Модуль community.hashi_vault.vault_write — выполнение операции записи в HashiCorp Vault

Примечание

Этот модуль входит в коллекцию community.hashi_vault (версия 7.1.0).

Возможно, эта коллекция уже установлена, если вы используете пакет ansible. Она не входит в ansible-core. Чтобы проверить, установлена ли она, выполните ansible-galaxy collection list.

Для установки используйте: ansible-galaxy collection install community.hashi_vault. Для использования этого модуля могут потребоваться дополнительные компоненты; подробности см. в разделе Требования.

Чтобы использовать модуль в плейбуке, укажите: community.hashi_vault.vault_write.

Новый в community.hashi_vault 2.4.0

Краткое описание
Требования
Параметры
Атрибуты
Примечания
См. также
Примеры
Возвращаемые значения

Краткое описание

Выполняет универсальную операцию записи по указанному пути в HashiCorp Vault и возвращает любые выходные данные.

Требования

Следующие требования необходимы на хосте, который выполняет этот модуль.

hvac (библиотека Python)
Подробные сведения о требованиях см. на странице требований коллекции.

Параметры

Параметр	Комментарии
auth_method строка	Используемый метод аутентификации. Метод аутентификации `none` добавлен в версии коллекции `1.2.0`. Метод аутентификации `cert` добавлен в версии коллекции `1.4.0`. `aws_iam_login` переименован в `aws_iam` в версии коллекции `2.1.0` и удалён в `3.0.0`. Метод аутентификации `azure` добавлен в версии коллекции `3.2.0`. Метод аутентификации `gcp` добавлен в версии коллекции `7.1.0`. Варианты: `"token"` ← (по умолчанию) `"userpass"` `"ldap"` `"approle"` `"aws_iam"` `"azure"` `"jwt"` `"cert"` `"gcp"` `"none"`
aws_access_key псевдонимы: aws_access_key_id строка	Ключ доступа AWS, который следует использовать.
aws_iam_server_id строка добавлено в community.hashi_vault 0.2.0	Если указано, задаёт значение для заголовка `X-Vault-AWS-IAM-Server-ID` в запросе `GetCallerIdentity`.
aws_profile псевдонимы: boto_profile строка	Профиль AWS
aws_secret_key псевдонимы: aws_secret_access_key строка	Секретный ключ AWS, соответствующий ключу доступа.
aws_security_token строка	Токен безопасности AWS, если используются временные ключ доступа и секретный ключ.
azure_client_id строка добавлено в community.hashi_vault 3.2.0	Идентификатор клиента (также известный как идентификатор приложения) субъекта-службы Azure AD или управляемого удостоверения. Должен быть UUID. Если не указано, будет использоваться назначенное системой управляемое удостоверение.
azure_client_secret строка добавлено в community.hashi_vault 3.2.0	Секрет клиента субъекта-службы Azure AD.
azure_resource строка добавлено в community.hashi_vault 3.2.0	URL-адрес ресурса для приложения, зарегистрированного в Azure Active Directory. Обычно не следует изменять значение по умолчанию. По умолчанию: `"https://management.azure.com/"`
azure_tenant_id строка добавлено в community.hashi_vault 3.2.0	Идентификатор клиента Azure Active Directory (также известный как идентификатор каталога) субъекта-службы. Должен быть UUID. Обязателен при использовании субъекта-службы для аутентификации в Vault, например, если указаны и azure_client_id, и azure_client_secret. Необязателен при использовании управляемого удостоверения для аутентификации в Vault.
ca_cert псевдонимы: cacert строка	Путь к сертификату, используемому для аутентификации. Если значение не задано другим способом, будет использоваться переменная среды `VAULT_CACERT`.
cert_auth_private_key путь добавлено в community.hashi_vault 1.4.0	Для аутентификации `cert` — путь к файлу закрытого ключа в формате PEM, используемого для аутентификации.
cert_auth_public_key путь добавлено в community.hashi_vault 1.4.0	Для аутентификации `cert` — путь к файлу сертификата в формате PEM, используемого для аутентификации.
data словарь	Словарь, который будет сериализован в JSON и отправлен в теле запроса. Если словарь содержит ключи с именами `path` или `wrap_ttl`, вызов завершится ошибкой `hvac<1.2`. По умолчанию: `{}`
jwt строка	JSON Web Token (JWT), используемый для аутентификации в Vault с помощью JWT.
mount_point строка	Точка монтирования Vault. Если не указана, используется точка монтирования по умолчанию для выбранного метода аутентификации. Не применяется для аутентификации по токену.
namespace строка	Пространство имён Vault, в котором находятся секреты. Для этого параметра требуются HVAC 0.7.0+ и Vault 0.11+. Вместо этого можно добавить пространство имён в начало точки монтирования аутентификации и/или пути к секрету (например, `mynamespace/secret/mysecret`). Если задана переменная среды `VAULT_NAMESPACE`, её значение будет иметь наименьший приоритет среди всех способов указания namespace.
password строка	Пароль для аутентификации.
path строка / обязательный	Путь Vault, в который выполняется запись.
proxies любой добавлено в community.hashi_vault 1.1.0	URL-адреса прокси-серверов, используемых для доступа к службе Vault. Значение может быть строкой или словарём. Если задан словарь, укажите схему (например, `http` или `https`) в качестве ключа, а URL-адрес — в качестве значения. Если задана строка, укажите один URL-адрес, который будет использоваться как прокси для схем `http` и `https`. Строка, которую можно интерпретировать как словарь, будет преобразована в словарь (см. примеры). Можно указать разные прокси для ресурсов HTTP и HTTPS. Если значение не указано, используются переменные среды библиотеки Requests.
region строка	Регион AWS, для которого создаётся подключение.
retries любой добавлено в community.hashi_vault 1.3.0	Позволяет повторять запросы при ошибках на основе класса Retry библиотеки urllib3. В этой коллекции заданы рекомендуемые значения по умолчанию для повторных подключений к Vault. Для этого параметра можно указать положительное число (целое) или словарь. Если параметр не указан или задано число `0`, повторные попытки отключены. Числовое значение задаёт общее количество повторных попыток; для остальных параметров используются значения коллекции по умолчанию. Значение-словарь используется непосредственно для инициализации класса `Retry`, поэтому с его помощью можно полностью настроить повторные попытки. Подробные сведения о повторных попытках см. в руководстве пользователя коллекции.
retry_action строка добавлено в community.hashi_vault 1.3.0	Определяет, следует ли выводить сообщения при повторных попытках и каким образом. Не влияет на запросы, которые не повторяются. Варианты: `"ignore"` `"warn"` ← (по умолчанию)
role_id строка	Идентификатор или имя роли Vault. Используется в методах аутентификации `approle`, `aws_iam`, `azure` и `cert`. При аутентификации `cert`, если role_id не указан, по умолчанию выполняется попытка использовать все роли сертификатов и возвращается любая подходящая. При аутентификации `azure` параметр role_id обязателен.
secret_id строка	Идентификатор секрета для аутентификации Vault AppRole.
timeout целое число добавлено в community.hashi_vault 1.3.0	Задаёт время ожидания подключения в секундах. Если параметр не задан, используется значение по умолчанию библиотеки `hvac`.
token строка	Токен Vault. Токен можно указать явно, с помощью перечисленных переменных среды [env], а также с помощью переменной среды `VAULT_TOKEN`. Если токен не указан явно или через переменные среды, плагин проверит наличие файла токена, заданного параметрами token_path и token_file. Порядок загрузки токена (используется первое найденное значение): `token param -> ansible var -> ANSIBLE_HASHI_VAULT_TOKEN -> VAULT_TOKEN -> token file`.
token_file строка	Если токен не указан, будет предпринята попытка прочитать его из этого файла в каталоге token_path. По умолчанию: `".vault-token"`
token_path строка	Если токен не указан, будет предпринята попытка прочитать файл token_file по этому пути.
token_validate логическое значение добавлено в community.hashi_vault 0.2.0	При аутентификации по токену перед его использованием выполняется операция `lookup-self` для проверки действительности токена. Отключите этот параметр, если у токена нет возможности `lookup-self`. Варианты: `false` ← (по умолчанию) `true`
url строка	URL-адрес службы Vault. Если значение не задано другим способом, будет использоваться значение переменной среды `VAULT_ADDR`. Если `VAULT_ADDR` также не задана, будет вызвана ошибка.
username строка	Имя пользователя для аутентификации.
validate_certs логическое значение	Управляет проверкой и валидацией SSL-сертификатов. Обычно отключать проверку следует только для самоподписанных сертификатов. Если задана переменная `VAULT_SKIP_VERIFY`, будет использовано её инвертированное значение, если только validate_certs не задан явно. Если не заданы ни validate_certs, ни `VAULT_SKIP_VERIFY`, по умолчанию используется `true`. Варианты: `false` `true`
wrap_ttl строка	Задаёт срок действия токена обёртки ответа. Например: `15s`, `20m`, `25h`.

Атрибуты

Атрибут	Поддержка	Описание
action_group	Группа действий: community.hashi_vault.vault	Используйте `group/community.hashi_vault.vault` в `module_defaults`, чтобы задать значения по умолчанию для этого модуля.
check_mode	Поддержка: частичная В режиме проверки будет возвращён пустой ответ, а операция записи выполнена не будет.	Может работать в режиме `check_mode` и возвращать прогноз изменения состояния без изменения целевого объекта.

Примечания

Примечание

vault_write — универсальный модуль для выполнения операций, для которых ещё нет специализированного модуля. Если существует специализированный модуль, следует использовать его.
Параметр data не считается секретным и может попасть в журналы. Используйте директиву no_log, если data содержит конфиденциальные значения.
Этот модуль всегда сообщает статус changed, так как он не может гарантировать идемпотентность.
Используйте changed_when, чтобы управлять этим в случаях, когда известно, что операция не изменяет состояние.

См. также

Поиск community.hashi_vault.vault_write: Официальная документация плагина поиска community.hashi_vault.vault_write.
community.hashi_vault.vault_read: Выполнение операции чтения в HashiCorp Vault.
Поиск community.hashi_vault.vault_read: Официальная документация плагина поиска community.hashi_vault.vault_read.

Примеры

- name: Write a value to the cubbyhole via the remote host with userpass auth
  community.hashi_vault.vault_write:
    url: https://vault:8201
    path: cubbyhole/mysecret
    data:
      key1: val1
      key2: val2
    auth_method: userpass
    username: user
    password: '{{ passwd }}'
  register: result

- name: Display the result of the write (this can be empty)
  ansible.builtin.debug:
    msg: "{{ result.data }}"

- name: Write secret to Vault using key value V2 engine
  community.hashi_vault.vault_write:
    path: secret/data/mysecret
    data:
      data:
        key1: val1
        key2: val2

- name: Retrieve an approle role ID from Vault via the remote host
  community.hashi_vault.vault_read:
    url: https://vault:8201
    path: auth/approle/role/role-name/role-id
  register: approle_id

- name: Generate a secret-id for the given approle
  community.hashi_vault.vault_write:
    url: https://vault:8201
    path: auth/approle/role/role-name/secret-id
  register: secret_id

- name: Display the role ID and secret ID
  ansible.builtin.debug:
    msg:
      - "role-id: {{ approle_id.data.data.role_id }}"
      - "secret-id: {{ secret_id.data.data.secret_id }}"

Возвращаемые значения

Общие возвращаемые значения описаны здесь; ниже перечислены поля, уникальные для этого модуля:

Ключ	Описание
data словарь	Необработанный результат записи по указанному пути. Возвращается: при успешном выполнении

Авторы

Brian Scholer (@briantist)

Ссылки на коллекцию

© 2012–2018 Michael DeHaan
© 2018–2025 Red Hat, Inc.
Licensed under the GNU General Public License version 3.
https://docs.ansible.com/projects/ansible/latest/collections/community/hashi_vault/vault_write_module.html