, поскольку не может гарантировать идемпотентность.
  • Используйте changed_when, чтобы управлять этим поведением в случаях, когда известно, что операция не изменит состояние.

Примеры

- name: Generate creation statement
  ansible.builtin.set_fact:
    creation_statements = [
        "CREATE ROLE \"{{name}}\" WITH LOGIN PASSWORD '{{password}}' VALID UNTIL '{{expiration}}';",
        "GRANT SELECT ON ALL TABLES IN SCHEMA public TO \"{{name}}\";"
    ]

- name: Create / update Role with the default mount point
  community.hashi_vault.vault_database_role_create:
    url: https://vault:8201
    auth_method: userpass
    username: '{{ user }}'
    password: '{{ passwd }}'
    connection_name: SomeConnection
    role_name: SomeRole
    db_username: '{{ db_username}}'
    creation_statements: '{{ creation_statements }}'
  register: result

- name: Display the result of the operation
  ansible.builtin.debug:
    msg: "{{ result }}"

- name: Create / update Role with a custom mount point
  community.hashi_vault.vault_database_role_create:
    url: https://vault:8201
    auth_method: userpass
    username: '{{ user }}'
    password: '{{ passwd }}'
    engine_mount_point: db1
    connection_name: SomeConnection
    role_name: SomeRole
    db_username: '{{ db_username}}'
    creation_statements: '{{ creation_statements }}'
  register: result

- name: Display the result of the operation
  ansible.builtin.debug:
    msg: "{{ result }}"

Авторы

  • Martin Chmielewski (@M4rt1nCh)

Ссылки на коллекцию

  • Отслеживание проблем
  • Репозиторий (исходный код)
  • Обсуждения, вопросы и ответы, устранение неполадок
  • Связь

© 2012–2018 Michael DeHaan
© 2018–2025 Red Hat, Inc.
Licensed under the GNU General Public License version 3.
https://docs.ansible.com/projects/ansible/latest/collections/community/hashi_vault/vault_database_role_create_module.html

Spec-Zone.ru

Настройки Оффлайн Что нового Помощь О нас
Spec-Zone .ru
спецификации, руководства, описания, API