azure_rm_securitygroup – Управление группами безопасности Azure сети

Новая версия 2.1.

Описание
Требования
Параметры
Примечания
См. также
Примеры
Возвращаемые значения
Статус

Описание

Создать, обновить или удалить группу безопасности сети. Группа безопасности содержит правила списка управления доступом (ACL), которые разрешают или запрещают сетевой трафик для подсетей или отдельных сетевых интерфейсов. Группа безопасности создается с набором правил безопасности по умолчанию и пустым набором правил безопасности. Направляйте поток трафика, добавляя правила к пустому набору правил безопасности.

Требования

Ниже перечислены требования к хосту, на котором выполняется этот модуль.

python >= 2.7
azure >= 2.0.0

Параметры

Параметр		Варианты/Значения по умолчанию	Комментарии
ad_user строка			Имя пользователя Active Directory. Используется при аутентификации с пользователем Active Directory, а не с главным субъектом службы.
adfs_authority_url строка добавлен в 2.6			URL-адрес полномочий Azure AD. Используется при аутентификации с именем пользователя/паролем и собственной службой ADFS.
api_profile строка добавлен в 2.5		Значение по умолчанию: "latest"	Выбирает профиль API для использования при взаимодействии с Azure-сервисами. Значение по умолчанию `latest` подходит для общедоступных облаков; будущие значения позволят использовать с Azure Stack.
append_tags логическое значение		Варианты: нет да ←	Используется для управления тем, является ли поле тегов каноническим или оно просто добавляется к существующим тегам. При каноническом значении любые теги, отсутствующие в параметре тегов, будут удалены из метаданных объекта.
auth_source строка добавлен в 2.5		Варианты: авто cli credential_file env msi	Управляет источником учетных данных, используемых для аутентификации. Если не указано, будет использована переменная среды ANSIBLE_AZURE_AUTH_SOURCE, по умолчанию `auto` если переменная не определена. `auto` будет следовать стандартному приоритету параметров модуля -> переменные среды -> профилю по умолчанию в файле учетных данных `~/.azure/credentials`. При установке в `cli`, учетные данные будут получены из профиля Azure CLI по умолчанию. Также может быть задано через переменную среды `ANSIBLE_AZURE_AUTH_SOURCE`. При установке в `msi`, хост-машина должна быть Azure-ресурсом с включенным расширением MSI. `subscription_id` или переменная среды `AZURE_SUBSCRIPTION_ID` можно использовать для идентификации идентификатора подписки, если ресурсу предоставлен доступ к нескольким подпискам, в противном случае выбирается первая подписка. `msi` был добавлен в Ansible 2.6.
cert_validation_mode строка добавлен в 2.5		Варианты: ignore validate	Управляет поведением проверки сертификатов для Azure-точке. По умолчанию все модули проверяют серверный сертификат, но при использовании HTTPS-прокси или при работе с Azure Stack может потребоваться отключить это поведение, передав `ignore`. Также может быть задано через профиль файла учетных данных или переменную среды `AZURE_CERT_VALIDATION`.
client_id строка			Идентификатор клиента Azure. Используется при аутентификации с помощью главного субъекта службы.
cloud_environment строка добавлен в 2.4		Значение по умолчанию: "AzureCloud"	Для облачных сред, отличных от общедоступного облака США, имя среды (как определено в Azure Python SDK, например, `AzureChinaCloud`, `AzureUSGovernment`) или URL-адрес конечной точки обнаружения метаданных (требуется для Azure Stack). Также может быть задано через профиль файла учетных данных или переменную среды `AZURE_CLOUD_ENVIRONMENT`.
default_rules -			Набор правил по умолчанию, автоматически добавляемых в группу безопасности при создании. Как правило, правила по умолчанию не изменяются. Измените правила, чтобы сформировать поток трафика к подсети или сетевой карте. См. правила ниже для состава словаря правил.
location -			Действительное расположение Azure. По умолчанию соответствует расположению группы ресурсов.
name -			Имя группы безопасности, с которой нужно работать.
password -			Пароль пользователя Active Directory. Используется при аутентификации с пользователем Active Directory, а не с главным субъектом службы.
profile строка			Профиль безопасности, найденный в файле ~/.azure/credentials.
purge_default_rules логическое значение		Варианты: нет ← да	Удаляет любые существующие правила, не соответствующие параметру default_rules.
purge_rules логическое значение		Варианты: нет ← да	Удаляет любые существующие правила, не соответствующие параметрам правил.
resource_group - / обязательно			Имя группы ресурсов, к которой принадлежит группа безопасности.
rules -			Набор правил, определяющих поток трафика к подсети или сетевой карте. Каждое правило — словарь.
	access -	Варианты: Разрешить ← Запретить	Разрешить или запретить поток трафика.
	description -		Краткое описание назначения правила.
	destination_address_prefix -	Значение по умолчанию: "*"	Префикс адреса назначения. CIDR или диапазон IP-адресов назначения. Звёздочка `*` также может использоваться для сопоставления всех исходных IP-адресов. Также можно использовать теги по умолчанию, такие как `VirtualNetwork`, `AzureLoadBalancer` и `Internet`. Может принимать тип данных строка или список строк.
	destination_application_security_groups список		Список целевых групп безопасности приложений. Может быть списком идентификаторов ресурсов. Может быть списком имён в той же группе ресурсов. Может быть списком словарей, содержащих resource_group и name. Взаимоисключающее с `destination_address_prefix` и `destination_address_prefixes`.
	destination_port_range -	Значение по умолчанию: "*"	Порт или диапазон портов, в которые направляется трафик. Может принимать тип данных строка или список строк.
	direction -	Варианты: Входящий ← Исходящий	Указывает направление потока трафика.
	name - / обязательно		Уникальное имя правила.
	priority - / обязательно		Порядок применения правила. Должен быть уникальным целым числом от 100 до 4096 включительно.
	protocol -	Варианты: Udp Tcp * ←	Принятый протокол трафика.
	source_address_prefix -	Значение по умолчанию: "*"	CIDR или диапазон исходных IP-адресов. Звёздочка `*` также может использоваться для сопоставления всех исходных IP-адресов. Также можно использовать теги по умолчанию, такие как `VirtualNetwork`, `AzureLoadBalancer` и `Internet`. Если это правило входа, указывает, откуда происходит сетевой трафик. Может принимать тип данных строка или список строк.

	source_application_security_groups list		Список групп безопасности приложений-источников. Это может быть список идентификаторов ресурсов. Это может быть список имён в той же группе ресурсов. Это может быть список словарей, содержащих resource_group и имя. Это взаимоисключающее с `source_address_prefix` и `source_address_prefixes`.
	source_port_range -	По умолчанию: "*"	Порт или диапазон портов, из которых исходит трафик. Может принимать строковый тип или список строковых типов.
secret string			Секрет Azure клиента. Используется при аутентификации с помощью Служебного принципала.
state -		Варианты: absent present ←	Утверждение состояния группы безопасности. Установите значение `present`, чтобы создать или обновить группу безопасности. Установите значение `absent`, чтобы удалить группу безопасности.
subscription_id string			Ваш идентификатор подписки Azure.
tags dictionary			Словарь пар строка:строка для назначения метаданных объекту. Метаданные метки объекта будут обновлены любыми предоставленными значениями. Чтобы удалить теги, установите параметр append_tags в значение false.
tenant string			Идентификатор Azure-аренды. Используется при аутентификации с помощью Служебного принципала.

Примечания

Примечание

Для аутентификации в Azure вы можете передавать параметры, устанавливать переменные среды, использовать профиль, хранящийся в ~/.azure/credentials, или войти в систему перед запуском задач или выполнения playbooks с помощью az login.
Аутентификация также возможна с помощью служебного принципала или пользователя Active Directory.
Для аутентификации через служебный принцип передайте subscription_id, client_id, secret и tenant или установите переменные среды AZURE_SUBSCRIPTION_ID, AZURE_CLIENT_ID, AZURE_SECRET и AZURE_TENANT.
Для аутентификации через пользователя Active Directory передайте ad_user и password или установите AZURE_AD_USER и AZURE_PASSWORD в среде.
В качестве альтернативы данные учетных данных могут храниться в ~/.azure/credentials. Это ini-файл, содержащий раздел [default] и следующие ключи: subscription_id, client_id, secret и tenant или subscription_id, ad_user и password. Также возможно добавить дополнительные профили. Укажите профиль, передав profile или установив AZURE_PROFILE в среде.

См. также

Вход в Azure CLI: Как войти с помощью команды az login.

Примеры

# Create a security group
- azure_rm_securitygroup:
      resource_group: myResourceGroup
      name: mysecgroup
      purge_rules: yes
      rules:
          - name: DenySSH
            protocol: Tcp
            destination_port_range: 22
            access: Deny
            priority: 100
            direction: Inbound
          - name: 'AllowSSH'
            protocol: Tcp
            source_address_prefix:
              - '174.109.158.0/24'
              - '174.109.159.0/24'
            destination_port_range: 22
            access: Allow
            priority: 101
            direction: Inbound
          - name: 'AllowMultiplePorts'
            protocol: Tcp
            source_address_prefix:
              - '174.109.158.0/24'
              - '174.109.159.0/24'
            destination_port_range:
              - 80
              - 443
            access: Allow
            priority: 102

# Update rules on existing security group
- azure_rm_securitygroup:
      resource_group: myResourceGroup
      name: mysecgroup
      rules:
          - name: DenySSH
            protocol: Tcp
            destination_port_range: 22-23
            access: Deny
            priority: 100
            direction: Inbound
          - name: AllowSSHFromHome
            protocol: Tcp
            source_address_prefix: '174.109.158.0/24'
            destination_port_range: 22-23
            access: Allow
            priority: 102
            direction: Inbound
      tags:
          testing: testing
          delete: on-exit

# Delete security group
- azure_rm_securitygroup:
      resource_group: myResourceGroup
      name: mysecgroup
      state: absent

Значения возврата

Общие значения возврата описаны здесь, следующие — поля, уникальные для данного модуля:

Ключ	Возвращаемое значение	Описание
state dictionary	всегда	Текущее состояние группы безопасности. Пример: {'default_rules': [{'access': 'Allow', 'description': 'Разрешить входящий трафик со всех ВМ в VNET', 'destination_address_prefix': 'VirtualNetwork', 'destination_port_range': '', 'direction': 'Inbound', 'etag': 'W/"edf48d56-b315-40ca-a85d-dbcb47f2da7d"', 'id': '/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroup/myResourceGroup/providers/Microsoft.Network/networkSecurityGroups/mysecgroup/defaultSecurityRules/AllowVnetInBound', 'name': 'AllowVnetInBound', 'priority': 65000, 'protocol': '', 'provisioning_state': 'Succeeded', 'source_address_prefix': 'VirtualNetwork', 'source_port_range': ''}, {'access': 'Allow', 'description': 'Разрешить входящий трафик из балансировщика нагрузки Azure', 'destination_address_prefix': '', 'destination_port_range': '', 'direction': 'Inbound', 'etag': 'W/"edf48d56-b315-40ca-a85d-dbcb47f2da7d"', 'id': '/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroup/myResourceGroup/providers/Microsoft.Network/networkSecurityGroups/mysecgroup/defaultSecurityRules/AllowAzureLoadBalancerInBound', 'name': 'AllowAzureLoadBalancerInBound', 'priority': 65001, 'protocol': '', 'provisioning_state': 'Succeeded', 'source_address_prefix': 'AzureLoadBalancer', 'source_port_range': ''}, {'access': 'Deny', 'description': 'Запретить весь входящий трафик', 'destination_address_prefix': '', 'destination_port_range': '', 'direction': 'Inbound', 'etag': 'W/"edf48d56-b315-40ca-a85d-dbcb47f2da7d"', 'id': '/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroup/myResourceGroup/providers/Microsoft.Network/networkSecurityGroups/mysecgroup/defaultSecurityRules/DenyAllInBound', 'name': 'DenyAllInBound', 'priority': 65500, 'protocol': '', 'provisioning_state': 'Succeeded', 'source_address_prefix': '', 'source_port_range': ''}, {'access': 'Allow', 'description': 'Разрешить исходящий трафик со всех ВМ во все ВМ в VNET', 'destination_address_prefix': 'VirtualNetwork', 'destination_port_range': '', 'direction': 'Outbound', 'etag': 'W/"edf48d56-b315-40ca-a85d-dbcb47f2da7d"', 'id': '/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroup/myResourceGroup/providers/Microsoft.Network/networkSecurityGroups/mysecgroup/defaultSecurityRules/AllowVnetOutBound', 'name': 'AllowVnetOutBound', 'priority': 65000, 'protocol': '', 'provisioning_state': 'Succeeded', 'source_address_prefix': 'VirtualNetwork', 'source_port_range': ''}, {'access': 'Allow', 'description': 'Разрешить исходящий трафик со всех ВМ в Интернет', 'destination_address_prefix': 'Internet', 'destination_port_range': '', 'direction': 'Outbound', 'etag': 'W/"edf48d56-b315-40ca-a85d-dbcb47f2da7d"', 'id': '/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroup/myResourceGroup/providers/Microsoft.Network/networkSecurityGroups/mysecgroup/defaultSecurityRules/AllowInternetOutBound', 'name': 'AllowInternetOutBound', 'priority': 65001, 'protocol': '', 'provisioning_state': 'Succeeded', 'source_address_prefix': '', 'source_port_range': ''}, {'access': 'Deny', 'description': 'Запретить весь исходящий трафик', 'destination_address_prefix': '', 'destination_port_range': '', 'direction': 'Outbound', 'etag': 'W/"edf48d56-b315-40ca-a85d-dbcb47f2da7d"', 'id': '/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroup/myResourceGroup/providers/Microsoft.Network/networkSecurityGroups/mysecgroup/defaultSecurityRules/DenyAllOutBound', 'name': 'DenyAllOutBound', 'priority': 65500, 'protocol': '', 'provisioning_state': 'Succeeded', 'source_address_prefix': '', 'source_port_range': ''}], 'id': '/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroup/myResourceGroup/providers/Microsoft.Network/networkSecurityGroups/mysecgroup', 'location': 'westus', 'name': 'mysecgroup', 'network_interfaces': [], 'rules': [{'access': 'Deny', 'description': None, 'destination_address_prefix': '', 'destination_port_range': '22', 'direction': 'Inbound', 'etag': 'W/"edf48d56-b315-40ca-a85d-dbcb47f2da7d"', 'id': '/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroup/myResourceGroup/providers/Microsoft.Network/networkSecurityGroups/mysecgroup/securityRules/DenySSH', 'name': 'DenySSH', 'priority': 100, 'protocol': 'Tcp', 'provisioning_state': 'Succeeded', 'source_address_prefix': '', 'source_port_range': ''}, {'access': 'Allow', 'description': None, 'destination_address_prefix': '', 'destination_port_range': '22', 'direction': 'Inbound', 'etag': 'W/"edf48d56-b315-40ca-a85d-dbcb47f2da7d"', 'id': '/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroup/myResourceGroup/providers/Microsoft.Network/networkSecurityGroups/mysecgroup/securityRules/AllowSSH', 'name': 'AllowSSH', 'priority': 101, 'protocol': 'Tcp', 'provisioning_state': 'Succeeded', 'source_address_prefix': '174.109.158.0/24', 'source_port_range': '*'}], 'subnets': [], 'tags': {'delete': 'on-exit', 'foo': 'bar', 'testing': 'testing'}, 'type': 'Microsoft.Network/networkSecurityGroups'}

Статус

Этот модуль не гарантирует обратной совместимости интерфейса. [бета-версия]
Этот модуль поддерживается сообществом Ansible. [community]

Авторы

Chris Houseknecht (@chouseknecht)
Matt Davis (@nitzmahone)

Подсказка

Если вы обнаружите какие-либо проблемы в этом документе, вы можете отредактировать этот документ, чтобы улучшить его.

© 2012–2018 Michael DeHaan
© 2018–2019 Red Hat, Inc.
Licensed under the GNU General Public License version 3.
https://docs.ansible.com/ansible/2.8/modules/azure_rm_securitygroup_module.html