Модуль community.hashi_vault.vault_kv2_get — получение секрета из хранилища секретов KV версии 2 HashiCorp Vault

Примечание

Этот модуль входит в коллекцию community.hashi_vault (версия 7.1.0).

Возможно, эта коллекция уже установлена, если вы используете пакет ansible. Она не входит в ansible-core. Чтобы проверить, установлена ли она, выполните ansible-galaxy collection list.

Чтобы установить её, используйте: ansible-galaxy collection install community.hashi_vault. Для использования этого модуля нужны дополнительные компоненты; подробности см. в разделе Требования.

Чтобы использовать модуль в плейбуке, укажите: community.hashi_vault.vault_kv2_get.

Добавлено в community.hashi_vault 2.5.0

Краткое описание
Требования
Параметры
Атрибуты
См. также
Примеры
Возвращаемые значения

Краткое описание

Получает секрет из хранилища секретов KV версии 2 HashiCorp Vault.

Требования

Следующие требования должны быть выполнены на узле, где выполняется этот модуль.

hvac (библиотека Python)
Подробные сведения о требованиях см. на странице требований к коллекции.

Параметры

Параметр	Комментарии
auth_method строка	Используемый метод аутентификации. Метод аутентификации `none` добавлен в версию коллекции `1.2.0`. Метод аутентификации `cert` добавлен в версию коллекции `1.4.0`. `aws_iam_login` переименован в `aws_iam` в версии коллекции `2.1.0` и удалён в `3.0.0`. Метод аутентификации `azure` добавлен в версию коллекции `3.2.0`. Метод аутентификации `gcp` добавлен в версию коллекции `7.1.0`. Варианты: `"token"` ← (по умолчанию) `"userpass"` `"ldap"` `"approle"` `"aws_iam"` `"azure"` `"jwt"` `"cert"` `"gcp"` `"none"`
aws_access_key псевдонимы: aws_access_key_id строка	Ключ доступа AWS.
aws_iam_server_id строка добавлено в community.hashi_vault 0.2.0	Если задано, устанавливает значение заголовка `X-Vault-AWS-IAM-Server-ID` в запросе `GetCallerIdentity`.
aws_profile псевдонимы: boto_profile строка	Профиль AWS
aws_secret_key псевдонимы: aws_secret_access_key строка	Секретный ключ AWS, соответствующий ключу доступа.
aws_security_token строка	Токен безопасности AWS при использовании временных ключей доступа и секретных ключей.
azure_client_id строка добавлено в community.hashi_vault 3.2.0	Идентификатор клиента (также называемый идентификатором приложения) субъекта-службы Azure AD или управляемого удостоверения. Должен быть UUID. Если не задан, будет использоваться управляемое удостоверение, назначенное системой.
azure_client_secret строка добавлено в community.hashi_vault 3.2.0	Секрет клиента субъекта-службы Azure AD.
azure_resource строка добавлено в community.hashi_vault 3.2.0	URL ресурса для приложения, зарегистрированного в Azure Active Directory. Обычно это значение не следует изменять. По умолчанию: `"https://management.azure.com/"`
azure_tenant_id строка добавлено в community.hashi_vault 3.2.0	Идентификатор клиента Azure Active Directory (также называемый идентификатором каталога) субъекта-службы. Должен быть UUID. Обязателен при аутентификации в Vault с помощью субъекта-службы, например, когда заданы и azure_client_id, и azure_client_secret. Необязателен при аутентификации в Vault с помощью управляемого удостоверения.
ca_cert псевдонимы: cacert строка	Путь к сертификату, используемому для аутентификации. Если значение не задано другим способом, будет использоваться переменная среды `VAULT_CACERT`.
cert_auth_private_key путь добавлено в community.hashi_vault 1.4.0	Для аутентификации `cert` — путь к файлу закрытого ключа в формате PEM, используемого для аутентификации.
cert_auth_public_key путь добавлено в community.hashi_vault 1.4.0	Для аутентификации `cert` — путь к файлу сертификата в формате PEM, используемого для аутентификации.
engine_mount_point строка	Путь, по которому смонтирован серверный модуль секретов. По умолчанию: `"secret"`
jwt строка	JSON Web Token (JWT), используемый для JWT-аутентификации в Vault.
mount_point строка	Точка монтирования Vault. Если не задана, используется точка монтирования по умолчанию для соответствующего метода аутентификации. Не применяется при аутентификации по токену.
namespace строка	Пространство имён Vault, в котором находятся секреты. Для этого параметра требуются HVAC 0.7.0+ и Vault 0.11+. Этого также можно добиться, добавив пространство имён в начало точки монтирования аутентификации и/или пути к секрету (например, `mynamespace/secret/mysecret`). Если задана переменная среды `VAULT_NAMESPACE`, её значение будет иметь последний приоритет среди всех способов задания namespace.
password строка	Пароль для аутентификации.
path строка / обязательный	Путь KV в Vault, по которому нужно прочитать данные. Путь задаётся относительно engine_mount_point, поэтому путь монтирования указывать не нужно. Для kv2 не включайте `/data/` или `/metadata/`.
proxies любой добавлено в community.hashi_vault 1.1.0	URL прокси-серверов, используемых для доступа к службе Vault. Значением может быть строка или словарь. Если указано значение-словарь, задайте схему (например, `http` или `https`) в качестве ключа, а URL — в качестве значения. Если указана строка, задайте один URL, который будет использоваться в качестве прокси для схем `http` и `https`. Строка, которую можно интерпретировать как словарь, будет преобразована в словарь (см. примеры). Для ресурсов HTTP и HTTPS можно задать разные прокси-серверы. Если значение не задано, используются переменные среды библиотеки Requests.
region строка	Регион AWS, для которого создаётся подключение.
retries любой добавлено в community.hashi_vault 1.3.0	Позволяет повторять запросы при ошибках на основе класса Retry из библиотеки urllib3. В этой коллекции заданы рекомендуемые значения по умолчанию для повторных подключений к Vault. Значением этого параметра может быть положительное число (целое) или словарь. Если параметр не задан или его значение равно `0`, повторные попытки отключены. Числовое значение задаёт общее количество повторных попыток; для остальных параметров используются значения коллекции по умолчанию. Значение-словарь напрямую используется для инициализации класса `Retry`, что позволяет полностью настроить повторные попытки. Подробные сведения о повторных попытках см. в руководстве пользователя коллекции.
retry_action строка добавлено в community.hashi_vault 1.3.0	Определяет, нужно ли выводить сообщения при повторных попытках и каким образом. Не влияет на запросы, для которых повторные попытки не выполняются. Варианты: `"ignore"` `"warn"` ← (по умолчанию)
role_id строка	Идентификатор или имя роли Vault. Используется в методах аутентификации `approle`, `aws_iam`, `azure` и `cert`. При аутентификации `cert`, если role_id не задан, по умолчанию выполняется попытка использовать все роли сертификатов и возвращается любая подходящая роль. Для аутентификации `azure` параметр role_id обязателен.
secret_id строка	Идентификатор секрета для аутентификации в Vault с помощью AppRole.
timeout целое число добавлено в community.hashi_vault 1.3.0	Задаёт время ожидания подключения в секундах. Если значение не задано, используется значение по умолчанию библиотеки `hvac`.
token строка	Токен Vault. Токен можно указать явно, через перечисленные переменные среды [env], а также через переменную среды `VAULT_TOKEN`. Если токен не задан явно или через переменные среды, плагин проверит наличие файла токена, путь к которому определяется параметрами token_path и token_file. Токены загружаются в следующем порядке (используется первый найденный): `token param -> ansible var -> ANSIBLE_HASHI_VAULT_TOKEN -> VAULT_TOKEN -> token file`.
token_file строка	Если токен не задан, будет предпринята попытка прочитать его из этого файла в каталоге token_path. По умолчанию: `".vault-token"`
token_path строка	Если токен не задан, будет предпринята попытка прочитать файл token_file из этого каталога.
token_validate логическое значение добавлено в community.hashi_vault 0.2.0	При аутентификации по токену выполняется операция `lookup-self`, чтобы проверить его действительность перед использованием. Отключите этот параметр, если у токена нет возможности `lookup-self`. Варианты: `false` ← (по умолчанию) `true`
url строка	URL службы Vault. Если значение не задано другим способом, будет использоваться значение переменной среды `VAULT_ADDR`. Если `VAULT_ADDR` также не задана, будет выдана ошибка.
username строка	Имя пользователя для аутентификации.
validate_certs логическое значение	Управляет проверкой и валидацией SSL-сертификатов. Обычно отключать проверку следует только для самоподписанных сертификатов. Если задан параметр `VAULT_SKIP_VERIFY` и validate_certs явно не указан, ему будет присвоено обратное значение. Если не заданы ни validate_certs, ни `VAULT_SKIP_VERIFY`, по умолчанию будет использоваться `true`. Варианты: `false` `true`
version целое число	Указывает версию, которую нужно вернуть. Если значение не задано, возвращается последняя версия.

Атрибуты

Атрибут	Поддержка	Описание
action_group	Группа действий: community.hashi_vault.vault	Используйте `group/community.hashi_vault.vault` в `module_defaults`, чтобы задать значения по умолчанию для этого модуля.
check_mode	Поддержка: полная Этот модуль предназначен только для чтения и работает одинаково независимо от режима проверки.	Может выполняться в режиме `check_mode` и возвращать прогнозируемый статус изменений, не изменяя целевой узел.

См. также

Поиск community.hashi_vault.vault_kv2_get: Официальная документация по модулю поиска community.hashi_vault.vault_kv2_get.
community.hashi_vault.vault_kv1_get: Получение секрета из хранилища секретов KV версии 1 HashiCorp Vault.
community.hashi_vault.vault_kv2_write: Выполнение операции записи секрета KVv2 в HashiCorp Vault.
Модуль секретов KV2: Документация по модулю секретов KV версии 2 в Vault.

Примеры

- name: Read the latest version of a kv2 secret from Vault via the remote host with userpass auth
  community.hashi_vault.vault_kv2_get:
    url: https://vault:8201
    path: hello
    auth_method: userpass
    username: user
    password: '{{ passwd }}'
  register: response
  # equivalent API path is secret/data/hello

- name: Display the results
  ansible.builtin.debug:
    msg:
      - "Secret: {{ response.secret }}"
      - "Data: {{ response.data }} (contains secret data & metadata in kv2)"
      - "Metadata: {{ response.metadata }}"
      - "Full response: {{ response.raw }}"
      - "Value of key 'password' in the secret: {{ response.secret.password }}"

- name: Read version 5 of a secret from kv2 with a different mount via the remote host
  community.hashi_vault.vault_kv2_get:
    url: https://vault:8201
    engine_mount_point: custom/kv2/mount
    path: hello
    version: 5
  register: response
  # equivalent API path is custom/kv2/mount/data/hello

- name: Assert that the version returned is as expected
  ansible.builtin.assert:
    that:
      - response.metadata.version == 5

Возвращаемые значения

Общие возвращаемые значения описаны здесь, ниже перечислены поля, уникальные для этого модуля:

Ключ	Описание
data dictionary	Поле `data` исходного результата. Также доступно через `raw.data`. Возвращается: при успешном выполнении Пример: `{"data": {"Key1": "value1", "Key2": "value2"}, "metadata": {"created_time": "2022-04-21T15:56:58.8525402Z", "custom_metadata": null, "deletion_time": "", "destroyed": false, "version": 2}}`
metadata dictionary	Поле `metadata` внутри поля `data`. Эквивалентно `raw.data.metadata`. Возвращается: при успешном выполнении Пример: `{"created_time": "2022-04-21T15:56:58.8525402Z", "custom_metadata": null, "deletion_time": "", "destroyed": false, "version": 2}`
raw dictionary	Исходный результат чтения по указанному пути. Возвращается: при успешном выполнении Пример: `{"auth": null, "data": {"data": {"Key1": "value1", "Key2": "value2"}, "metadata": {"created_time": "2022-04-21T15:56:58.8525402Z", "custom_metadata": null, "deletion_time": "", "destroyed": false, "version": 2}}, "lease_duration": 0, "lease_id": "", "renewable": false, "request_id": "dc829675-9119-e831-ae74-35fc5d33d200", "warnings": null, "wrap_info": null}`
secret dictionary	Поле `data` внутри поля `data`. Эквивалентно `raw.data.data`. Возвращается: при успешном выполнении Пример: `{"Key1": "value1", "Key2": "value2"}`

Авторы

Brian Scholer (@briantist)

Ссылки на коллекцию

© 2012–2018 Michael DeHaan
© 2018–2025 Red Hat, Inc.
Licensed under the GNU General Public License version 3.
https://docs.ansible.com/projects/ansible/latest/collections/community/hashi_vault/vault_kv2_get_module.html