Модуль community.okd.openshift_adm_groups_sync — синхронизация групп OpenShift с записями из внешнего источника.

Примечание

Этот модуль входит в коллекцию community.okd (версия 5.0.0).

Эта коллекция уже может быть установлена, если вы используете пакет ansible. Она не входит в ansible-core. Чтобы проверить, установлена ли она, выполните ansible-galaxy collection list.

Чтобы установить её, используйте: ansible-galaxy collection install community.okd. Для использования этого модуля потребуются дополнительные компоненты; подробности см. в разделе Требования.

Чтобы использовать модуль в плейбуке, укажите: community.okd.openshift_adm_groups_sync.

Добавлено в community.okd 2.1.0

Краткое описание
Требования
Параметры
Примечания
Примеры
Возвращаемые значения

Краткое описание

Чтобы синхронизировать или удалить записи групп OpenShift в соответствии с записями внешнего источника, определите, какие группы требуется синхронизировать и где хранятся их записи.
Аналогично командам `oc adm prune groups` и `oc adm group sync`.
Синтаксис файла конфигурации синхронизации LDAP приведён здесь: https://docs.openshift.com/container-platform/4.9/authentication/ldap-syncing.html.
Атрибут bindPassword конфигурации синхронизации LDAP должен быть строкой. Используйте шифрование ansible-vault для защиты этой информации.

Примечание

Этому модулю соответствует модуль действий.

Требования

На узле, на котором выполняется этот модуль, должны быть установлены следующие компоненты.

python >= 3.6
kubernetes >= 12.0.0
python-ldap

Параметры

Параметр	Комментарии
allow_groups list / elements=string	Разрешённые группы: имя группы OpenShift или значение LDAP group dn. Если параметр `type` имеет значение ldap, здесь должны быть указаны только определения групп LDAP, например cn=developers,ou=groups,ou=rfc2307,dc=ansible,dc=redhat. По умолчанию: `[]`
api_key string	Токен для аутентификации в API. Также можно задать с помощью переменной окружения K8S_AUTH_API_KEY.
ca_cert псевдонимы: ssl_ca_cert path	Путь к сертификату CA, используемому для аутентификации в API. Чтобы избежать ошибок проверки сертификата, необходимо предоставить полную цепочку сертификатов. Также можно задать с помощью переменной окружения K8S_AUTH_SSL_CA_CERT.
client_cert псевдонимы: cert_file path	Путь к сертификату, используемому для аутентификации в API. Также можно задать с помощью переменной окружения K8S_AUTH_CERT_FILE.
client_key псевдонимы: key_file path	Путь к файлу ключа, используемому для аутентификации в API. Также можно задать с помощью переменной окружения K8S_AUTH_KEY_FILE.
context string	Имя контекста из файла конфигурации. Также можно задать с помощью переменной окружения K8S_AUTH_CONTEXT.
deny_groups list / elements=string	Запрещённые группы: имя группы OpenShift или значение LDAP group dn. Если параметр `type` имеет значение ldap, здесь должны быть указаны только определения групп LDAP, например cn=developers,ou=groups,ou=rfc2307,dc=ansible,dc=redhat. Элементы, указанные в этом списке, имеют приоритет над элементами, указанными в `allow_groups`. По умолчанию: `[]`
host string	URL для доступа к API. Также можно задать с помощью переменной окружения K8S_AUTH_HOST.
impersonate_groups list / elements=string добавлено в kubernetes.core 2.3.0	Группа или группы, от имени которых выполняется операция. Также можно задать с помощью переменной окружения K8S_AUTH_IMPERSONATE_GROUPS. Пример: Group1,Group2
impersonate_user string добавлено в kubernetes.core 2.3.0	Имя пользователя, от имени которого выполняется операция. Также можно задать с помощью переменной окружения K8S_AUTH_IMPERSONATE_USER.
kubeconfig any	Путь к существующему файлу конфигурации Kubernetes. Если он не указан и другие параметры подключения не заданы, клиент Kubernetes попытается загрузить файл конфигурации по умолчанию из ~/.kube/config. Также можно задать с помощью переменной окружения K8S_AUTH_KUBECONFIG. Можно указать несколько файлов конфигурации Kubernetes, используя в качестве разделителя «;» для платформы Windows или «:» для других платформ. Конфигурацию Kubernetes можно передать в виде словаря. Для этой возможности требуется версия клиента Python для Kubernetes не ниже 17.17.0. Добавлено в версии 2.2.0.
no_proxy string добавлено в kubernetes.core 2.3.0	Список хостов, доменов, IP-адресов или CIDR, разделённых запятыми, для которых не следует использовать прокси. Также можно задать с помощью переменной окружения K8S_AUTH_NO_PROXY. Обратите внимание: этот модуль не считывает стандартные настройки прокси из окружения (например, NO_PROXY). Для этой возможности требуется kubernetes>=19.15.0. При версии библиотеки kubernetes ниже 19.15.0 модуль завершится с ошибкой, даже если no_proxy задан правильно. Пример значения: “localhost,.local,.example.com,127.0.0.1,127.0.0.0/8,10.0.0.0/8,172.16.0.0/12,192.168.0.0/16”
password string	Пароль для аутентификации в API. Также можно задать с помощью переменной окружения K8S_AUTH_PASSWORD. Описание параметра `username` содержит информацию о том, в каких случаях применим этот параметр.
persist_config boolean	Сохранять ли токены обновления конфигурации kube. Также можно задать с помощью переменной окружения K8S_AUTH_PERSIST_CONFIG. Если в контексте k8s используются учётные данные пользователя с токенами обновления (например, oidc или gke/gcloud auth), токен обновляется библиотекой клиента Python для k8s, но по умолчанию не сохраняется. Поэтому срок действия старого токена обновления может истечь, и следующая попытка аутентификации завершится ошибкой. Если установить для этого флага значение true, клиент Python для k8s будет сохранять новый токен обновления в файл конфигурации kube. По умолчанию — false. Обратите внимание: текущая версия библиотеки клиента Python для k8s пока не поддерживает установку этого флага в значение True. Исправление для этой библиотеки Python для k8s доступно здесь: https://github.com/kubernetes-client/python-base/pull/169 Варианты: `false` `true`
proxy string	URL HTTP-прокси, используемого для подключения. Также можно задать с помощью переменной окружения K8S_AUTH_PROXY. Обратите внимание: этот модуль не считывает стандартные настройки прокси из окружения (например, HTTP_PROXY).
proxy_headers dictionary добавлено в kubernetes.core 2.0.0	Заголовок, используемый для HTTP-прокси. Документация доступна здесь: https://urllib3.readthedocs.io/en/latest/reference/urllib3.util.html?highlight=proxy_headers#urllib3.util.make_headers.
basic_auth string	Имя пользователя и пароль, разделённые двоеточием, для заголовка базовой аутентификации. Также можно задать с помощью переменной окружения K8S_AUTH_PROXY_HEADERS_BASIC_AUTH.
proxy_basic_auth string	Имя пользователя и пароль, разделённые двоеточием, для заголовка базовой аутентификации прокси. Также можно задать с помощью переменной окружения K8S_AUTH_PROXY_HEADERS_PROXY_BASIC_AUTH.
user_agent string	Строка с желаемым значением user-agent, например foo/1.0. Также можно задать с помощью переменной окружения K8S_AUTH_PROXY_HEADERS_USER_AGENT.
state string	Определяет, следует ли синхронизировать группу, если установлено значение `present`, или удалять её, если установлено значение `absent`. Варианты: `"absent"` `"present"` ← (по умолчанию)
sync_config псевдонимы: config, src dictionary / обязательный	Допустимое определение конфигурации синхронизации LDAP в формате YAML.
type string	Тип групп, к которым относятся записи в списках разрешённых и запрещённых групп. Варианты: `"ldap"` ← (по умолчанию) `"openshift"`
username string	Имя пользователя для аутентификации в API. Также можно задать с помощью переменной окружения K8S_AUTH_USERNAME. Обратите внимание: этот параметр работает только с кластерами, настроенными для использования HTTP Basic Auth. Если в кластере используется другой способ аутентификации (например, OAuth2 в OpenShift), этот параметр не будет работать ожидаемым образом. В таком случае обратитесь к модулю community.okd.k8s_auth — возможно, он подойдёт для вашей задачи.
validate_certs псевдонимы: verify_ssl boolean	Проверять ли SSL-сертификаты API-сервера. Также можно задать с помощью переменной окружения K8S_AUTH_VERIFY_SSL. Варианты: `false` `true`

Примечания

Примечание

Чтобы избежать ошибок проверки SSL-сертификата, если validate_certs имеет значение True, необходимо указать полную цепочку сертификатов API-сервера с помощью ca_cert или в файле kubeconfig.

Примеры

# Prune all orphaned groups
- name: Prune all orphan groups
  openshift_adm_groups_sync:
    state: absent
    src: "{{ lookup('file', '/path/to/ldap-sync-config.yaml') | from_yaml }}"

# Prune all orphaned groups from a list of specific groups specified in allow_groups
- name: Prune all orphan groups from a list of specific groups specified in allow_groups
  openshift_adm_groups_sync:
    state: absent
    src: "{{ lookup('file', '/path/to/ldap-sync-config.yaml') | from_yaml }}"
    allow_groups:
      - cn=developers,ou=groups,ou=rfc2307,dc=ansible,dc=redhat
      - cn=developers,ou=groups,ou=rfc2307,dc=ansible,dc=redhat

# Sync all groups from an LDAP server
- name: Sync all groups from an LDAP server
  openshift_adm_groups_sync:
    src:
      kind: LDAPSyncConfig
      apiVersion: v1
      url: ldap://localhost:1390
      insecure: true
      bindDN: cn=admin,dc=example,dc=org
      bindPassword: adminpassword
      rfc2307:
        groupsQuery:
          baseDN: "cn=admins,ou=groups,dc=example,dc=org"
          scope: sub
          derefAliases: never
          filter: (objectClass=*)
          pageSize: 0
        groupUIDAttribute: dn
        groupNameAttributes: [cn]
        groupMembershipAttributes: [member]
        usersQuery:
          baseDN: "ou=users,dc=example,dc=org"
          scope: sub
          derefAliases: never
          pageSize: 0
        userUIDAttribute: dn
        userNameAttributes: [mail]
        tolerateMemberNotFoundErrors: true
        tolerateMemberOutOfScopeErrors: true

# Sync all groups except the ones from the deny_groups  from an LDAP server
- name: Sync all groups from an LDAP server using deny_groups
  openshift_adm_groups_sync:
    src: "{{ lookup('file', '/path/to/ldap-sync-config.yaml') | from_yaml }}"
    deny_groups:
      - cn=developers,ou=groups,ou=rfc2307,dc=ansible,dc=redhat
      - cn=developers,ou=groups,ou=rfc2307,dc=ansible,dc=redhat

# Sync all OpenShift Groups that have been synced previously with an LDAP server
- name: Sync all OpenShift Groups that have been synced previously with an LDAP server
  openshift_adm_groups_sync:
    src: "{{ lookup('file', '/path/to/ldap-sync-config.yaml') | from_yaml }}"
    type: openshift

Возвращаемые значения

Общие возвращаемые значения описаны здесь. Ниже приведены поля, уникальные для этого модуля:

Ключ	Описание
builds list / elements=dictionary	Группы, которые были созданы, обновлены или удалены Возвращается: при успешном выполнении Пример: [{"apiVersion": "user.openshift.io/v1", "kind": "Group", "metadata": {"annotations": {"openshift.io/ldap.sync-time": "2021-12-17T12:20:28.125282", "openshift.io/ldap.uid": "cn=developers,ou=groups,ou=rfc2307,dc=ansible,dc=redhat", "openshift.io/ldap.url": "localhost:1390"}, "creationTimestamp": "2021-12-17T11:09:49Z", "labels": {"openshift.io/ldap.host": "localhost"}, "managedFields": [{"apiVersion": "user.openshift.io/v1", "fieldsType": "FieldsV1", "fieldsV1": {"f:metadata": {"f:annotations": {".": {}, "f:openshift.io/ldap.sync-time": {}, "f:openshift.io/ldap.uid": {}, "f:openshift.io/ldap.url": {}}, "f:labels": {".": {}, "f:openshift.io/ldap.host": {}}}, "f:users": {}}, "manager": "OpenAPI-Generator", "operation": "Update", "time": "2021-12-17T11:09:49Z"}], "name": "developers", "resourceVersion": "2014696", "uid": "8dc211cb-1544-41e1-96b1-efffeed2d7d7"}, "users": ["jordanbulls@ansible.org"]}]

Ключ

Описание

builds

list / elements=dictionary

Группы, которые были созданы, обновлены или удалены

Возвращается: при успешном выполнении

Пример: [{"apiVersion": "user.openshift.io/v1", "kind": "Group", "metadata": {"annotations": {"openshift.io/ldap.sync-time": "2021-12-17T12:20:28.125282", "openshift.io/ldap.uid": "cn=developers,ou=groups,ou=rfc2307,dc=ansible,dc=redhat", "openshift.io/ldap.url": "localhost:1390"}, "creationTimestamp": "2021-12-17T11:09:49Z", "labels": {"openshift.io/ldap.host": "localhost"}, "managedFields": [{"apiVersion": "user.openshift.io/v1", "fieldsType": "FieldsV1", "fieldsV1": {"f:metadata": {"f:annotations": {".": {}, "f:openshift.io/ldap.sync-time": {}, "f:openshift.io/ldap.uid": {}, "f:openshift.io/ldap.url": {}}, "f:labels": {".": {}, "f:openshift.io/ldap.host": {}}}, "f:users": {}}, "manager": "OpenAPI-Generator", "operation": "Update", "time": "2021-12-17T11:09:49Z"}], "name": "developers", "resourceVersion": "2014696", "uid": "8dc211cb-1544-41e1-96b1-efffeed2d7d7"}, "users": ["jordanbulls@ansible.org"]}]

Авторы

Aubin Bikouo (@abikouo)

Ссылки на коллекцию

© 2012–2018 Michael DeHaan
© 2018–2025 Red Hat, Inc.
Licensed under the GNU General Public License version 3.
https://docs.ansible.com/projects/ansible/latest/collections/community/okd/openshift_adm_groups_sync_module.html