azure.azcollection.azure_rm_securitygroup – Управление группами безопасности Azure сети

Примечание

Этот плагин является частью коллекции azure.azcollection (версия 1.3.1).

Для его установки используйте: ansible-galaxy collection install azure.azcollection.

Для использования в плейбуке укажите: azure.azcollection.azure_rm_securitygroup.

Введено в версии 0.1.0: of azure.azcollection

Обзор
Требования
Параметры
Примечания
См. также
Примеры
Возвращаемые значения

Обзор

Создание, обновление или удаление группы безопасности сети.
Группа безопасности содержит правила списка управления доступом (ACL), которые разрешают или запрещают сетевой трафик для подсетей или отдельных сетевых интерфейсов.
Группа безопасности создается с набором правил безопасности по умолчанию и пустым набором правил безопасности.
Настройте поток трафика, добавив правила к пустому набору правил безопасности.

Требования

Ниже перечислены требования к хосту, на котором выполняется этот модуль.

python >= 2.7
azure >= 2.0.0

Параметры

Параметр		Варианты/Значения по умолчанию	Комментарии
ad_user строка			Имя пользователя Active Directory. Используйте при аутентификации с пользователем Active Directory, а не с принципалом службы.
adfs_authority_url строка добавлен в 0.0.1 azure.azcollection			URL авторизации Azure AD. Используйте при аутентификации с именем пользователя/паролем и собственной авторизацией ADFS.
api_profile строка добавлен в 0.0.1 azure.azcollection		По умолчанию: "latest"	Выбирает профиль API для взаимодействия с Azure-сервисами. Значение по умолчанию `latest` подходит для общедоступных облаков; будущие значения позволят использовать Azure Stack.
append_tags логическое		Варианты: no да ←	Управляет тем, является ли поле тегов каноническим или оно просто добавляется к существующим тегам. Когда канонический, любые теги, отсутствующие в параметре тегов, будут удалены из метаданных объекта.
auth_source строка добавлен в 0.0.1 azure.azcollection		Варианты: auto ← cli credential_file env msi	Управляет источником учетных данных для аутентификации. Также может быть задан через переменную среды `ANSIBLE_AZURE_AUTH_SOURCE`. При установке в `auto` (по умолчанию) приоритет: параметры модуля -> `env` -> `credential_file` -> `cli`. При установке в `env`, учетные данные будут считываться из переменных окружения. При установке в `credential_file`, он будет читать профиль из `~/.azure/credentials`. При установке в `cli`, учетные данные будут взяты из профиля Azure CLI. `subscription_id` или переменная среды `AZURE_SUBSCRIPTION_ID` могут использоваться для определения идентификатора подписки, если их несколько, в противном случае используется стандартная подписка az cli. При установке в `msi`, хост-машина должна быть Azure-ресурсом с включенной расширенной MSI. `subscription_id` или переменная среды `AZURE_SUBSCRIPTION_ID` могут использоваться для определения идентификатора подписки, если ресурсу предоставлен доступ к нескольким подпискам; в противном случае выбирается первая подписка. `msi` был добавлен в Ansible 2.6.
cert_validation_mode строка добавлен в 0.0.1 azure.azcollection		Варианты: ignore validate	Управляет поведением проверки сертификатов для Azure-точек доступа. По умолчанию все модули проверяют серверный сертификат, но при использовании прокси-сервера HTTPS или при работе с Azure Stack может потребоваться отключить это поведение, передав `ignore`. Также может быть задано через профиль файла учетных данных или переменную среды `AZURE_CERT_VALIDATION`.
client_id строка			Идентификатор клиента Azure. Используйте при аутентификации с принципалом службы.
cloud_environment строка добавлен в 0.0.1 azure.azcollection		По умолчанию: "AzureCloud"	Для облачных сред, отличных от общедоступного облака США, используется имя среды (определяемое Azure Python SDK, например, `AzureChinaCloud`, `AzureUSGovernment`), или URL-адрес точки доступа к метаданным (необходим для Azure Stack). Также может быть задан через профиль файла учетных данных или переменную среды `AZURE_CLOUD_ENVIRONMENT`.
default_rules строка			Набор правил по умолчанию, автоматически добавляемых в группу безопасности при создании. В целом, правила по умолчанию не будут изменяться. Изменяйте правила для управления потоком трафика в подсеть или сетевую карту. См. правила ниже для структуры словаря правил.
location строка			Допустимое расположение Azure. По умолчанию соответствует расположению группы ресурсов.
name строка			Имя группы безопасности, с которой нужно взаимодействовать.
password строка			Пароль пользователя Active Directory. Используйте при аутентификации с пользователем Active Directory, а не с принципалом службы.
profile строка			Профиль безопасности в файле ~/.azure/credentials.
purge_default_rules логическое		Варианты: нет ← да	Удаляет любые существующие правила, не соответствующие параметру default_rules.
purge_rules логическое		Варианты: нет ← да	Удаляет любые существующие правила, не соответствующие параметрам правил.
resource_group строка / обязательно			Имя группы ресурсов, к которой принадлежит группа безопасности.
rules строка			Набор правил, определяющих поток трафика в подсеть или сетевую карту. Каждое правило — словарь.
	access строка	Варианты: Разрешить ← Запретить	Разрешить или запретить поток трафика.
	description строка		Краткое описание назначения правила.
	destination_address_prefix строка	По умолчанию: "*"	Префикс адреса назначения. CIDR или диапазон адресов назначения. Звездочка `*` также может использоваться для соответствия всем адресам источника. Также могут использоваться стандартные теги, такие как `VirtualNetwork`, `AzureLoadBalancer` и `Internet`. Может принимать строковый тип или список строковых типов.
	destination_application_security_groups список / элементы=строка		Список целевых групп безопасности приложений. Может быть списком идентификаторов ресурсов. Может быть списком имён в одной группе ресурсов. Может быть списком словарей, содержащих resource_group и name. Взаимоисключающие с `destination_address_prefix` и `destination_address_prefixes`.
	destination_port_range строка	По умолчанию: "*"	Порт или диапазон портов, в которые направляется трафик. Может принимать строковый тип или список строковых типов.
	direction строка	Варианты: Входящий ← Исходящий	Указывает направление потока трафика.
	name строка / обязательно		Уникальное имя правила.
	priority строка / обязательно		Порядок применения правила. Должно быть уникальным целым числом от 100 до 4096 включительно.
	protocol строка	Варианты: Udp Tcp Icmp * ←	Поддерживаемый протокол трафика.
	source_address_prefix строка	По умолчанию: "*"	CIDR или диапазон адресов источника. Звездочка `*` также может использоваться для соответствия всем адресам источника. Также могут использоваться стандартные теги, такие как `VirtualNetwork`, `AzureLoadBalancer` и `Internet`. Если это правило входа, указывает, откуда происходит сетевой трафик. Может принимать строковый тип или список строковых типов.
	source_application_security_groups список / элементы=строка		Список исходных групп безопасности приложений. Может быть списком идентификаторов ресурсов. Может быть списком имён в одной группе ресурсов. Может быть списком словарей, содержащих resource_group и name. Взаимоисключающие с `source_address_prefix` и `source_address_prefixes`.
	source_port_range строка	По умолчанию: "*"	Порт или диапазон портов, из которых исходит трафик. Может принимать строковый тип или список строковых типов.
secret строка			Секрет клиента Azure. Используйте при аутентификации с принципалом службы.
state строка		Варианты: absent present ←	Утверждение состояния группы безопасности. Установите в `present` для создания или обновления группы безопасности. Установите в `absent` для удаления группы безопасности.
subscription_id строка			Ваш идентификатор подписки Azure.
tags словарь			Словарь пар строка:строка для назначения в качестве метаданных объекту. Метаданные теги объекта будут обновлены любыми предоставленными значениями. Для удаления тегов установите параметр append_tags в false.

tenant

string

Идентификатор Azure-тенанта. Используется при аутентификации с помощью Служебного принципала.

Примечания

Примечание

Для аутентификации в Azure вы можете передать параметры, установить переменные среды, использовать профиль, сохранённый в ~/.azure/credentials, или войти в систему перед запуском задач или книги команд с помощью az login.
Аутентификация также возможна с помощью служебного принципала или пользователя Active Directory.
Для аутентификации через служебного принципала передайте subscription_id, client_id, secret и tenant или установите переменные среды AZURE_SUBSCRIPTION_ID, AZURE_CLIENT_ID, AZURE_SECRET и AZURE_TENANT.
Для аутентификации через пользователя Active Directory передайте ad_user и password или установите AZURE_AD_USER и AZURE_PASSWORD в среде.
В качестве альтернативы данные учетных данных можно сохранить в ~/.azure/credentials. Это ini-файл, содержащий раздел [default] и следующие ключи: subscription_id, client_id, secret и tenant или subscription_id, ad_user и password. Также можно добавить дополнительные профили. Укажите профиль, передав profile или установив AZURE_PROFILE в среде.

См. также

Вход в Azure CLI: Как выполнить аутентификацию с помощью команды az login.

Примеры

# Create a security group
- azure_rm_securitygroup:
      resource_group: myResourceGroup
      name: mysecgroup
      purge_rules: yes
      rules:
          - name: DenySSH
            protocol: Tcp
            destination_port_range: 22
            access: Deny
            priority: 100
            direction: Inbound
          - name: 'AllowSSH'
            protocol: Tcp
            source_address_prefix:
              - '174.109.158.0/24'
              - '174.109.159.0/24'
            destination_port_range: 22
            access: Allow
            priority: 101
            direction: Inbound
          - name: 'AllowMultiplePorts'
            protocol: Tcp
            source_address_prefix:
              - '174.109.158.0/24'
              - '174.109.159.0/24'
            destination_port_range:
              - 80
              - 443
            access: Allow
            priority: 102

# Update rules on existing security group
- azure_rm_securitygroup:
      resource_group: myResourceGroup
      name: mysecgroup
      rules:
          - name: DenySSH
            protocol: Tcp
            destination_port_range: 22-23
            access: Deny
            priority: 100
            direction: Inbound
          - name: AllowSSHFromHome
            protocol: Tcp
            source_address_prefix: '174.109.158.0/24'
            destination_port_range: 22-23
            access: Allow
            priority: 102
            direction: Inbound
      tags:
          testing: testing
          delete: on-exit

# Create a securiy group with I(protocol=Icmp)
- azure_rm_securitygroup:
    name: mysecgroup
    resource_group: myResourceGroup
    rules:
      - name: SSH
        protocol: Tcp
        destination_port_range: 22
        access: Allow
        priority: 105
        direction: Inbound
      - name: ICMP
        protocol: Icmp
        priority: 106

# Delete security group
- azure_rm_securitygroup:
      resource_group: myResourceGroup
      name: mysecgroup
      state: absent

Возвращаемые значения

Общие возвращаемые значения документированы здесь, следующие поля уникальны для данного модуля:

Ключ		Возвращается	Описание
state complex		всегда	Текущее состояние группы безопасности.
	default_rules list / elements=string	всегда	Основные правила безопасности группы сетевой безопасности. Пример: [{'access': 'Allow', 'description': 'Разрешить входящий трафик со всех ВМ в VNET', 'destination_address_prefix': 'VirtualNetwork', 'destination_port_range': '', 'direction': 'Inbound', 'etag': 'W/"edf48d56-b315-40ca-a85d-dbcb47f2da7d"', 'id': '/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroup/myResourceGroup/providers/Microsoft.Network/networkSecurityGroups/mysecgroup/defaultSecurityRules/AllowVnetInBound', 'name': 'AllowVnetInBound', 'priority': 65000, 'protocol': '', 'provisioning_state': 'Succeeded', 'source_address_prefix': 'VirtualNetwork', 'source_port_range': ''}, {'access': 'Allow', 'description': 'Разрешить входящий трафик от балансировщика нагрузки Azure', 'destination_address_prefix': '', 'destination_port_range': '', 'direction': 'Inbound', 'etag': 'W/"edf48d56-b315-40ca-a85d-dbcb47f2da7d"', 'id': '/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroup/myResourceGroup/providers/Microsoft.Network/networkSecurityGroups/mysecgroup/defaultSecurityRules/AllowAzureLoadBalancerInBound', 'name': 'AllowAzureLoadBalancerInBound', 'priority': 65001, 'protocol': '', 'provisioning_state': 'Succeeded', 'source_address_prefix': 'AzureLoadBalancer', 'source_port_range': ''}, {'access': 'Deny', 'description': 'Заблокировать весь входящий трафик', 'destination_address_prefix': '', 'destination_port_range': '', 'direction': 'Inbound', 'etag': 'W/"edf48d56-b315-40ca-a85d-dbcb47f2da7d"', 'id': '/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroup/myResourceGroup/providers/Microsoft.Network/networkSecurityGroups/mysecgroup/defaultSecurityRules/DenyAllInBound', 'name': 'DenyAllInBound', 'priority': 65500, 'protocol': '', 'provisioning_state': 'Succeeded', 'source_address_prefix': '', 'source_port_range': ''}, {'access': 'Allow', 'description': 'Разрешить исходящий трафик со всех ВМ всем ВМ в VNET', 'destination_address_prefix': 'VirtualNetwork', 'destination_port_range': '', 'direction': 'Outbound', 'etag': 'W/"edf48d56-b315-40ca-a85d-dbcb47f2da7d"', 'id': '/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroup/myResourceGroup/providers/Microsoft.Network/networkSecurityGroups/mysecgroup/defaultSecurityRules/AllowVnetOutBound', 'name': 'AllowVnetOutBound', 'priority': 65000, 'protocol': '', 'provisioning_state': 'Succeeded', 'source_address_prefix': 'VirtualNetwork', 'source_port_range': ''}, {'access': 'Allow', 'description': 'Разрешить исходящий трафик со всех ВМ в Интернет', 'destination_address_prefix': 'Internet', 'destination_port_range': '', 'direction': 'Outbound', 'etag': 'W/"edf48d56-b315-40ca-a85d-dbcb47f2da7d"', 'id': '/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroup/myResourceGroup/providers/Microsoft.Network/networkSecurityGroups/mysecgroup/defaultSecurityRules/AllowInternetOutBound', 'name': 'AllowInternetOutBound', 'priority': 65001, 'protocol': '', 'provisioning_state': 'Succeeded', 'source_address_prefix': '', 'source_port_range': ''}, {'access': 'Deny', 'description': 'Заблокировать весь исходящий трафик', 'destination_address_prefix': '', 'destination_port_range': '', 'direction': 'Outbound', 'etag': 'W/"edf48d56-b315-40ca-a85d-dbcb47f2da7d"', 'id': '/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroup/myResourceGroup/providers/Microsoft.Network/networkSecurityGroups/mysecgroup/defaultSecurityRules/DenyAllOutBound', 'name': 'DenyAllOutBound', 'priority': 65500, 'protocol': '', 'provisioning_state': 'Succeeded', 'source_address_prefix': '', 'source_port_range': ''}]
	id string	всегда	Идентификатор ресурса. Пример: /subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroup/myResourceGroup/providers/Microsoft.Network/networkSecurityGroups/mysecgroup
	location string	всегда	Расположение ресурса. Пример: westus
	name string	всегда	Имя группы безопасности. Пример: mysecgroup
	network_interfaces list / elements=string	всегда	Коллекция ссылок на сетевые интерфейсы.
	rules list / elements=string	всегда	Коллекция правил безопасности группы сетевой безопасности. Пример: [{'access': 'Deny', 'description': None, 'destination_address_prefix': '', 'destination_port_range': '22', 'direction': 'Inbound', 'etag': 'W/"edf48d56-b315-40ca-a85d-dbcb47f2da7d"', 'id': '/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroup/myResourceGroup/providers/Microsoft.Network/networkSecurityGroups/mysecgroup/securityRules/DenySSH', 'name': 'DenySSH', 'priority': 100, 'protocol': 'Tcp', 'provisioning_state': 'Succeeded', 'source_address_prefix': '', 'source_port_range': ''}, {'access': 'Allow', 'description': None, 'destination_address_prefix': '', 'destination_port_range': '22', 'direction': 'Inbound', 'etag': 'W/"edf48d56-b315-40ca-a85d-dbcb47f2da7d"', 'id': '/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroup/myResourceGroup/providers/Microsoft.Network/networkSecurityGroups/mysecgroup/securityRules/AllowSSH', 'name': 'AllowSSH', 'priority': 101, 'protocol': 'Tcp', 'provisioning_state': 'Succeeded', 'source_address_prefix': '174.109.158.0/24', 'source_port_range': '*'}]
	subnets list / elements=string	всегда	Коллекция ссылок на подсети.
	tags dictionary	всегда	Теги для назначения группе безопасности. Пример: {'delete': 'on-exit', 'foo': 'bar', 'testing': 'testing'}
	type string	всегда	Тип ресурса. Пример: Microsoft.Network/networkSecurityGroups

Авторы

Chris Houseknecht (@chouseknecht)
Matt Davis (@nitzmahone)

© 2012–2018 Michael DeHaan
© 2018–2019 Red Hat, Inc.
Licensed under the GNU General Public License version 3.
https://docs.ansible.com/ansible/2.10/collections/azure/azcollection/azure_rm_securitygroup_module.html