Модуль community.hashi_vault.vault_kv2_get — Получение секрета из хранилища секретов HashiCorp Vault версии KV 2

Примечание

Этот модуль входит в коллекцию community.hashi_vault (версия 6.2.0).

Возможно, эта коллекция уже установлена, если вы используете пакет ansible. Она не включена в ansible-core. Чтобы проверить установку, выполните ansible-galaxy collection list.

Для установки используйте: ansible-galaxy collection install community.hashi_vault. Для использования этого модуля необходимы дополнительные требования, см. Требования.

Для использования в книге задач укажите: community.hashi_vault.vault_kv2_get.

Добавлена в community.hashi_vault 2.5.0

Описание
Требования
Параметры
Атрибуты
См. также
Примеры
Возвращаемые значения

Описание

Получение секрета из хранилища секретов HashiCorp Vault версии KV 2.

Требования

Ниже перечислены требования к хосту, на котором выполняется этот модуль.

hvac (Python библиотека)
Для подробных требований см. страницу требований к коллекции.

Параметры

Параметр	Комментарии
auth_method string	Метод аутентификации, который будет использоваться. `none` auth method was added in collection version `1.2.0`. `cert` auth method was added in collection version `1.4.0`. `aws_iam_login` was renamed `aws_iam` in collection version `2.1.0` and was removed in `3.0.0`. `azure` auth method was added in collection version `3.2.0`. Варианты: `"token"` ← (default) `"userpass"` `"ldap"` `"approle"` `"aws_iam"` `"azure"` `"jwt"` `"cert"` `"none"`
aws_access_key aliases: aws_access_key_id string	Ключ доступа AWS для использования.
aws_iam_server_id string added in community.hashi_vault 0.2.0	Если указано, устанавливает значение для использования для заголовка `X-Vault-AWS-IAM-Server-ID` в качестве части запроса `GetCallerIdentity`.
aws_profile aliases: boto_profile string	Профиль AWS
aws_secret_key aliases: aws_secret_access_key string	Секретный ключ AWS, соответствующий ключу доступа.
aws_security_token string	Маркер безопасности AWS, если используются временные ключи доступа и секретные ключи.
azure_client_id string added in community.hashi_vault 3.2.0	Идентификатор клиента (также известный как идентификатор приложения) субъекта безопасности Azure AD или управляемой идентичности. Должен быть UUID. Если не указано, будет использоваться назначенная системой управляемая идентичность.
azure_client_secret string added in community.hashi_vault 3.2.0	Секретный ключ клиента субъекта безопасности Azure AD.
azure_resource string added in community.hashi_vault 3.2.0	URL-адрес ресурса для приложения, зарегистрированного в Azure Active Directory. Обычно его не следует изменять по умолчанию. Значение по умолчанию: `"https://management.azure.com/"`
azure_tenant_id string added in community.hashi_vault 3.2.0	Идентификатор клиента Azure Active Directory (также известный как идентификатор каталога) субъекта безопасности. Должен быть UUID. Требуется при использовании субъекта безопасности для аутентификации в Vault, например, требуется, когда указаны как azure_client_id, так и azure_client_secret. Необязательно при использовании управляемой идентичности для аутентификации в Vault.
ca_cert aliases: cacert string	Путь к сертификату, который будет использоваться для аутентификации. Если не указано иными способами, будет использоваться переменная окружения `VAULT_CACERT`.
cert_auth_private_key path added in community.hashi_vault 1.4.0	Для аутентификации `cert`, путь к файлу с закрытым ключом для аутентификации в формате PEM.
cert_auth_public_key path added in community.hashi_vault 1.4.0	Для аутентификации `cert`, путь к файлу сертификата для аутентификации в формате PEM.
engine_mount_point string	Путь, где смонтирован бэкэнд секретов. Значение по умолчанию: `"secret"`
jwt string	JSON Web Token (JWT), который будет использоваться для JWT-аутентификации в Vault.
mount_point string	Точка монтирования Vault. Если не указано, используется точка монтирования по умолчанию для данного метода аутентификации. Не применяется к токенной аутентификации.
namespace string	Пространство имен Vault, где находятся секреты. Эта опция требует HVAC 0.7.0+ и Vault 0.11+. Дополнительно это может быть достигнуто путем добавления префикса к точке монтирования аутентификации и/или пути к секрету с помощью пространства имен (например, `mynamespace/secret/mysecret`). Если установлена переменная окружения `VAULT_NAMESPACE`, ее значение будет использоваться последним среди всех способов указания namespace.
password string	Пароль аутентификации.

path string / required	Путь к хранилищу Vault KV для чтения. Это относительно engine_mount_point, поэтому путь монтирования не должен быть включен. Для kv2 не включайте `/data/` или `/metadata/`.
proxies any added in community.hashi_vault 1.1.0	URL(ы) к прокси-серверам, используемым для доступа к службе Vault. Это может быть строка или словарь. Если это словарь, укажите схему (например, `http` или `https`) в качестве ключа и URL в качестве значения. Если это строка, укажите один URL, который будет использоваться в качестве прокси для схем `http` и `https`. Строка, которая может быть интерпретирована как словарь, будет преобразована в него (см. примеры). Вы можете указать разные прокси для ресурсов HTTP и HTTPS. Если не указано, используются переменные среды из библиотеки Requests.
region string	Регион AWS, для которого необходимо создать соединение.
retries any added in community.hashi_vault 1.3.0	Позволяет повторять попытки при ошибках, основываясь на классе Retry в библиотеке urllib3. Эта коллекция определяет рекомендуемые значения по умолчанию для повтора попыток подключения к Vault. Этот параметр может быть задан как положительное число (целое число) или словарь. Если этот параметр не указан или число равно `0`, то повторные попытки отключены. Число устанавливает общее количество повторных попыток и использует значения по умолчанию коллекции для других параметров. Значение словаря используется непосредственно для инициализации класса `Retry`, поэтому его можно использовать для полной настройки повторных попыток. Для получения подробной информации о повторных попытках см. руководство пользователя коллекции.
retry_action string added in community.hashi_vault 1.3.0	Управляет отображением сообщений о повторных попытках. Это не оказывает влияния, если запрос не повторяется. Варианты: `"ignore"` `"warn"` ← (по умолчанию)
role_id string	Идентификатор или имя роли Vault. Используется в методах аутентификации `approle`, `aws_iam`, `azure` и `cert`. Для аутентификации `cert`, если role_id не указан, поведение по умолчанию заключается в попытке использовать все роли сертификатов и возврате любой совпадающей. Для аутентификации `azure`, role_id обязателен.
secret_id string	Идентификатор секрета, который будет использоваться для аутентификации Vault AppRole.
timeout integer added in community.hashi_vault 1.3.0	Устанавливает тайм-аут соединения в секундах. Если не задано, используется значение по умолчанию библиотеки `hvac`.
token string	Токен Vault. Токен может быть указан явно, через перечисленные переменные среды [env], а также через переменную среды `VAULT_TOKEN`. Если токен не указан явно или через env, плагин проверит наличие файла токена, как определено параметрами token_path и token_file. Порядок загрузки токенов (первый найденный выигрывает) - `token param -> ansible var -> ANSIBLE_HASHI_VAULT_TOKEN -> VAULT_TOKEN -> token file`.
token_file string	Если токен не указан, попытается прочитать токен из этого файла в token_path. По умолчанию: `".vault-token"`
token_path string	Если токен не указан, попытается прочитать token_file из этого пути.
token_validate boolean added in community.hashi_vault 0.2.0	Для аутентификации с помощью токена выполнит операцию `lookup-self` для определения действительности токена перед его использованием. Отключите, если ваш токен не имеет возможности `lookup-self`. Варианты: `false` ← (по умолчанию) `true`
url string	URL службы Vault. Если не указано иными способами, будет использовано значение переменной среды `VAULT_ADDR`. Если `VAULT_ADDR` также не определено, будет вызвана ошибка.
username string	Имя пользователя для аутентификации.
validate_certs boolean	Управляет проверкой и валидацией SSL-сертификатов, в основном вы хотите отключить только самозаверенные. Будет заполнено обратным значением `VAULT_SKIP_VERIFY`, если оно установлено, и validate_certs не указано явно. Будет установлено значение по умолчанию `true`, если не заданы ни validate_certs, ни `VAULT_SKIP_VERIFY`. Варианты: `false` `true`
version integer	Указывает версию для возврата. Если не указано, возвращается последняя версия.

Атрибуты

Атрибут	Поддержка	Описание
action_group	Группа действий: community.hashi_vault.vault	Используйте `group/community.hashi_vault.vault` в `module_defaults` для установки значений по умолчанию для этого модуля.
check_mode	Поддержка: полная Этот модуль является «только для чтения» и работает одинаково независимо от режима проверки.	Может работать в режиме `check_mode` и возвращать прогноз о статусе изменения без модификации целевого объекта.

См. также

community.hashi_vault.vault_kv2_get lookup: Официальная документация плагина поиска community.hashi_vault.vault_kv2_get.
community.hashi_vault.vault_kv1_get: Получение секрета из хранилища секретов KV версии 1 HashiCorp Vault.
community.hashi_vault.vault_kv2_write: Выполнение операции записи в секрет KVv2 в HashiCorp Vault.
Двигатель секретов KV2: Документация для движка секретов Vault KV, версия 2.

Примеры

- name: Read the latest version of a kv2 secret from Vault via the remote host with userpass auth
  community.hashi_vault.vault_kv2_get:
    url: https://vault:8201
    path: hello
    auth_method: userpass
    username: user
    password: '{{ passwd }}'
  register: response
  # equivalent API path is secret/data/hello

- name: Display the results
  ansible.builtin.debug:
    msg:
      - "Secret: {{ response.secret }}"
      - "Data: {{ response.data }} (contains secret data & metadata in kv2)"
      - "Metadata: {{ response.metadata }}"
      - "Full response: {{ response.raw }}"
      - "Value of key 'password' in the secret: {{ response.secret.password }}"

- name: Read version 5 of a secret from kv2 with a different mount via the remote host
  community.hashi_vault.vault_kv2_get:
    url: https://vault:8201
    engine_mount_point: custom/kv2/mount
    path: hello
    version: 5
  register: response
  # equivalent API path is custom/kv2/mount/data/hello

- name: Assert that the version returned is as expected
  ansible.builtin.assert:
    that:
      - response.metadata.version == 5

Возвращаемые значения

Общие возвращаемые значения документированы здесь, следующие поля уникальны для этого модуля:

Ключ	Описание
data словарь	Поле `data` результата в сыром виде. К нему также можно получить доступ через `raw.data`. Возвращается: успешно Пример: `{"data": {"Key1": "value1", "Key2": "value2"}, "metadata": {"created_time": "2022-04-21T15:56:58.8525402Z", "custom_metadata": null, "deletion_time": "", "destroyed": false, "version": 2}}`
metadata словарь	Поле `metadata` в поле `data`. Эквивалентно `raw.data.metadata`. Возвращается: успешно Пример: `{"created_time": "2022-04-21T15:56:58.8525402Z", "custom_metadata": null, "deletion_time": "", "destroyed": false, "version": 2}`
raw словарь	Результат чтения по заданному пути в сыром виде. Возвращается: успешно Пример: `{"auth": null, "data": {"data": {"Key1": "value1", "Key2": "value2"}, "metadata": {"created_time": "2022-04-21T15:56:58.8525402Z", "custom_metadata": null, "deletion_time": "", "destroyed": false, "version": 2}}, "lease_duration": 0, "lease_id": "", "renewable": false, "request_id": "dc829675-9119-e831-ae74-35fc5d33d200", "warnings": null, "wrap_info": null}`
secret словарь	Поле `data` в поле `data`. Эквивалентно `raw.data.data`. Возвращается: успешно Пример: `{"Key1": "value1", "Key2": "value2"}`

Авторы

Brian Scholer (@briantist)

Ссылки на коллекцию

© 2012–2018 Michael DeHaan
© 2018–2024 Red Hat, Inc.
Licensed under the GNU General Public License version 3.
https://docs.ansible.com/ansible/latest/collections/community/hashi_vault/vault_kv2_get_module.html