community.hashi_vault.vault_database_static_role_create 模块 – 创建或更新静态角色

注意

此模块是 community.hashi_vault 集合 (版本 6.2.0) 的一部分。

如果您正在使用 ansible 包，您可能已经安装了此集合。它不包含在 ansible-core 中。要检查它是否已安装，请运行 ansible-galaxy collection list。

要安装它，请使用：ansible-galaxy collection install community.hashi_vault。您需要其他要求才能使用此模块，请参阅 要求 了解详细信息。

要在 playbook 中使用它，请指定：community.hashi_vault.vault_database_static_role_create。

community.hashi_vault 6.2.0 中的新增功能

概要

• 创建新的或更新现有的静态角色.

要求

执行此模块的主机需要以下要求。

• hvac (Python 库)

• 有关详细要求，请参阅集合要求页面。

参数

参数	注释
auth_method 字符串	要使用的身份验证方法。 none 身份验证方法已在集合版本 1.2.0 中添加。 cert 身份验证方法已在集合版本 1.4.0 中添加。 aws_iam_login 在集合版本 2.1.0 中重命名为 aws_iam，并在 3.0.0 中删除。 azure 身份验证方法已在集合版本 3.2.0 中添加。 选择 "token" ← (默认) "userpass" "ldap" "approle" "aws_iam" "azure" "jwt" "cert" "none"
aws_access_key 别名: aws_access_key_id 字符串	要使用的 AWS 访问密钥。
aws_iam_server_id 字符串 在 community.hashi_vault 0.2.0 中添加	如果指定，则将该值设置为在 GetCallerIdentity 请求中作为 X-Vault-AWS-IAM-Server-ID 标头的一部分使用。
aws_profile 别名: boto_profile 字符串	AWS 配置文件
aws_secret_key 别名: aws_secret_access_key 字符串	与访问密钥对应的 AWS 密钥。
aws_security_token 字符串	如果使用临时访问密钥和密钥，则为 AWS 安全令牌。
azure_client_id 字符串 在 community.hashi_vault 3.2.0 中添加	Azure AD 服务主体或托管标识的客户端 ID（也称为应用程序 ID）。应为 UUID。 如果未指定，将使用系统分配的托管标识。
azure_client_secret 字符串 在 community.hashi_vault 3.2.0 中添加	Azure AD 服务主体的客户端密钥。
azure_resource 字符串 在 community.hashi_vault 3.2.0 中添加	在 Azure Active Directory 中注册的应用程序的资源 URL。通常不应更改默认值。 默认值: "https://management.azure.com/"
azure_tenant_id 字符串 在 community.hashi_vault 3.2.0 中添加	服务主体的 Azure Active Directory 租户 ID（也称为目录 ID）。应为 UUID。 当使用服务主体对 Vault 进行身份验证时，需要此项，例如，当同时指定 azure_client_id 和 azure_client_secret 时需要此项。 当使用托管标识对 Vault 进行身份验证时，可选。
ca_cert 别名: cacert 字符串	用于身份验证的证书的路径。 如果未通过任何其他方式指定，则将使用 VAULT_CACERT 环境变量。
cert_auth_private_key 路径 在 community.hashi_vault 1.4.0 中添加	对于 cert 身份验证，要使用进行身份验证的私钥文件的路径，格式为 PEM。
cert_auth_public_key 路径 在 community.hashi_vault 1.4.0 中添加	对于 cert 身份验证，要使用进行身份验证的证书文件的路径，格式为 PEM。
connection_name 字符串 / 必选	应在其下创建角色的连接名称。
db_username 字符串 / 必选	数据库用户名 - 请注意，该用户必须存在于目标数据库中！
engine_mount_point 字符串	安装密钥后端的路径。
jwt 字符串	用于 JWT 身份验证到 Vault 的 JSON Web 令牌 (JWT)。
mount_point 字符串	Vault 安装点。 如果未指定，则使用给定身份验证方法的默认安装点。 不适用于令牌身份验证。
namespace 字符串	Vault 命名空间，用于存放密钥。此选项需要 HVAC 0.7.0+ 和 Vault 0.11+。 或者，可以通过在身份验证挂载点和/或密钥路径前加上命名空间来实现（例如 mynamespace/secret/mysecret）。 如果设置了环境变量 VAULT_NAMESPACE，则其值将作为指定命名空间的最后一种方式使用。
密码 字符串	身份验证密码。
代理 任意 在 community.hashi_vault 1.1.0 中添加	用于访问 Vault 服务的代理 URL。 它可以是字符串或字典。 如果是字典，请提供方案（例如 http 或 https）作为键，URL 作为值。 如果是字符串，请提供一个 URL，该 URL 将用作 http 和 https 方案的代理。 可以解释为字典的字符串将被转换为字典（请参阅示例）。 您可以为 HTTP 和 HTTPS 资源指定不同的代理。 如果未指定，则使用Requests 库中的环境变量。
区域 字符串	创建连接的 AWS 区域。
重试 任意 在 community.hashi_vault 1.3.0 中添加	允许根据 urllib3 库中的 Retry 类，在发生错误时进行重试。 此集合为重试与 Vault 的连接定义了推荐的默认值。 此选项可以指定为正数（整数）或字典。 如果未指定此选项或数字为 0，则禁用重试。 数字设置重试的总次数，并使用集合默认值进行其他设置。 字典值直接用于初始化 Retry 类，因此可以用于完全自定义重试。 有关重试的详细信息，请参阅集合用户指南。
重试操作 字符串 在 community.hashi_vault 1.3.0 中添加	控制是否以及如何在重试时显示消息。 如果未重试请求，则此选项无效。 选择 "忽略" "warn" ←（默认）
角色 ID 字符串	Vault 角色 ID 或名称。用于 approle、aws_iam、azure 和 cert 身份验证方法。 对于 cert 身份验证，如果没有提供role_id，则默认行为是尝试所有证书角色，并返回任何匹配的角色。 对于 azure 身份验证，role_id 是必需的。
角色名称 字符串 / 必选	应创建的角色的名称。
轮换周期 整数	密码轮换周期，以秒为单位（默认为 24 小时） 默认值： 86400
轮换语句 列表 / 元素=字符串 / 必需	用于为给定的 db_username 轮换密码的 SQL 语句
密钥 ID 字符串	用于 Vault AppRole 身份验证的密钥 ID。
超时 整数 在 community.hashi_vault 1.3.0 中添加	设置连接超时时间，以秒为单位。 如果未设置，则使用 hvac 库的默认值。
令牌 字符串	Vault 令牌。令牌可以通过显式方式、通过列出的 [env] 变量以及通过 VAULT_TOKEN 环境变量指定。 如果没有显式提供令牌或通过环境变量提供，则插件将检查令牌文件，由 token_path 和 token_file 确定。 令牌加载的顺序（先找到的优先）是 token 参数 -> ansible 变量 -> ANSIBLE_HASHI_VAULT_TOKEN -> VAULT_TOKEN -> 令牌 文件。
令牌文件 字符串	如果未指定令牌，将尝试从 token_path 中的此文件读取令牌。 默认值： ".vault-token"
令牌路径 字符串	如果未指定令牌，将尝试从此路径读取 token_file。
令牌验证 布尔值 在 community.hashi_vault 0.2.0 中添加	对于令牌身份验证，将执行 lookup-self 操作，以确定令牌的有效性，然后再使用它。 如果您的令牌不具备 lookup-self 功能，请禁用此选项。 选择 false ←（默认） true
URL 字符串	Vault 服务的 URL。 如果未通过任何其他方式指定，则将使用 VAULT_ADDR 环境变量的值。 如果 VAULT_ADDR 也未定义，则将引发错误。
用户名 字符串	身份验证用户名。
验证证书 布尔值	控制 SSL 证书的验证，通常只在自签名证书时才需要关闭此项。 如果设置了 VAULT_SKIP_VERIFY 并且没有显式提供 validate_certs，则将使用 VAULT_SKIP_VERIFY 的反向值填充此选项。 如果未设置 validate_certs 或 VAULT_SKIP_VERIFY，则默认值为 true。 选择 false true

属性

属性	支持	描述
action_group	操作组： community.hashi_vault.vault	在 module_defaults 中使用 group/community.hashi_vault.vault 来为此模块设置默认值。
check_mode	支持：部分 在检查模式下，将返回示例响应，但不会在 Hashicorp Vault 中执行角色创建。	可以在 check_mode 中运行，并返回更改的状态预测，而无需修改目标。

说明

注意

• 此模块始终报告 changed 状态，因为它不能保证幂等性。

• 在已知操作不会更改状态的情况下，使用 changed_when 控制此行为。

示例

- name: Generate rotation statement
  ansible.builtin.set_fact:
    rotation_statements = ["ALTER USER \"{{name}}\" WITH PASSWORD '{{password}}';"]

- name: Create / update Static Role with the default mount point
  community.hashi_vault.vault_database_static_role_create:
    url: https://vault:8201
    auth_method: userpass
    username: '{{ user }}'
    password: '{{ passwd }}'
    connection_name: SomeConnection
    role_name: SomeRole
    db_username: '{{ db_username}}'
    rotation_statements: '{{ rotation_statements }}'
  register: response

- name: Display the result of the operation
  ansible.builtin.debug:
    msg: "{{ result }}"

- name: Create / update Static Role with a custom mount point
  community.hashi_vault.vault_database_static_role_create:
    url: https://vault:8201
    auth_method: userpass
    username: '{{ user }}'
    password: '{{ passwd }}'
    engine_mount_point: db1
    connection_name: SomeConnection
    role_name: SomeRole
    db_username: '{{ db_username}}'
    rotation_statements: '{{ rotation_statements }}'
  register: response

- name: Display the result of the operation
  ansible.builtin.debug:
    msg: "{{ result }}"

作者

• Martin Chmielewski (@M4rt1nCh)

集合链接

• 问题跟踪器
• 存储库（源代码）
• 讨论、问答、故障排除
• 沟通