community.hashi_vault.vault_kv1_get поиск – Получение секрета из хранилища секретов HashiCorp Vault версии KV 1

Примечание

Этот плагин поиска входит в коллекцию community.hashi_vault (версия 6.2.0).

Вы, возможно, уже установили эту коллекцию, если используете пакет ansible. Она не включена в ansible-core. Чтобы проверить установку, выполните ansible-galaxy collection list.

Чтобы установить её, используйте: ansible-galaxy collection install community.hashi_vault. Для использования этого плагина поиска требуются дополнительные требования. Подробности см. в разделе Требования.

Чтобы использовать его в книге задач, укажите: community.hashi_vault.vault_kv1_get.

Добавлена в community.hashi_vault 2.5.0

Описание
Требования
Термины
Параметры ключевых слов
Примечания
См. также
Примеры
Возвращаемое значение

Описание

Получает секрет из хранилища секретов HashiCorp Vault версии KV 1.

Требования

Ниже перечислены требования, необходимые на локальном узле контроллера, выполняющем этот поиск.

hvac (Библиотека Python)
Подробные требования см. на странице требований к коллекции странице требований коллекции.

Термины

Параметр	Комментарии
Термины строка / обязательно	Путь(и) к данным Vault KV для чтения. Они относительны к engine_mount_point, поэтому путь к монтированию включать не нужно.

Параметры ключевых слов

Это описывает параметры ключевых слов поиска. Это значения key1=value1, key2=value2 и так далее в следующих примерах: lookup('community.hashi_vault.vault_kv1_get', key1=value1, key2=value2, ...) и query('community.hashi_vault.vault_kv1_get', key1=value1, key2=value2, ...)

Параметр	Комментарии
auth_method строка	Метод аутентификации, который необходимо использовать. `none` метод аутентификации был добавлен в версии коллекции `1.2.0`. `cert` метод аутентификации был добавлен в версии коллекции `1.4.0`. `aws_iam_login` был переименован в `aws_iam` в версии коллекции `2.1.0` и был удален в `3.0.0`. `azure` метод аутентификации был добавлен в версии коллекции `3.2.0`. Выбор: `"token"` ← (по умолчанию) `"userpass"` `"ldap"` `"approle"` `"aws_iam"` `"azure"` `"jwt"` `"cert"` `"none"` Конфигурация: Запись INI: [hashi_vault_collection] auth_method = token добавлено в community.hashi_vault 1.4.0 Переменная среды: `ANSIBLE_HASHI_VAULT_AUTH_METHOD` добавлено в community.hashi_vault 0.2.0 Переменная: ansible_hashi_vault_auth_method добавлено в community.hashi_vault 1.2.0
aws_access_key псевдонимы: aws_access_key_id строка	Используемый ключ доступа AWS. Конфигурация: Переменная среды: `EC2_ACCESS_KEY` Переменная среды: `AWS_ACCESS_KEY` Переменная среды: `AWS_ACCESS_KEY_ID`
aws_iam_server_id строка добавлено в community.hashi_vault 0.2.0	Если указано, устанавливает значение для использования в заголовке `X-Vault-AWS-IAM-Server-ID` в рамках запроса `GetCallerIdentity`. Конфигурация: Запись INI: [hashi_vault_collection] aws_iam_server_id = VALUE добавлено в community.hashi_vault 1.4.0 Переменная среды: `ANSIBLE_HASHI_VAULT_AWS_IAM_SERVER_ID`
aws_profile псевдонимы: boto_profile строка	Профиль AWS Конфигурация: Переменная среды: `AWS_DEFAULT_PROFILE` Переменная среды: `AWS_PROFILE`
aws_secret_key псевдонимы: aws_secret_access_key строка	Секретный ключ AWS, соответствующий ключу доступа. Конфигурация: Переменная среды: `EC2_SECRET_KEY` Переменная среды: `AWS_SECRET_KEY` Переменная среды: `AWS_SECRET_ACCESS_KEY`
aws_security_token строка	Токен безопасности AWS, если используются временные ключи доступа и секретные ключи. Конфигурация: Переменная среды: `EC2_SECURITY_TOKEN` Переменная среды: `AWS_SESSION_TOKEN` Переменная среды: `AWS_SECURITY_TOKEN`
azure_client_id строка добавлено в community.hashi_vault 3.2.0	Идентификатор клиента (также известный как идентификатор приложения) принципала Azure AD или управляемой учетной записи. Должен быть UUID. Если не указано, будет использоваться системно назначенная управляемая учетная запись. Конфигурация: Запись INI: [hashi_vault_collection] azure_client_id = VALUE Переменная среды: `ANSIBLE_HASHI_VAULT_AZURE_CLIENT_ID` Переменная: ansible_hashi_vault_azure_client_id
azure_client_secret строка добавлено в community.hashi_vault 3.2.0	Секретный ключ клиента принципала Azure AD. Конфигурация: Переменная среды: `ANSIBLE_HASHI_VAULT_AZURE_CLIENT_SECRET` Переменная: ansible_hashi_vault_azure_client_secret
azure_resource строка добавлено в community.hashi_vault 3.2.0	URL ресурса для приложения, зарегистрированного в Azure Active Directory. Обычно не следует изменять от значения по умолчанию. Значение по умолчанию: `"https://management.azure.com/"` Конфигурация: Запись INI: [hashi_vault_collection] azure_resource = https://management.azure.com/ Переменная среды: `ANSIBLE_HASHI_VAULT_AZURE_RESOURCE` Переменная: ansible_hashi_vault_azure_resource

azure_tenant_id string added in community.hashi_vault 3.2.0	Идентификатор аренды Azure Active Directory (также известный как идентификатор каталога) службы-принципала. Должен быть UUID. Требуется при использовании службы-принципала для аутентификации в Vault, например, когда указаны и azure_client_id, и azure_client_secret. Необязательно при использовании управляемой идентичности для аутентификации в Vault. Настройка: Запись INI: [hashi_vault_collection] azure_tenant_id = VALUE Переменная окружения: `ANSIBLE_HASHI_VAULT_AZURE_TENANT_ID` Переменная: ansible_hashi_vault_azure_tenant_id
ca_cert aliases: cacert string	Путь к сертификату для аутентификации. Если не указан другими средствами, будет использована переменная окружения `VAULT_CACERT`. Настройка: Запись INI: [hashi_vault_collection] ca_cert = VALUE added in community.hashi_vault 1.4.0 Переменная окружения: `ANSIBLE_HASHI_VAULT_CA_CERT` added in community.hashi_vault 1.2.0 Переменная: ansible_hashi_vault_ca_cert added in community.hashi_vault 1.2.0
cert_auth_private_key path added in community.hashi_vault 1.4.0	Для аутентификации `cert`, путь к файлу закрытого ключа в формате PEM. Настройка: Запись INI: [hashi_vault_collection] cert_auth_private_key = VALUE Переменная окружения: `ANSIBLE_HASHI_VAULT_CERT_AUTH_PRIVATE_KEY` Переменная: ansible_hashi_vault_cert_auth_private_key added in community.hashi_vault 6.2.0
cert_auth_public_key path added in community.hashi_vault 1.4.0	Для аутентификации `cert`, путь к файлу сертификата в формате PEM. Настройка: Запись INI: [hashi_vault_collection] cert_auth_public_key = VALUE Переменная окружения: `ANSIBLE_HASHI_VAULT_CERT_AUTH_PUBLIC_KEY` Переменная: ansible_hashi_vault_cert_auth_public_key added in community.hashi_vault 6.2.0
engine_mount_point string	Путь, где смонтирован бэкэнд секретов. По умолчанию: `"kv"` Настройка: Переменная: ansible_hashi_vault_engine_mount_point
jwt string	JSON Web Token (JWT) для аутентификации через JWT в Vault. Настройка: Переменная окружения: `ANSIBLE_HASHI_VAULT_JWT`
mount_point string	Точка монтирования Vault. Если не указано, используется точка монтирования по умолчанию для данного метода аутентификации. Не применимо к аутентификации по токену. Настройка: Запись INI: [hashi_vault_collection] mount_point = VALUE added in community.hashi_vault 1.5.0 Переменная окружения: `ANSIBLE_HASHI_VAULT_MOUNT_POINT` added in community.hashi_vault 1.5.0 Переменная: ansible_hashi_vault_mount_point added in community.hashi_vault 1.5.0
namespace string	Пространство имён Vault, где находятся секреты. Для этой опции требуется HVAC 0.7.0+ и Vault 0.11+. Эту опцию можно (необязательно) реализовать, добавив префикс к точке монтирования аутентификации и/или пути к секрету (например `mynamespace/secret/mysecret`). Если переменная окружения `VAULT_NAMESPACE` установлена, её значение будет использовано в последнюю очередь среди всех способов задания namespace. Настройка: Запись INI: [hashi_vault_collection] namespace = VALUE added in community.hashi_vault 1.4.0 Переменная окружения: `ANSIBLE_HASHI_VAULT_NAMESPACE` added in community.hashi_vault 0.2.0 Переменная: ansible_hashi_vault_namespace added in community.hashi_vault 1.2.0
password string	Пароль аутентификации. Настройка: Переменная окружения: `ANSIBLE_HASHI_VAULT_PASSWORD` added in community.hashi_vault 1.2.0 Переменная: ansible_hashi_vault_password added in community.hashi_vault 1.2.0
proxies any added in community.hashi_vault 1.1.0	URL(ы) прокси-серверов для доступа к Vault. Может быть строкой или словарем. Если словарь, укажите схему (например, `http` или `https`) в качестве ключа, а URL — в качестве значения. Если строка, укажите единственный URL, который будет использоваться как прокси для схем `http` и `https`. Строка, которая может быть интерпретирована как словарь, будет преобразована в словарь (см. примеры). Можно указать разные прокси для HTTP и HTTPS ресурсов. Если не указано, используются переменные окружения из библиотеки Requests. Настройка: Запись INI: [hashi_vault_collection] proxies = VALUE added in community.hashi_vault 1.4.0 Переменная окружения: `ANSIBLE_HASHI_VAULT_PROXIES` Переменная: ansible_hashi_vault_proxies added in community.hashi_vault 1.2.0

region строка	AWS регион для создания подключения. Настройка: Переменная среды: `EC2_REGION` Переменная среды: `AWS_REGION`
retries любой добавлен в community.hashi_vault 1.3.0	Позволяет повторно выполнять операции при ошибках, на основе класса Retry в библиотеке urllib3. Этот сборник определяет рекомендуемые значения по умолчанию для повторных подключений к Vault. Этот параметр может быть указан как положительное число (целое число) или словарь. Если этот параметр не указан или число равно `0`, повторные попытки отключены. Число задаёт общее количество попыток и использует значения по умолчанию из сборника для других параметров. Значение словаря используется напрямую для инициализации класса `Retry`, что позволяет полностью настроить повторные попытки. Подробную информацию о повторных попытках см. в руководстве пользователя сборника. Настройка: Запись в INI: [hashi_vault_collection] retries = VALUE добавлен в community.hashi_vault 1.4.0 Переменная среды: `ANSIBLE_HASHI_VAULT_RETRIES` Переменная: ansible_hashi_vault_retries
retry_action строка добавлен в community.hashi_vault 1.3.0	Управляет отображением сообщений при повторных попытках. Это не оказывает влияния, если запрос не повторяется. Варианты: `"ignore"` `"warn"` ← (по умолчанию) Настройка: Запись в INI: [hashi_vault_collection] retry_action = warn добавлен в community.hashi_vault 1.4.0 Переменная среды: `ANSIBLE_HASHI_VAULT_RETRY_ACTION` Переменная: ansible_hashi_vault_retry_action
role_id строка	Идентификатор или имя роли Vault. Используется в `approle`, `aws_iam`, `azure` и `cert` методах авторизации. Для авторизации `cert`, если role_id не указан, по умолчанию происходит попытка использования всех ролей с сертификатами и возвращается любая соответствующая роль. Для авторизации `azure` role_id обязателен. Настройка: Запись в INI: [hashi_vault_collection] role_id = VALUE добавлен в community.hashi_vault 1.4.0 Переменная среды: `ANSIBLE_HASHI_VAULT_ROLE_ID` добавлен в community.hashi_vault 0.2.0 Переменная: ansible_hashi_vault_role_id добавлен в community.hashi_vault 1.2.0
secret_id строка	Идентификатор секрета для аутентификации Vault с помощью AppRole. Настройка: Переменная среды: `ANSIBLE_HASHI_VAULT_SECRET_ID` добавлен в community.hashi_vault 0.2.0 Переменная: ansible_hashi_vault_secret_id добавлен в community.hashi_vault 1.2.0
timeout целое число добавлен в community.hashi_vault 1.3.0	Устанавливает таймаут соединения в секундах. Если не задано, используется значение по умолчанию из библиотеки `hvac`. Настройка: Запись в INI: [hashi_vault_collection] timeout = VALUE добавлен в community.hashi_vault 1.4.0 Переменная среды: `ANSIBLE_HASHI_VAULT_TIMEOUT` Переменная: ansible_hashi_vault_timeout
token строка	Токен Vault. Токен может быть указан явно, через перечисленные переменные среды, а также через переменную среды `VAULT_TOKEN`. Если токен не указан явно или через среду, плагин проверит наличие файла токена по пути, определённому параметрами token_path и token_file. Порядок загрузки токенов (первый найденный используется) `token param -> ansible var -> ANSIBLE_HASHI_VAULT_TOKEN -> VAULT_TOKEN -> token file`. Настройка: Переменная среды: `ANSIBLE_HASHI_VAULT_TOKEN` добавлен в community.hashi_vault 0.2.0 Переменная: ansible_hashi_vault_token добавлен в community.hashi_vault 1.2.0
token_file строка	Если токен не указан, будет попытка чтения токена из файла в token_path. По умолчанию: `".vault-token"` Настройка: Запись в INI: [hashi_vault_collection] token_file = .vault-token добавлен в community.hashi_vault 1.4.0 Переменная среды: `ANSIBLE_HASHI_VAULT_TOKEN_FILE` добавлен в community.hashi_vault 0.2.0 Переменная: ansible_hashi_vault_token_file добавлен в community.hashi_vault 1.2.0
token_path строка	Если токен не указан, будет попытка чтения файла token_file из этого пути. Настройка: Запись в INI: [hashi_vault_collection] token_path = VALUE добавлен в community.hashi_vault 1.4.0 Переменная среды: `ANSIBLE_HASHI_VAULT_TOKEN_PATH` добавлен в community.hashi_vault 0.2.0 Переменная: ansible_hashi_vault_token_path добавлен в community.hashi_vault 1.2.0

token_validate boolean added in community.hashi_vault 0.2.0	Для аутентификации по токену, выполнит операцию `lookup-self` для определения валидности токена перед его использованием. Отключите, если ваш токен не имеет возможности `lookup-self`. Варианты: `false` ← (по умолчанию) `true` Настройка: Запись в INI: [hashi_vault_collection] token_validate = false added in community.hashi_vault 1.4.0 Переменная среды: `ANSIBLE_HASHI_VAULT_TOKEN_VALIDATE` Переменная: ansible_hashi_vault_token_validate added in community.hashi_vault 1.2.0
url string	URL-адрес сервиса Vault. Если не указано другим способом, будет использовано значение переменной среды `VAULT_ADDR`. Если `VAULT_ADDR` также не определено, будет выведено сообщение об ошибке. Настройка: Запись в INI: [hashi_vault_collection] url = VALUE added in community.hashi_vault 1.4.0 Переменная среды: `ANSIBLE_HASHI_VAULT_ADDR` added in community.hashi_vault 0.2.0 Переменная: ansible_hashi_vault_url added in community.hashi_vault 1.2.0 Переменная: ansible_hashi_vault_addr added in community.hashi_vault 1.2.0
username string	Имя пользователя для аутентификации. Настройка: Переменная среды: `ANSIBLE_HASHI_VAULT_USERNAME` added in community.hashi_vault 1.2.0 Переменная: ansible_hashi_vault_username added in community.hashi_vault 1.2.0
validate_certs boolean	Управляет проверкой и валидацией сертификатов SSL, в основном отключается только для самозаверенных сертификатов. Будет заполнен противоположным значением `VAULT_SKIP_VERIFY`, если это установлено и validate_certs явно не указано. По умолчанию `true`, если ни validate_certs, ни `VAULT_SKIP_VERIFY` не установлены. Варианты: `false` `true` Настройка: Переменная: ansible_hashi_vault_validate_certs added in community.hashi_vault 1.2.0

Примечания

Примечание

При совместном использовании ключевых и позиционных параметров, позиционные параметры должны быть перечислены до ключевых параметров: lookup('community.hashi_vault.vault_kv1_get', term1, term2, key1=value1, key2=value2) и query('community.hashi_vault.vault_kv1_get', term1, term2, key1=value1, key2=value2)

См. также

community.hashi_vault.vault_kv1_get: Получение секрета из хранилища секретов HashiCorp Vault версии KV 1.
community.hashi_vault.vault_kv2_get lookup: Официальная документация плагина поиска community.hashi_vault.vault_kv2_get.
community.hashi_vault.vault_kv2_get: Получение секрета из хранилища секретов HashiCorp Vault версии KV 2.
community.hashi_vault Руководство по поиску: Руководство по использованию поисков в community.hashi_vault.
KV1 Secrets Engine: Документация для движка секретов Vault KV, версия 1.

Примеры

- name: Read a kv1 secret with the default mount point
  ansible.builtin.set_fact:
    response: "{{ lookup('community.hashi_vault.vault_kv1_get', 'hello', url='https://vault:8201') }}"
  # equivalent API path is kv/hello

- name: Display the results
  ansible.builtin.debug:
    msg:
      - "Secret: {{ response.secret }}"
      - "Data: {{ response.data }} (same as secret in kv1)"
      - "Metadata: {{ response.metadata }} (response info in kv1)"
      - "Full response: {{ response.raw }}"
      - "Value of key 'password' in the secret: {{ response.secret.password }}"

- name: Read a kv1 secret with a different mount point
  ansible.builtin.set_fact:
    response: "{{ lookup('community.hashi_vault.vault_kv1_get', 'hello', engine_mount_point='custom/kv1/mount', url='https://vault:8201') }}"
  # equivalent API path is custom/kv1/mount/hello

- name: Display the results
  ansible.builtin.debug:
    msg:
      - "Secret: {{ response.secret }}"
      - "Data: {{ response.data }} (same as secret in kv1)"
      - "Metadata: {{ response.metadata }} (response info in kv1)"
      - "Full response: {{ response.raw }}"
      - "Value of key 'password' in the secret: {{ response.secret.password }}"

- name: Perform multiple kv1 reads with a single Vault login, showing the secrets
  vars:
    paths:
      - hello
      - my-secret/one
      - my-secret/two
  ansible.builtin.debug:
    msg: "{{ lookup('community.hashi_vault.vault_kv1_get', *paths, auth_method='userpass', username=user, password=pwd)['secret'] }}"

- name: Perform multiple kv1 reads with a single Vault login in a loop
  vars:
    paths:
      - hello
      - my-secret/one
      - my-secret/two
  ansible.builtin.debug:
    msg: '{{ item }}'
  loop: "{{ query('community.hashi_vault.vault_kv1_get', *paths, auth_method='userpass', username=user, password=pwd) }}"

- name: Perform multiple kv1 reads with a single Vault login in a loop (via with_), display values only
  vars:
    ansible_hashi_vault_auth_method: userpass
    ansible_hashi_vault_username: '{{ user }}'
    ansible_hashi_vault_password: '{{ pwd }}'
  ansible.builtin.debug:
    msg: '{{ item.values() | list }}'
  with_community.hashi_vault.vault_kv1_get:
    - hello
    - my-secret/one
    - my-secret/two

Значение возврата

Ключ	Описание
Значение возврата список / элементы=словарь	Результат чтения по заданному пути(ям). Возвращено: успех
данные словарь	Поле `data` результата в сыром виде. К нему также можно получить доступ через `raw.data`. Возвращено: успех Пример: `{"Key1": "value1", "Key2": "value2"}`
метаданные словарь	Это синтетический результат. Он такой же, как `raw` с удалённым `data`. Возвращено: успех Пример: `{"auth": null, "lease_duration": 2764800, "lease_id": "", "renewable": false, "request_id": "e99f145f-f02a-7073-1229-e3f191057a70", "warnings": null, "wrap_info": null}`
сырые данные словарь	Результат чтения в сыром виде по заданному пути. Возвращено: успех Пример: `{"auth": null, "data": {"Key1": "value1", "Key2": "value2"}, "lease_duration": 2764800, "lease_id": "", "renewable": false, "request_id": "e99f145f-f02a-7073-1229-e3f191057a70", "warnings": null, "wrap_info": null}`
секрет словарь	Поле `data` результата в сыром виде. Это идентично `data` в значениях возврата. Возвращено: успех Пример: `{"Key1": "value1", "Key2": "value2"}`

Авторы

Brian Scholer (@briantist)

Подсказка

Параметры конфигурации для каждого типа имеют порядок приоритета от низкого к высокому. Например, переменная, расположенная ниже в списке, переопределит переменную, расположенную выше.

Ссылки на коллекцию

© 2012–2018 Michael DeHaan
© 2018–2024 Red Hat, Inc.
Licensed under the GNU General Public License version 3.
https://docs.ansible.com/ansible/latest/collections/community/hashi_vault/vault_kv1_get_lookup.html