ipa_hbacrule – Управление правилом HBAC FreeIPA
Краткое описание
- Добавление, изменение или удаление правила HBAC IPA с использованием API IPA.
Параметры
| Параметр | Варианты/Значения по умолчанию | Комментарии |
|---|---|---|
| cn - / обязательно | Каноническое имя. Не может быть изменено, так как является уникальным идентификатором. псевдонимы: имя | |
| description - | Описание | |
| host - | Список имен хостов для назначения. Если передан пустой список, все хосты будут удалены из правила. Если опция опущена, хосты не будут проверяться или изменены. | |
| hostcategory - |
| Категория хоста |
| hostgroup - | Список имен групп хостов для назначения. Если передан пустой список, все группы хостов будут удалены из правила. Если опция опущена, группы хостов не будут проверяться или изменены. | |
| ipa_host строка | По умолчанию: "ipa.example.com" | IP-адрес или имя хоста сервера IPA. Если значение не указано в задаче, будет использовано значение переменной среды IPA_HOST. Если переменная среды IPA_HOST и значение не указаны в задаче, то DNS будет использоваться для попытки обнаружения сервера FreeIPA.В FreeIPA необходимо наличие записи 'ipa-ca'. Если ни запись DNS, ни переменная среды IPA_HOST, ни значение не доступны в задаче, будет использовано значение по умолчанию.Механизм обратной замены переменной среды добавлен в Ansible 2.5. |
| ipa_pass строка / обязательно | Пароль административного пользователя. Если значение не указано в задаче, будет использовано значение переменной среды IPA_PASS. Обратите внимание, что если доступна библиотека 'urllib_gssapi', можно использовать GSSAPI для аутентификации в FreeIPA. Если доступна переменная среды KRB5CCNAME, модуль будет использовать этот кэш учетных данных Kerberos для аутентификации на сервере FreeIPA.Если доступна переменная среды KRB5_CLIENT_KTNAME, и KRB5CCNAME недоступна; модуль будет использовать этот ключ Kerberos для аутентификации.Если GSSAPI недоступен, использование 'ipa_pass' необходимо. Механизм обратной замены переменной среды добавлен в Ansible 2.5. | |
| ipa_port целое число | По умолчанию: 443 | Порт сервера FreeIPA / IPA. Если значение не указано в задаче, будет использовано значение переменной среды IPA_PORT. Если переменная среды IPA_PORT и значение не указаны в задаче, будет установлено значение по умолчанию.Механизм обратной замены переменной среды добавлен в Ansible 2.5. |
| ipa_prot строка |
| Протокол, используемый сервером IPA. Если значение не указано в задаче, будет использовано значение переменной среды IPA_PROT. Если переменная среды IPA_PROT и значение не указаны в задаче, будет установлено значение по умолчанию.Механизм обратной замены переменной среды добавлен в Ansible 2.5. |
| ipa_timeout целое число добавлено в 2.7 | По умолчанию: 10 | Устанавливает таймаут бездействия (в секундах) для соединения. Для операций с большими объёмами данных, возможно, потребуется увеличить это значение, чтобы избежать таймаута от сервера IPA. Если значение не указано в задаче, будет использовано значение переменной среды IPA_TIMEOUT. Если переменная среды IPA_TIMEOUT и значение не указаны в задаче, будет установлено значение по умолчанию. |
| ipa_user строка | По умолчанию: "admin" | Используемый на сервере IPA административный учётная запись. Если значение не указано в задаче, будет использовано значение переменной среды IPA_USER. Если переменная среды IPA_USER и значение не указаны в задаче, будет установлено значение по умолчанию.Механизм обратной замены переменной среды добавлен в Ansible 2.5. |
| service - | Список имён служб для назначения. Если передан пустой список, все службы будут удалены из правила. Если опция опущена, службы не будут проверяться или изменены. | |
| servicecategory - |
| Категория службы |
| servicegroup - | Список имён групп служб для назначения. Если передан пустой список, все назначенные группы служб будут удалены из правила. Если опция опущена, группы служб не будут проверяться или изменены. | |
| sourcehost - | Список имён хостов-источников для назначения. Если передан пустой список, все назначенные хосты-источники будут удалены из правила. Если опция опущена, хосты-источники не будут проверяться или изменены. | |
| sourcehostcategory - |
| Категория хоста-источника |
| sourcehostgroup - | Список имён групп хостов-источников для назначения. Если передан пустой список, все назначенные группы хостов-источников будут удалены из правила. Если опция опущена, группы хостов-источников не будут проверяться или изменены. | |
| state - |
| Требуемое состояние |
| user - | Список имён пользователей для назначения. Если передан пустой список, все назначенные пользователи будут удалены из правила. Если опция опущена, пользователи не будут проверяться или изменены. | |
| usercategory - |
| Категория пользователя |
| usergroup - | Список имён групп пользователей для назначения. Если передан пустой список, все назначенные группы пользователей будут удалены из правила. Если опция опущена, группы пользователей не будут проверяться или изменены. | |
| validate_certs булево |
| Это применимо только если ipa_prot равно https.Если установлено в no, сертификаты SSL не будут проверены.Это следует устанавливать в no только для сайтов, контролируемых вами лично, использующих самозаверенные сертификаты. |
Примеры
# Ensure rule to allow all users to access any host from any host
- ipa_hbacrule:
name: allow_all
description: Allow all users to access any host from any host
hostcategory: all
servicecategory: all
usercategory: all
state: present
ipa_host: ipa.example.com
ipa_user: admin
ipa_pass: topsecret
# Ensure rule with certain limitations
- ipa_hbacrule:
name: allow_all_developers_access_to_db
description: Allow all developers to access any database from any host
hostgroup:
- db-server
usergroup:
- developers
state: present
ipa_host: ipa.example.com
ipa_user: admin
ipa_pass: topsecret
# Ensure rule is absent
- ipa_hbacrule:
name: rule_to_be_deleted
state: absent
ipa_host: ipa.example.com
ipa_user: admin
ipa_pass: topsecret
Возвращаемые значения
Общие возвращаемые значения описаны здесь, следующие поля уникальны для этого модуля:
| Ключ | Возвращаемое значение | Описание |
|---|---|---|
| hbacrule словарь | всегда | Правило HBAC, возвращённое API IPA. |
Статус
- Этот модуль не гарантирует обратной совместимости. [превью]
- Этот модуль поддерживается сообществом Ansible. [community]
Авторы
- Thomas Krahn (@Nosmoht)
Подсказка
Если вы обнаружите какие-либо проблемы в данной документации, вы можете отредактировать этот документ, чтобы улучшить его.
© 2012–2018 Michael DeHaan
© 2018–2019 Red Hat, Inc.
Licensed under the GNU General Public License version 3.
https://docs.ansible.com/ansible/2.9/modules/ipa_hbacrule_module.html
