модуль microsoft.ad.ou — управление подразделениями Active Directory

attributes

dictionary

Атрибуты объекта AD, которые нужно добавить, удалить или задать.

Значение каждого параметра атрибута должно быть словарём, где ключ — это атрибут LDAP, например firstName, comment, а значение — одно или несколько значений, которые нужно задать для этого атрибута.

Значения атрибутов могут быть необработанными строками, целыми числами или логическими значениями, которые нужно добавить, удалить или задать для соответствующего атрибута.

Значением также может быть словарь с ключом type, которому присвоено bytes, date_time, security_descriptor или raw, и значением этой записи под ключом value.

Для типа bytes значение представляет собой строку в кодировке base64 с необработанными байтами, которые нужно задать.

Для типа date_time значение представляет собой строку даты и времени в формате ISO 8601. Дата и время будут заданы как целое значение Microsoft FILETIME — количество интервалов по 100 наносекунд с 1601-01-01 в UTC.

Для типа security_descriptor значение представляет собой строку SDDL дескриптора безопасности, используемую для атрибута nTSecurityDescriptor.

Для типа raw задаваемым значением является целое число, строка или логическое значение.

Строковые значения атрибутов сравниваются с учётом регистра с соответствующим значением в управляемом объекте AD.

Дополнительную информацию см. в разделе Справка по атрибутам LDAP.

По умолчанию: {}

add

dictionary

Словарь всех атрибутов и их значений, которые нужно добавить в управляемый объект AD, если они ещё не заданы.

Используется для атрибутов, которые могут содержать несколько значений. Если атрибут допускает только одно значение, используйте вместо этого set.

По умолчанию: {}

remove

dictionary

Словарь всех атрибутов и их значений, которые нужно удалить из управляемого объекта AD, если они заданы.

Используется для атрибутов, которые могут содержать несколько значений. Если атрибут допускает только одно значение, используйте вместо этого set.

По умолчанию: {}

set

dictionary

Словарь всех атрибутов и их значений, которые нужно задать для управляемого объекта AD.

Если существующие значения не совпадают с указанными, они будут заменены.

Порядок значений атрибутов не проверяется; проверяется только то, что у атрибута объекта заданы исключительно указанные значения.

Установите для этого параметра значение null или пустой список, чтобы очистить все значения атрибута.

По умолчанию: {}

city

string

Задаёт город пользователя.

Это значение атрибута LDAP l.

country

string

Задаёт код страны пользователя.

Обратите внимание: это двухсимвольный код ISO 3166.

Это значение атрибута LDAP c.

description

string

Описание, которое нужно задать для объекта AD.

Это значение атрибута LDAP description.

display_name

string

Отображаемое имя, которое нужно задать для объекта AD.

Это значение атрибута LDAP displayName.

domain_credentials

list / elements=dictionary

Указывает учётные данные, которые следует использовать при работе с сервером, заданным параметром name.

Чтобы указать учётные данные для сервера домена по умолчанию, используйте запись без ключа name или параметры domain_username и domain_password.

Этот параметр можно задать в значениях модулей по умолчанию для плейбука в группе group/microsoft.ad.domain.

Дополнительную информацию см. в разделе Аутентификация AD в модулях.

По умолчанию: []

name

string

Имя сервера, для которого предназначены эти учётные данные.

Это значение должно соответствовать значению, используемому в других параметрах, указывающих пользовательский сервер, например в параметре, ссылающемся на объект AD, расположенный на другом сервере AD.

Этот ключ можно опустить в одной из записей, чтобы указать учётные данные по умолчанию для случаев, когда сервер не задан, вместо использования domain_username и domain_password.

password

string / обязательный

Пароль для подключения к серверу, заданному параметром name.

username

string / обязательный

Имя пользователя для подключения к серверу, заданному параметром name.

domain_password

string

Пароль для domain_username.

Для указания учётных данных по умолчанию для аутентификации в домене также можно использовать вложенную запись domain_credentials без ключа name.

Этот параметр можно задать в значениях модулей по умолчанию для плейбука в группе group/microsoft.ad.domain.

domain_server

string

Указывает экземпляр служб домена Active Directory, к которому необходимо подключиться.

Значение может быть полным доменным именем (FQDN) или именем NetBIOS.

Если значение не указано, используется домен по умолчанию компьютера, на котором запущен PowerShell.

Пользовательские учётные данные можно указать во вложенной записи domain_credentials без ключа name либо с помощью domain_username и domain_password.

Этот параметр можно задать в значениях модулей по умолчанию для плейбука в группе group/microsoft.ad.domain.

domain_username

string

Имя пользователя для работы с AD.

Если этот параметр не задан, для аутентификации используется пользователь подключения.

Ansible не сможет использовать пользователя подключения, если для аутентификации не используется Kerberos с делегированием учётных данных или CredSSP и если для задачи не используется become.

Для указания учётных данных по умолчанию для аутентификации в домене также можно использовать вложенную запись domain_credentials без ключа name.

Этот параметр можно задать в значениях модулей по умолчанию для плейбука в группе group/microsoft.ad.domain.

identity

string

Идентификатор объекта AD, используемый для поиска управляемого объекта AD.

Этот параметр необходимо задать, если не указан name, при переименовании объекта с помощью нового значения name или при перемещении объекта в другой path.

Идентификатором может быть GUID, представляющий значение objectGUID, userPrincipalName, sAMAccountName, objectSid или distinguishedName.

Если параметр не указан, управляемый объект AD выбирается по distinguishedName с использованием формата CN={{ name }},{{ path }}. Если параметр path не задан, вместо него используется defaultNamingContext.

При использовании модуля microsoft.ad.computer к концу sAMAccountName автоматически добавляется $, если предоставленное значение не привело к совпадению и уже не оканчивалось на $.

managed_by

any

Пользователь или группа, управляющие объектом.

Значением может быть строка в формате distinguishedName, objectGUID, objectSid, sAMAccountName или userPrincipalName либо словарь с ключом name и необязательным ключом server.

Это значение атрибута LDAP managedBy.

Дополнительную информацию о поиске DN см. в разделе Атрибуты поиска DN.

name

string

name объекта AD, которым нужно управлять. Это не sAMAccountName объекта, а запись LDAP cn или name объекта по указанному пути. Используйте identity, чтобы выбрать объект для управления по его sAMAccountName.

Если задан параметр identity и имя найденного по этому идентификатору объекта не совпадает с этим значением, объект будет переименован.

Этот параметр необходимо задать, если не указан identity.

path

string

Путь к подразделению или контейнеру, в котором должен находиться новый объект.

При создании нового объекта он будет создан по указанному пути. Если путь не задан, для большинства типов объектов в качестве пути будет использоваться defaultNamingContext домена.

При управлении существующим объектом, найденным по параметру identity, найденный объект будет перемещён по пути, указанному этим параметром. Если путь не указан, объект не будет перемещён.

Модули microsoft.ad.computer, microsoft.ad.user и microsoft.ad.group имеют собственный путь по умолчанию, настроенный на контроллере домена Active Directory.

Для этого параметра можно задать буквальное значение microsoft.ad.default_path, которое соответствует значению по умолчанию, используемому при создании нового объекта.

postal_code

string

Задаёт почтовый индекс пользователя.

Это значение атрибута LDAP postalcode.

protect_from_deletion

boolean

Помечает объект как защищённый от случайного удаления.

Устанавливает запрет на удаление объекта обычным способом. Чтобы удалить объект через графический интерфейс или другой инструмент, не связанный с Ansible, сначала необходимо снять защиту.

При использовании state=absent объект AD всё равно будет удалён, даже если он помечен как защищённый от удаления.

Варианты:

• false
• true

state

string

Задайте значение present, чтобы обеспечить существование объекта AD.

Задайте значение absent, чтобы удалить объект AD, если он существует.

Если задано state=present, необходимо указать параметр name.

При использовании absent объект AD будет удалён рекурсивно вместе со всеми дочерними объектами, если он является контейнером. Объект AD также будет удалён, даже если он помечен как защищённый от случайного удаления.

Варианты:

• "absent"
• "present" ← (по умолчанию)

state_province

string

Задаёт штат или регион пользователя.

Это значение атрибута LDAP state.

street

string

Задаёт почтовый адрес пользователя.

Это значение атрибута LDAP street.

check_mode

Поддержка: полная

Модуль может выполняться в режиме check_mode и возвращать прогноз изменения состояния без изменения целевого узла; если режим не поддерживается, действие будет пропущено.

diff_mode

Поддержка: полная

В режиме diff возвращаются сведения об изменениях (или о возможных изменениях в режиме check_mode).

platform

Платформа: windows

Целевые ОС и семейства ОС, с которыми можно работать.

distinguished_name

string

distinguishedName созданного, удалённого или изменённого объекта AD.

Возвращается: всегда

Пример: "CN=TestUser,CN=Users,DC=domain,DC=test"

object_guid

string

objectGUID созданного, удалённого или изменённого объекта AD.

Если в режиме check mode создаётся новый объект, будет возвращён GUID, состоящий из нулей.

Возвращается: всегда

Пример: "d84a141f-2b99-4f08-9da0-ed2d26864ba1"