Модуль community.hashi_vault.vault_kv1_get — Получение секрета из хранилища секретов HashiCorp Vault версии KV 1

Примечание

Этот модуль входит в коллекцию community.hashi_vault (версия 6.2.0).

Возможно, эта коллекция уже установлена, если вы используете пакет ansible. Она не включена в ansible-core. Чтобы проверить установку, выполните ansible-galaxy collection list.

Для установки используйте: ansible-galaxy collection install community.hashi_vault. Для использования этого модуля необходимы дополнительные требования. Подробности см. в разделе Требования.

Для использования в книге задач укажите: community.hashi_vault.vault_kv1_get.

Добавлена в community.hashi_vault 2.5.0

Обзор
Требования
Параметры
Атрибуты
См. также
Примеры
Возвращаемые значения

Обзор

Получает секрет из хранилища секретов HashiCorp Vault версии KV 1.

Требования

Ниже перечислены требования, необходимые на хосте, на котором выполняется этот модуль.

hvac (Библиотека Python)
Подробные требования см. на странице требований к коллекции страница требований к коллекции.

Параметры

Параметр	Комментарии
auth_method string	Метод аутентификации, который будет использоваться. `none` auth method was added in collection version `1.2.0`. `cert` auth method was added in collection version `1.4.0`. `aws_iam_login` was renamed `aws_iam` in collection version `2.1.0` and was removed in `3.0.0`. `azure` auth method was added in collection version `3.2.0`. Варианты: `"token"` ← (default) `"userpass"` `"ldap"` `"approle"` `"aws_iam"` `"azure"` `"jwt"` `"cert"` `"none"`
aws_access_key aliases: aws_access_key_id string	Ключ доступа AWS для использования.
aws_iam_server_id string добавлено в community.hashi_vault 0.2.0	Если указано, устанавливает значение для использования в заголовке `X-Vault-AWS-IAM-Server-ID` как часть запроса `GetCallerIdentity`.
aws_profile aliases: boto_profile string	Профиль AWS
aws_secret_key aliases: aws_secret_access_key string	Секретный ключ AWS, соответствующий ключу доступа.
aws_security_token string	Маркер безопасности AWS, если используются временные ключи доступа и секретные ключи.
azure_client_id string добавлено в community.hashi_vault 3.2.0	Идентификатор клиента (также известный как идентификатор приложения) субъекта безопасности Azure AD или управляемой идентичности. Должен быть UUID. Если не указано, будет использоваться назначенная системой управляемая идентичность.
azure_client_secret string добавлено в community.hashi_vault 3.2.0	Секретный ключ клиента субъекта безопасности Azure AD.
azure_resource string добавлено в community.hashi_vault 3.2.0	URL ресурса для приложения, зарегистрированного в Azure Active Directory. Обычно не следует изменять значение по умолчанию. Значение по умолчанию: `"https://management.azure.com/"`
azure_tenant_id string добавлено в community.hashi_vault 3.2.0	Идентификатор клиента Azure Active Directory (также известный как идентификатор каталога) субъекта безопасности. Должен быть UUID. Требуется при использовании субъекта безопасности для аутентификации в Vault, например, требуется, когда указаны как azure_client_id, так и azure_client_secret. Необязательно при использовании управляемой идентичности для аутентификации в Vault.
ca_cert aliases: cacert string	Путь к сертификату, который будет использоваться для аутентификации. Если не указано иными способами, будет использоваться переменная среды `VAULT_CACERT`.
cert_auth_private_key path добавлено в community.hashi_vault 1.4.0	Для аутентификации `cert`, путь к файлу с закрытым ключом для аутентификации в формате PEM.
cert_auth_public_key path добавлено в community.hashi_vault 1.4.0	Для аутентификации `cert`, путь к файлу сертификата для аутентификации в формате PEM.
engine_mount_point string	Путь, где установлен бэкэнд секретов. Значение по умолчанию: `"kv"`
jwt string	JSON Web Token (JWT), который будет использоваться для JWT-аутентификации в Vault.
mount_point string	Точка монтирования Vault. Если не указано, используется точка монтирования по умолчанию для данного метода аутентификации. Не применяется к токенной аутентификации.
namespace string	Пространство имен Vault, где находятся секреты. Эта опция требует HVAC 0.7.0+ и Vault 0.11+. Дополнительно, это может быть достигнуто путем добавления префикса к точке монтирования аутентификации и/или пути к секрету с использованием пространства имен (например, `mynamespace/secret/mysecret`). Если установлена переменная среды `VAULT_NAMESPACE`, ее значение будет использоваться последним среди всех способов указания namespace.
password string	Пароль аутентификации.

path string / required	Путь к хранилищу Vault KV для чтения. Это относительно engine_mount_point, поэтому путь монтирования не должен быть включен.
proxies any added in community.hashi_vault 1.1.0	URL(ы) к прокси-серверам, используемым для доступа к службе Vault. Это может быть строка или словарь. Если это словарь, укажите схему (например, `http` или `https`) в качестве ключа и URL в качестве значения. Если это строка, укажите один URL, который будет использоваться в качестве прокси для схем `http` и `https`. Строка, которая может быть интерпретирована как словарь, будет преобразована в словарь (см. примеры). Вы можете указать разные прокси для ресурсов HTTP и HTTPS. Если не указано, используются переменные среды из библиотеки Requests.
region string	Регион AWS, для которого необходимо создать соединение.
retries any added in community.hashi_vault 1.3.0	Позволяет повторять попытки при ошибках, основываясь на классе Retry в библиотеке urllib3. Эта коллекция определяет рекомендуемые значения по умолчанию для повторных попыток соединения с Vault. Этот параметр может быть задан как положительное число (целое число) или словарь. Если этот параметр не указан или число равно `0`, попытки повтора отключаются. Число устанавливает общее количество попыток повтора и использует значения по умолчанию коллекции для других параметров. Значение словаря используется непосредственно для инициализации класса `Retry`, поэтому его можно использовать для полной настройки повторных попыток. Для получения подробной информации о повторных попытках см. руководство пользователя коллекции.
retry_action string added in community.hashi_vault 1.3.0	Управляет отображением сообщений о повторных попытках. Это не влияет, если запрос не повторяется. Варианты: `"ignore"` `"warn"` ← (по умолчанию)
role_id string	Идентификатор или имя роли Vault. Используется в методах аутентификации `approle`, `aws_iam`, `azure` и `cert`. Для аутентификации `cert`, если role_id не указан, поведение по умолчанию — попытка использовать все роли сертификатов и вернуть любую совпадающую. Для аутентификации `azure`, role_id обязателен.
secret_id string	Идентификатор секрета, который будет использоваться для аутентификации Vault AppRole.
timeout integer added in community.hashi_vault 1.3.0	Устанавливает тайм-аут соединения в секундах. Если не установлено, используется значение по умолчанию библиотеки `hvac`.
token string	Токен Vault. Токен может быть указан явно, через перечисленные переменные среды [env], а также через переменную среды `VAULT_TOKEN`. Если токен не указан явно или через env, плагин проверит наличие файла токена, как определено в token_path и token_file. Порядок загрузки токена (сначала найденный выигрывает) — `token param -> ansible var -> ANSIBLE_HASHI_VAULT_TOKEN -> VAULT_TOKEN -> token file`.
token_file string	Если токен не указан, попытается прочитать токен из этого файла в token_path. По умолчанию: `".vault-token"`
token_path string	Если токен не указан, попытается прочитать token_file из этого пути.
token_validate boolean added in community.hashi_vault 0.2.0	Для аутентификации токена выполнит операцию `lookup-self` для определения действительности токена перед его использованием. Отключите, если ваш токен не имеет возможности `lookup-self`. Варианты: `false` ← (по умолчанию) `true`
url string	URL для службы Vault. Если не указано иным образом, будет использоваться значение переменной среды `VAULT_ADDR`. Если `VAULT_ADDR` также не определено, будет вызвана ошибка.
username string	Имя пользователя для аутентификации.
validate_certs boolean	Управляет проверкой и валидацией SSL-сертификатов, в основном вы хотите отключить только самозаверяющие. Будет заполнено обратным значением `VAULT_SKIP_VERIFY`, если оно установлено и validate_certs не указано явно. Будет установлено значение по умолчанию `true`, если ни validate_certs, ни `VAULT_SKIP_VERIFY` не установлены. Варианты: `false` `true`

Атрибуты

Атрибут	Поддержка	Описание
action_group	Группа действий: community.hashi_vault.vault	Используйте `group/community.hashi_vault.vault` в `module_defaults` для установки значений по умолчанию для данного модуля.
check_mode	Поддержка: полная Этот модуль является «только для чтения» и работает одинаково независимо от режима проверки.	Может работать в `check_mode` и возвращать прогноз изменения статуса без изменения целевого объекта.

См. также

community.hashi_vault.vault_kv1_get lookup: Официальная документация плагина поиска community.hashi_vault.vault_kv1_get.
community.hashi_vault.vault_kv2_get: Получение секрета из хранилища секретов HashiCorp Vault версии KV 2.
KV1 Secrets Engine: Документация для движка секретов Vault KV, версия 1.

Примеры

- name: Read a kv1 secret from Vault via the remote host with userpass auth
  community.hashi_vault.vault_kv1_get:
    url: https://vault:8201
    path: hello
    auth_method: userpass
    username: user
    password: '{{ passwd }}'
  register: response
  # equivalent API path is kv/hello

- name: Display the results
  ansible.builtin.debug:
    msg:
      - "Secret: {{ response.secret }}"
      - "Data: {{ response.data }} (same as secret in kv1)"
      - "Metadata: {{ response.metadata }} (response info in kv1)"
      - "Full response: {{ response.raw }}"
      - "Value of key 'password' in the secret: {{ response.secret.password }}"

- name: Read a secret from kv1 with a different mount via the remote host
  community.hashi_vault.vault_kv1_get:
    url: https://vault:8201
    engine_mount_point: custom/kv1/mount
    path: hello
  register: response
  # equivalent API path is custom/kv1/mount/hello

- name: Display the results
  ansible.builtin.debug:
    msg:
      - "Secret: {{ response.secret }}"
      - "Data: {{ response.data }} (same as secret in kv1)"
      - "Metadata: {{ response.metadata }} (response info in kv1)"
      - "Full response: {{ response.raw }}"

Значения возврата

Общие значения возврата описаны в здесь, следующие — поля, уникальные для данного модуля:

Ключ	Описание
data словарь	Поле `data` результата в исходном формате. Его также можно получить через `raw.data`. Возвращается: success Пример: `{"Key1": "value1", "Key2": "value2"}`
metadata словарь	Это синтетический результат. Он такой же, как `raw`, но без `data`. Возвращается: success Пример: `{"auth": null, "lease_duration": 2764800, "lease_id": "", "renewable": false, "request_id": "e99f145f-f02a-7073-1229-e3f191057a70", "warnings": null, "wrap_info": null}`
raw словарь	Исходный результат чтения по заданному пути. Возвращается: success Пример: `{"auth": null, "data": {"Key1": "value1", "Key2": "value2"}, "lease_duration": 2764800, "lease_id": "", "renewable": false, "request_id": "e99f145f-f02a-7073-1229-e3f191057a70", "warnings": null, "wrap_info": null}`
secret словарь	Поле `data` результата в исходном формате. Оно идентично `data` в значениях возврата. Возвращается: success Пример: `{"Key1": "value1", "Key2": "value2"}`

Авторы

Brian Scholer (@briantist)

Ссылки на коллекцию

© 2012–2018 Michael DeHaan
© 2018–2024 Red Hat, Inc.
Licensed under the GNU General Public License version 3.
https://docs.ansible.com/ansible/latest/collections/community/hashi_vault/vault_kv1_get_module.html