ipa_hbacrule – Управление правилом HBAC FreeIPA
Новая в версии 2.3.
Обзор
- Добавление, изменение или удаление правила IPA HBAC с использованием API IPA.
Параметры
| Параметр | Варианты/Значения по умолчанию | Комментарии |
|---|---|---|
| cn - / обязательно | Каноническое имя. Не может быть изменено, так как является уникальным идентификатором. псевдонимы: имя | |
| description - | Описание | |
| host - | Список имен хостов для назначения. Если передан пустой список, все хосты будут удалены из правила. Если параметр опущен, хосты не будут проверяться или изменены. | |
| hostcategory - |
| Категория хостов |
| hostgroup - | Список имён групп хостов для назначения. Если передан пустой список, все группы хостов будут удалены из правила. Если параметр опущен, группы хостов не будут проверяться или изменены. | |
| ipa_host строка | По умолчанию: "ipa.example.com" | IP-адрес или имя хоста сервера IPA. Если значение не указано в задаче, используется значение переменной окружения IPA_HOST. Если переменная окружения IPA_HOST и значение не указаны в задаче, то будет использоваться DNS для поиска сервера FreeIPA.Необходимая запись в FreeIPA – это запись 'ipa-ca'. Если ни запись в DNS, ни переменная окружения IPA_HOST, ни значение не доступны в задаче, то используется значение по умолчанию.Механизм обратного вызова переменной окружения добавлен в Ansible 2.5. |
| ipa_pass строка / обязательно | Пароль административного пользователя. Если значение не указано в задаче, используется значение переменной окружения IPA_PASS. Обратите внимание, что если доступна библиотека 'urllib_gssapi', можно использовать GSSAPI для аутентификации в FreeIPA. Если доступна переменная окружения KRB5CCNAME, модуль будет использовать этот кэш учетных данных Kerberos для аутентификации на сервере FreeIPA.Если доступна переменная окружения KRB5_CLIENT_KTNAME, и KRB5CCNAME недоступна, модуль будет использовать этот ключ Kerberos для аутентификации.Если GSSAPI недоступен, использование 'ipa_pass' обязательно. Механизм обратного вызова переменной окружения добавлен в Ansible 2.5. | |
| ipa_port целое число | По умолчанию: 443 | Порт сервера FreeIPA/IPA. Если значение не указано в задаче, используется значение переменной окружения IPA_PORT. Если переменная окружения IPA_PORT и значение не указаны в задаче, то устанавливается значение по умолчанию.Механизм обратного вызова переменной окружения добавлен в Ansible 2.5. |
| ipa_prot строка |
| Протокол, используемый сервером IPA. Если значение не указано в задаче, используется значение переменной окружения IPA_PROT. Если переменная окружения IPA_PROT и значение не указаны в задаче, то устанавливается значение по умолчанию.Механизм обратного вызова переменной окружения добавлен в Ansible 2.5. |
| ipa_timeout целое число добавлено в 2.7 | По умолчанию: 10 | Устанавливает таймаут ожидания соединения (в секундах). Для массовых операций может потребоваться увеличить этот параметр, чтобы избежать таймаута сервера IPA. Если значение не указано в задаче, используется значение переменной окружения IPA_TIMEOUT. Если переменная окружения IPA_TIMEOUT и значение не указаны в задаче, то устанавливается значение по умолчанию. |
| ipa_user строка | По умолчанию: "admin" | Используемая административная учетная запись на сервере IPA. Если значение не указано в задаче, используется значение переменной окружения IPA_USER. Если переменная окружения IPA_USER и значение не указаны в задаче, то устанавливается значение по умолчанию.Механизм обратного вызова переменной окружения добавлен в Ansible 2.5. |
| service - | Список имён служб для назначения. Если передан пустой список, все службы будут удалены из правила. Если параметр опущен, службы не будут проверяться или изменены. | |
| servicecategory - |
| Категория служб |
| servicegroup - | Список имён групп служб для назначения. Если передан пустой список, все назначенные группы служб будут удалены из правила. Если параметр опущен, группы служб не будут проверяться или изменены. | |
| sourcehost - | Список имен хостов-источников для назначения. Если передан пустой список, все назначенные хосты-источники будут удалены из правила. Если параметр опущен, хосты-источники не будут проверяться или изменены. | |
| sourcehostcategory - |
| Категория хостов-источников |
| sourcehostgroup - | Список имён групп хостов-источников для назначения. Если передан пустой список, все назначенные группы хостов-источников будут удалены из правила. Если параметр опущен, группы хостов-источников не будут проверяться или изменены. | |
| state - |
| Состояние, которое необходимо гарантировать |
| user - | Список имён пользователей для назначения. Если передан пустой список, все назначенные пользователи будут удалены из правила. Если параметр опущен, пользователи не будут проверяться или изменены. | |
| usercategory - |
| Категория пользователей |
| usergroup - | Список имён групп пользователей для назначения. Если передан пустой список, все назначенные группы пользователей будут удалены из правила. Если параметр опущен, группы пользователей не будут проверяться или изменены. | |
| validate_certs булево |
| Это применимо только если ipa_prot равно https.Если установлено значение no, сертификаты SSL не будут проверяться.Это значение должно быть установлено только для сайтов, контролируемых пользователем, использующих самозаверенные сертификаты, с значением no. |
Примеры
# Ensure rule to allow all users to access any host from any host
- ipa_hbacrule:
name: allow_all
description: Allow all users to access any host from any host
hostcategory: all
servicecategory: all
usercategory: all
state: present
ipa_host: ipa.example.com
ipa_user: admin
ipa_pass: topsecret
# Ensure rule with certain limitations
- ipa_hbacrule:
name: allow_all_developers_access_to_db
description: Allow all developers to access any database from any host
hostgroup:
- db-server
usergroup:
- developers
state: present
ipa_host: ipa.example.com
ipa_user: admin
ipa_pass: topsecret
# Ensure rule is absent
- ipa_hbacrule:
name: rule_to_be_deleted
state: absent
ipa_host: ipa.example.com
ipa_user: admin
ipa_pass: topsecret
Возвращаемые значения
Общие возвращаемые значения описаны здесь, следующие поля уникальны для данного модуля:
| Ключ | Возвращаемое значение | Описание |
|---|---|---|
| hbacrule словарь | всегда | Правило HBAC, как возвращается API IPA. |
Статус
- Этот модуль не гарантирует обратной совместимости интерфейса. [превью]
- Этот модуль поддерживается сообществом Ansible. [community]
Авторы
- Thomas Krahn (@Nosmoht)
Подсказка
Если вы заметили какие-либо проблемы в этом руководстве, вы можете отредактировать этот документ, чтобы улучшить его.
© 2012–2018 Michael DeHaan
© 2018–2019 Red Hat, Inc.
Licensed under the GNU General Public License version 3.
https://docs.ansible.com/ansible/2.8/modules/ipa_hbacrule_module.html
