microsoft.ad.ldap inventory — плагин инвентаризации для Active Directory

attributes

dictionary

Атрибуты LDAP, которые нужно получить.

Указанные ключи — это запрашиваемые атрибуты LDAP, а значения для каждого атрибута представляют собой словарь, в котором указано, какую переменную узла задать и каким образом.

Каждый ключ во внутреннем словаре — это имя переменной узла, которую нужно задать, а значение — шаблон для получения значения. Если значение явно не задано, будет использоваться приведённое к нужному типу значение, возвращённое атрибутом LDAP.

Атрибуты, обозначенные в схеме LDAP как одиночные, возвращаются в виде одиночного значения, а атрибуты с несколькими значениями — в виде списка значений.

Дополнительные сведения см. в разделе Атрибуты инвентаризации LDAP.

По умолчанию: {}

auth_protocol

string

Протокол аутентификации, используемый при подключении к узлу LDAP.

По умолчанию используется certificate, если применяется LDAPS/StartTLS и указано certificate. В противном случае по умолчанию используется negotiate.

simple — это простая аутентификация, при которой имя пользователя и пароль передаются в незашифрованном виде. Она не поддерживает шифрование, поэтому её необходимо использовать либо с LDAPS, либо с StartTLS. Если протокол используется через незашифрованное соединение LDAP без TLS, необходимо указать encrypt=False, чтобы явно согласиться на отсутствие шифрования.

certificate — это аутентификация с помощью клиентского сертификата TLS. Её можно использовать только с LDAPS или StartTLS. Дополнительные сведения об указании клиентского сертификата для аутентификации см. в описании certificate.

negotiate попытается согласовать аутентификацию Kerberos с переходом на NTLM в случае неудачи. Если Kerberos доступен, можно использовать кэш учётных данных Kerberos, если имя пользователя или пароль не указаны.

kerberos использует аутентификацию Kerberos без перехода на NTLM.

ntlm использует аутентификацию NTLM без попытки применить Kerberos.

negotiate, kerberos и ntlm поддерживают шифрование через LDAP.

Для поддержки Kerberos необходимо установить дополнительные компоненты pyspnego[kerberos].

Дополнительные сведения см. в разделе Аутентификация LDAP.

Для этого параметра можно использовать значение шаблона Jinja2.

Варианты:

• "simple"
• "certificate"
• "negotiate"
• "kerberos"
• "ntlm"

Конфигурация:

• Переменная среды: MICROSOFT_AD_LDAP_AUTH_PROTOCOL

ca_cert

string

Путь к файлу сертификата ЦС в формате PEM или DER, каталог сертификатов PEM или строка сертификата ЦС в формате PEM, используемого для проверки сертификатов.

Если параметр не указан, используемое для проверки хранилище сертификатов ЦС по умолчанию зависит от текущих настроек Python.

Для этого параметра можно использовать значение шаблона Jinja2.

Конфигурация:

• Переменная среды: MICROSOFT_AD_LDAP_CA_CERT

cert_validation

string

Поведение при проверке сертификата во время использования соединения TLS.

Можно указать always, ignore, ignore_hostname.

always выполняет проверку имени узла и ЦС сертификата.

ignore игнорирует все ошибки сертификата.

ignore_hostname проверяет цепочку доверия ЦС, но игнорирует проверку имени узла, выполняемую TLS.

Дополнительные сведения см. в разделе Проверка сертификата.

Для этого параметра можно использовать значение шаблона Jinja2.

Варианты:

• "always" ← (по умолчанию)
• "ignore"
• "ignore_hostname"

Конфигурация:

• Переменная среды: MICROSOFT_AD_LDAP_CERT_VALIDATION

certificate

string

Сертификат или набор сертификата с ключом, используемый для аутентификации по сертификату.

Значением может быть путь к файлу с сертификатом или строка сертификата в кодировке PEM.

Если указан путь к файлу сертификата, файл может содержать сертификат в кодировке PEM, сертификат и ключ в кодировке PEM, сертификат в кодировке DER или сертификат и ключ в формате PFX/PKCS12.

Используйте certificate_key, если в указанном сертификате нет ключа.

Используйте certificate_password, если ключ зашифрован паролем.

Для этого параметра можно использовать значение шаблона Jinja2.

Конфигурация:

• Переменная среды: MICROSOFT_AD_LDAP_CERTIFICATE

certificate_key

string

Ключ сертификата, используемый для аутентификации по сертификату.

Значением может быть путь к файлу с ключом в кодировке PEM или DER либо строка ключа в кодировке PEM.

Используйте certificate_password, если ключ зашифрован паролем.

Для этого параметра можно использовать значение шаблона Jinja2.

Конфигурация:

• Переменная среды: MICROSOFT_AD_LDAP_CERTIFICATE_KEY

certificate_password

string

Пароль для расшифровки ключа сертификата, указанного в certificate или certificate_key.

Для этого параметра можно использовать значение шаблона Jinja2.

Конфигурация:

• Переменная среды: MICROSOFT_AD_LDAP_CERTIFICATE_PASSWORD

compose

dictionary

Создание переменных с помощью выражений Jinja2.

По умолчанию: {}

connection_timeout

integer

Время ожидания установления соединения в секундах, после которого попытка завершается ошибкой.

Для этого параметра можно использовать значение шаблона Jinja2.

По умолчанию: 5

Конфигурация:

• Переменная среды: MICROSOFT_AD_LDAP_CONNECTION_TIMEOUT

encrypt

boolean

Требуется ли шифрование соединения.

Шифрование может выполняться с помощью протокола аутентификации или TLS.

Протоколы auth_protocol negotiate, kerberos и ntlm поддерживают шифрование через LDAP, а simple — нет.

При использовании auth_protocol=simple через LDAP без TLS необходимо установить значение False. В этом случае трафик не шифруется и передаётся в открытом виде, поэтому такой режим не рекомендуется.

Для этого параметра можно использовать значение шаблона Jinja2.

Варианты:

• false
• true ← (по умолчанию)

Конфигурация:

• Переменная среды: MICROSOFT_AD_LDAP_ENCRYPT

filter

string

Строка фильтра LDAP для запроса объектов компьютеров.

По умолчанию она объединяется с фильтром «(objectCategory=computer)». Используйте filter_without_computer, чтобы переопределить это поведение и применять только фильтр filter.

filter_without_computer

boolean

добавлено в microsoft.ad 1.3.0

Не объединять значение filter с фильтром по умолчанию «(objectCategory=computer)».

В большинстве случаев следует указать false, но можно установить true, чтобы использовать только заданное значение filter.

Варианты:

• false ← (по умолчанию)
• true

groups

dictionary

Добавление узлов в группы на основе условий Jinja2.

По умолчанию: {}

keyed_groups

list / elements=dictionary

Добавление узлов в группы на основе значений переменной.

По умолчанию: []

default_value

string

добавлено в ansible-core 2.12

Значение по умолчанию, если значение переменной узла равно None или является пустой строкой.

Этот параметр нельзя использовать одновременно с keyed_groups[].trailing_separator.

key

string

Ключ входного словаря, используемый для создания групп.

parent_group

string

Родительская группа для группы, создаваемой по ключу.

prefix

string

Имя группы, создаваемой по ключу, будет начинаться с этого префикса.

По умолчанию: ""

separator

string

Разделитель, используемый для формирования имени группы по ключу.

По умолчанию: "_"

trailing_separator

boolean

добавлено в ansible-core 2.12

Установите для этого параметра значение false, чтобы не добавлять keyed_groups[].separator после переменной узла, если её значение равно None или является пустой строкой.

Этот параметр нельзя использовать одновременно с keyed_groups[].default_value.

Варианты:

• false
• true ← (по умолчанию)

leading_separator

boolean

добавлено в ansible-core 2.11

Используйте вместе с keyed_groups.

По умолчанию имя группы, создаваемой по ключу, начинается с подчёркивания, если для неё не указан префикс или разделитель.

Это связано с тем, что префикс по умолчанию — "", а разделитель по умолчанию — "_".

Установите для этого параметра значение false, чтобы не добавлять начальное подчёркивание (или другой разделитель), если префикс не указан.

Если имя группы формируется на основе сопоставления, разделитель всё равно используется для объединения элементов.

Чтобы вообще не использовать разделитель в имени группы, задайте для группы по ключу пустую строку в качестве разделителя.

Варианты:

• false
• true ← (по умолчанию)

password

string

Пароль для аутентификации.

Если для auth_protocol задано simple, а пароль не указан, привязка будет выполнена без аутентификации.

Если для auth_protocol задано negotiate, kerberos или ntlm, а пароль не указан, будет предпринята попытка использовать локальные кэшированные учётные данные, указанные в username, если они доступны.

Для этого параметра можно использовать значение шаблона Jinja2.

Конфигурация:

• Переменная среды: MICROSOFT_AD_LDAP_PASSWORD

port

integer

Порт LDAP, используемый для соединения.

Для LDAP используется порт 389, а для LDAPS — порт 686.

По умолчанию используется порт 636, если tls_mode=ldaps, иначе — 389.

Для этого параметра можно использовать значение шаблона Jinja2.

Конфигурация:

• Переменная среды: MICROSOFT_AD_LDAP_PORT

search_base

string

База поиска LDAP, в которой выполняется поиск объектов компьютеров.

Если параметр не указан, по умолчанию используется defaultNamingContext сервера Active Directory.

При поиске в большой базе данных Active Directory рекомендуется сузить базу поиска, чтобы ускорить выполнение запросов.

search_scope

string

Область поиска LDAP.

base выполняет поиск только по текущему пути или объекту, указанному в search_base. Обычно этот вариант не подходит для плагинов инвентаризации.

one_level выполняет поиск только по непосредственным дочерним объектам в search_base.

subtree выполняет поиск по непосредственным дочерним и всем вложенным объектам в search_base.

Варианты:

• "base"
• "one_level"
• "subtree" ← (по умолчанию)

server

string

Контроллер домена/сервер, к которому выполняется подключение.

Если сервер не указан, он определяется на основе текущей настройки default_realm в krb5.conf и с помощью DNS-запроса SRV.

Дополнительные сведения см. в разделе Поиск сервера.

Для этого параметра можно использовать значение шаблона Jinja2.

Конфигурация:

• Переменная среды: MICROSOFT_AD_LDAP_SERVER

strict

boolean

Если задано yes, недопустимые записи приводят к критической ошибке; в противном случае они пропускаются, и выполнение продолжается.

Поскольку в выражениях можно использовать факты, они могут быть доступны не всегда; по умолчанию такие ошибки игнорируются.

Варианты:

• false ← (по умолчанию)
• true

tls_mode

string

Используемая операция TLS.

Если для port явно задано значение 636, по умолчанию используется ldaps.

ldaps устанавливает соединение через LDAPS (порт 636).

start_tls устанавливает соединение через LDAP (порт 389) и выполняет операцию StartTLS перед привязкой для аутентификации.

Если планируется использовать TLS, рекомендуется выбрать ldaps вместо start_tls.

Для этого параметра можно использовать значение шаблона Jinja2.

Варианты:

• "ldaps"
• "start_tls"

Конфигурация:

• Переменная среды: MICROSOFT_AD_LDAP_TLS_MODE

use_extra_vars

boolean

добавлено в ansible-core 2.11

Объединить дополнительные переменные с доступными переменными для формирования значений (наивысший приоритет).

Варианты:

• false ← (по умолчанию)
• true

Конфигурация:

• Запись INI:

  [inventory_plugins]
  use_extra_vars = false
  

• Переменная среды: ANSIBLE_INVENTORY_USE_EXTRA_VARS

username

string

Имя пользователя для аутентификации.

Если для auth_protocol задано simple, а имя пользователя не указано, используется анонимная аутентификация.

Если для auth_protocol задано negotiate, kerberos или ntlm, а имя пользователя не указано, будет предпринята попытка использовать локальные кэшированные учётные данные, если они доступны, например полученные с помощью kinit.

Для этого параметра можно использовать значение шаблона Jinja2.

Конфигурация:

• Переменная среды: MICROSOFT_AD_LDAP_USERNAME