модуль community.hashi_vault.vault_database_static_role_create — создание или обновление статической роли

Примечание

Этот модуль входит в коллекцию community.hashi_vault (версия 7.1.0).

Возможно, эта коллекция уже установлена, если вы используете пакет ansible. Она не входит в ansible-core. Чтобы проверить, установлена ли она, выполните ansible-galaxy collection list.

Для установки используйте: ansible-galaxy collection install community.hashi_vault. Для работы с этим модулем могут потребоваться дополнительные компоненты; подробности см. в разделе Требования.

Чтобы использовать модуль в сценарии, укажите: community.hashi_vault.vault_database_static_role_create.

Добавлен в community.hashi_vault 6.2.0

Краткое описание
Требования
Параметры
Атрибуты
Примечания
Примеры

Краткое описание

Создает новую статическую роль или обновляет существующую.

Требования

Следующие компоненты должны быть установлены на узле, выполняющем этот модуль.

hvac (библиотека Python)
Подробные сведения о требованиях см. на странице требований коллекции.

Параметры

Параметр	Комментарии
auth_method строка	Используемый метод аутентификации. Метод аутентификации `none` добавлен в версию коллекции `1.2.0`. Метод аутентификации `cert` добавлен в версию коллекции `1.4.0`. `aws_iam_login` переименован в `aws_iam` в версии коллекции `2.1.0` и удален в `3.0.0`. Метод аутентификации `azure` добавлен в версию коллекции `3.2.0`. Метод аутентификации `gcp` добавлен в версию коллекции `7.1.0`. Варианты: `"token"` ← (по умолчанию) `"userpass"` `"ldap"` `"approle"` `"aws_iam"` `"azure"` `"jwt"` `"cert"` `"gcp"` `"none"`
aws_access_key псевдонимы: aws_access_key_id строка	Ключ доступа AWS.
aws_iam_server_id строка добавлен в community.hashi_vault 0.2.0	Если задано, устанавливает значение для заголовка `X-Vault-AWS-IAM-Server-ID` в запросе `GetCallerIdentity`.
aws_profile псевдонимы: boto_profile строка	Профиль AWS
aws_secret_key псевдонимы: aws_secret_access_key строка	Секретный ключ AWS, соответствующий ключу доступа.
aws_security_token строка	Токен безопасности AWS при использовании временных ключей доступа и секретных ключей.
azure_client_id строка добавлен в community.hashi_vault 3.2.0	Идентификатор клиента (также известный как идентификатор приложения) субъекта-службы Azure AD или управляемого удостоверения. Должен быть UUID. Если параметр не задан, будет использоваться назначенное системой управляемое удостоверение.
azure_client_secret строка добавлен в community.hashi_vault 3.2.0	Секрет клиента субъекта-службы Azure AD.
azure_resource строка добавлен в community.hashi_vault 3.2.0	URL ресурса для приложения, зарегистрированного в Azure Active Directory. Обычно не следует менять значение по умолчанию. По умолчанию: `"https://management.azure.com/"`
azure_tenant_id строка добавлен в community.hashi_vault 3.2.0	Идентификатор арендатора Azure Active Directory (также известный как идентификатор каталога) субъекта-службы. Должен быть UUID. Обязателен при аутентификации в Vault с помощью субъекта-службы, например, когда заданы оба параметра azure_client_id и azure_client_secret. Необязателен при аутентификации в Vault с помощью управляемого удостоверения.
ca_cert псевдонимы: cacert строка	Путь к сертификату, используемому для аутентификации. Если значение не задано иным способом, будет использоваться переменная окружения `VAULT_CACERT`.
cert_auth_private_key путь добавлен в community.hashi_vault 1.4.0	Для аутентификации `cert` — путь к файлу закрытого ключа в формате PEM, используемого для аутентификации.
cert_auth_public_key путь добавлен в community.hashi_vault 1.4.0	Для аутентификации `cert` — путь к файлу сертификата в формате PEM, используемого для аутентификации.
connection_name строка / обязательный	Имя подключения, для которого следует создать роль.
db_username строка / обязательный	Имя пользователя базы данных. Обратите внимание: пользователь должен существовать в целевой базе данных!
engine_mount_point строка	Путь, по которому подключен сервер секретов.
jwt строка	JSON Web Token (JWT), используемый для аутентификации в Vault с помощью JWT.
mount_point строка	Точка монтирования Vault. Если параметр не задан, используется точка монтирования по умолчанию для выбранного метода аутентификации. Не применяется для аутентификации с помощью токена.
namespace строка	Пространство имен Vault, в котором хранятся секреты. Для этого параметра требуются HVAC 0.7.0+ и Vault 0.11+. Этого также можно добиться, добавив пространство имен в начало точки монтирования аутентификации и/или пути к секрету (например, `mynamespace/secret/mysecret`). Если задана переменная окружения `VAULT_NAMESPACE`, ее значение будет иметь наименьший приоритет среди всех способов задания namespace.
password строка	Пароль для аутентификации.
proxies любой добавлен в community.hashi_vault 1.1.0	URL прокси-серверов, используемых для доступа к службе Vault. Значением может быть строка или словарь. Если указано значение-словарь, укажите схему (например, `http` или `https`) в качестве ключа, а URL — в качестве значения. Если указана строка, задайте один URL, который будет использоваться как прокси для схем `http` и `https`. Строка, которую можно интерпретировать как словарь, будет преобразована в словарь (см. примеры). Можно задать разные прокси для ресурсов HTTP и HTTPS. Если параметр не задан, используются переменные окружения библиотеки Requests.
region строка	Регион AWS, для которого создается подключение.
retries любой добавлен в community.hashi_vault 1.3.0	Позволяет повторять попытки при ошибках на основе класса Retry библиотеки urllib3. В этой коллекции заданы рекомендуемые значения по умолчанию для повторных подключений к Vault. Значением параметра может быть положительное число (целое) или словарь. Если параметр не задан или число равно `0`, повторные попытки отключены. Число задает общее количество повторных попыток; для остальных параметров используются значения коллекции по умолчанию. Значение-словарь напрямую используется для инициализации класса `Retry` и позволяет полностью настроить повторные попытки. Подробные сведения о повторных попытках см. в руководстве пользователя коллекции.
retry_action строка добавлен в community.hashi_vault 1.3.0	Определяет, нужно ли выводить сообщения о повторных попытках и каким образом. Не влияет на запросы, для которых повторные попытки не выполняются. Варианты: `"ignore"` `"warn"` ← (по умолчанию)
role_id строка	Идентификатор или имя роли Vault. Используется в методах аутентификации `approle`, `aws_iam`, `azure` и `cert`. Для аутентификации `cert`, если role_id не задан, по умолчанию выполняется попытка использовать все роли сертификатов; возвращается любая из подходящих. Для аутентификации `azure` параметр role_id обязателен.
role_name строка / обязательный	Имя создаваемой роли.
rotation_period целое число	Период смены пароля в секундах (по умолчанию — 24 часа) По умолчанию: `86400`
rotation_statements список / элементы=строка / обязательный	Операторы SQL для смены пароля указанного `db_username`
secret_id строка	Идентификатор секрета для аутентификации в Vault с помощью AppRole.
timeout целое число добавлен в community.hashi_vault 1.3.0	Задает время ожидания подключения в секундах. Если параметр не задан, используется значение по умолчанию библиотеки `hvac`.
token строка	Токен Vault. Токен можно указать явно, с помощью перечисленных переменных окружения [env], а также с помощью переменной окружения `VAULT_TOKEN`. Если токен не указан явно или через переменные окружения, плагин проверит наличие файла токена, определяемого параметрами token_path и token_file. Порядок загрузки токена (используется первый найденный): `token param -> ansible var -> ANSIBLE_HASHI_VAULT_TOKEN -> VAULT_TOKEN -> token file`.
token_file строка	Если токен не задан, будет выполнена попытка прочитать его из этого файла в token_path. По умолчанию: `".vault-token"`
token_path строка	Если токен не задан, будет выполнена попытка прочитать файл token_file по этому пути.
token_validate логический добавлен в community.hashi_vault 0.2.0	При аутентификации с помощью токена выполняет операцию `lookup-self`, чтобы определить действительность токена перед его использованием. Отключите проверку, если у вашего токена нет возможности `lookup-self`. Варианты: `false` ← (по умолчанию) `true`
url строка	URL службы Vault. Если значение не задано иным способом, будет использоваться значение переменной окружения `VAULT_ADDR`. Если переменная `VAULT_ADDR` также не задана, возникнет ошибка.
username строка	Имя пользователя для аутентификации.
validate_certs логический	Управляет проверкой и подтверждением SSL-сертификатов. Обычно отключать ее следует только для самоподписанных сертификатов. Если задана переменная `VAULT_SKIP_VERIFY` и параметр validate_certs не указан явно, значением будет противоположное ей. Если не заданы ни validate_certs, ни `VAULT_SKIP_VERIFY`, по умолчанию используется `true`. Варианты: `false` `true`

Атрибуты

Атрибут	Поддержка	Описание
action_group	Группа действий: community.hashi_vault.vault	Используйте `group/community.hashi_vault.vault` в `module_defaults`, чтобы задать значения по умолчанию для этого модуля.
check_mode	Поддержка: частичная В режиме проверки будет возвращен пример ответа, но создание роли в Hashicorp Vault выполнено не будет.	Модуль можно запускать в режиме `check_mode`; он вернет прогноз изменения состояния, не изменяя целевой объект.

Примечания

Примечание

Этот модуль всегда сообщает статус changed, поскольку не может гарантировать идемпотентность.
Используйте changed_when, чтобы управлять этим поведением в случаях, когда известно, что операция не изменяет состояние.

Примеры

- name: Generate rotation statement
  ansible.builtin.set_fact:
    rotation_statements = ["ALTER USER \"{{name}}\" WITH PASSWORD '{{password}}';"]

- name: Create / update Static Role with the default mount point
  community.hashi_vault.vault_database_static_role_create:
    url: https://vault:8201
    auth_method: userpass
    username: '{{ user }}'
    password: '{{ passwd }}'
    connection_name: SomeConnection
    role_name: SomeRole
    db_username: '{{ db_username}}'
    rotation_statements: '{{ rotation_statements }}'
  register: response

- name: Display the result of the operation
  ansible.builtin.debug:
    msg: "{{ result }}"

- name: Create / update Static Role with a custom mount point
  community.hashi_vault.vault_database_static_role_create:
    url: https://vault:8201
    auth_method: userpass
    username: '{{ user }}'
    password: '{{ passwd }}'
    engine_mount_point: db1
    connection_name: SomeConnection
    role_name: SomeRole
    db_username: '{{ db_username}}'
    rotation_statements: '{{ rotation_statements }}'
  register: response

- name: Display the result of the operation
  ansible.builtin.debug:
    msg: "{{ result }}"

Авторы

Martin Chmielewski (@M4rt1nCh)

Ссылки на коллекцию

© 2012–2018 Michael DeHaan
© 2018–2025 Red Hat, Inc.
Licensed under the GNU General Public License version 3.
https://docs.ansible.com/projects/ansible/latest/collections/community/hashi_vault/vault_database_static_role_create_module.html