community.hashi_vault.vault_write lookup – 对 HashiCorp Vault 执行写入操作
注意
此查找插件是 community.hashi_vault 集合（版本 6.2.0）的一部分。
如果您正在使用 ansible 包，您可能已经安装了此集合。它不包含在 ansible-core 中。要检查它是否已安装，请运行 ansible-galaxy collection list。
要安装它，请使用：ansible-galaxy collection install community.hashi_vault。您需要其他要求才能使用此查找插件，有关详细信息，请参阅要求。
要在 playbook 中使用它，请指定：community.hashi_vault.vault_write。
community.hashi_vault 2.4.0 新增
概要
对 HashiCorp Vault 中的给定路径执行通用写入操作，返回任何输出。
要求
以下要求需要在执行此查找的本地控制节点上满足。
术语
参数 |
注释 |
|---|---|
要写入的 Vault 路径。 |
关键字参数
这描述了查找的关键字参数。这些是以下示例中的值 key1=value1、key2=value2 等：lookup('community.hashi_vault.vault_write', key1=value1, key2=value2, ...) 和 query('community.hashi_vault.vault_write', key1=value1, key2=value2, ...)
参数 |
注释 |
|---|---|
要使用的身份验证方法。
选项
配置
|
|
如果指定，则将该值设置为 配置
|
|
如果使用临时访问密钥和密钥，则为 AWS 安全令牌。 配置
|
|
Azure AD 服务主体或托管标识的客户端 ID（也称为应用程序 ID）。应为 UUID。 如果未指定，将使用系统分配的托管标识。 配置
|
|
Azure AD 服务主体的客户端密钥。 配置
|
|
在 Azure Active Directory 中注册的应用程序的资源 URL。通常不应更改为默认值。 默认： 配置
|
|
服务主体的 Azure Active Directory 租户 ID（也称为目录 ID）。应为 UUID。 当使用服务主体向 Vault 进行身份验证时是必需的，例如，当同时指定 azure_client_id 和 azure_client_secret 时是必需的。 当使用托管标识向 Vault 进行身份验证时是可选的。 配置
|
|
用于身份验证的证书的路径。 如果未通过任何其他方式指定，将使用 配置
|
|
对于 配置
|
|
对于 配置
|
|
要序列化为 JSON 然后作为请求正文发送的字典。 如果字典包含名为 默认： |
|
Vault 挂载点。 如果未指定，则使用给定身份验证方法的默认挂载点。 不适用于令牌身份验证。 配置
|
|
机密所在的 Vault 命名空间。此选项需要 HVAC 0.7.0+ 和 Vault 0.11+。 可选地，可以通过使用命名空间作为身份验证挂载点和/或机密路径的前缀来实现（例如 如果设置了环境变量 配置
|
|
身份验证密码。 配置
|
|
用于访问 Vault 服务的代理的 URL。 它可以是字符串或字典。 如果它是字典，请提供方案（例如 如果它是字符串，请提供一个将用作 可以解释为字典的字符串将转换为字典（请参阅示例）。 您可以为 HTTP 和 HTTPS 资源指定不同的代理。 如果未指定，则使用Requests 库中的环境变量。 配置
|
|
允许根据 urllib3 库中的 Retry 类在错误时重试。 此集合定义了重试与 Vault 连接的建议默认值。 此选项可以指定为正数（整数）或字典。 如果未指定此选项或该数字为 数字设置重试总次数，并使用集合默认值进行其他设置。 字典值直接用于初始化 有关重试的详细信息，请参阅集合用户指南。 配置
|
|
控制是否以及如何显示关于 retries 的消息。 如果未重试请求，则此操作无效。 选项
配置
|
|
Vault 角色 ID 或名称。用于 对于 对于 配置
|
|
用于 Vault AppRole 身份验证的 Secret ID。 配置
|
|
设置连接超时时间，单位为秒。 如果未设置，则使用 配置
|
|
Vault 令牌。令牌可以通过显式指定、通过列出的[env]变量以及 如果未显式提供令牌或通过环境变量提供令牌，则插件将检查由 token_path 和 token_file 确定的令牌文件。 令牌加载的顺序（先找到的优先）是 配置
|
|
如果未指定令牌，将尝试从 token_path 中的此文件读取令牌。 默认值： 配置
|
|
如果未指定令牌，将尝试从此路径读取 token_file。 配置
|
|
对于令牌认证，将执行 如果您的令牌不具备 选项
配置
|
|
Vault 服务的 URL。 如果未通过其他任何方式指定，将使用 如果 配置
|
|
身份验证用户名。 配置
|
|
控制 SSL 证书的验证和校验，通常只有在使用自签名证书时才需要关闭此项。 如果设置了 如果未设置 validate_certs 或 选项
配置
|
|
指定响应包装令牌创建的持续时间。例如， 配置
|
注释
注意
当关键字参数和位置参数一起使用时，位置参数必须列在关键字参数之前：
lookup('community.hashi_vault.vault_write', term1, term2, key1=value1, key2=value2)和query('community.hashi_vault.vault_write', term1, term2, key1=value1, key2=value2)vault_write是一个通用插件，用于执行尚未有专用插件的操作。如果存在特定的插件，则应使用该插件。在绝大多数情况下，最好使用 community.hashi_vault.vault_write 模块将写入操作作为任务执行。
在需要在模板中直接使用值的情况下可以使用查找，但是存在无意中多次执行写入的风险。
查找最适合用于直接操作输入数据并返回值的端点，而不会更改 Vault 中的状态。
有关详细信息，请参见 查找指南。
另请参阅
另请参阅
- community.hashi_vault.vault_write
对 HashiCorp Vault 执行写入操作。
- community.hashi_vault.vault_kv2_write
对 HashiCorp Vault 中的 KVv2 密钥执行写入操作。
- community.hashi_vault.vault_read 查找
community.hashi_vault.vault_read查找插件的官方文档。- community.hashi_vault.vault_read
对 HashiCorp Vault 执行读取操作。
- community.hashi_vault 查找指南
有关在
community.hashi_vault中使用查找的指导。
示例
# These examples show some uses that might work well as a lookup.
# For most uses, the vault_write module should be used.
- name: Retrieve and display random data
vars:
data:
format: hex
num_bytes: 64
ansible.builtin.debug:
msg: "{{ lookup('community.hashi_vault.vault_write', 'sys/tools/random/' ~ num_bytes, data=data) }}"
- name: Hash some data and display the hash
vars:
input: |
Lorem ipsum dolor sit amet, consectetur adipiscing elit.
Pellentesque posuere dui a ipsum dapibus, et placerat nibh bibendum.
data:
input: '{{ input | b64encode }}'
hash_algo: sha2-256
ansible.builtin.debug:
msg: "The hash is {{ lookup('community.hashi_vault.vault_write', 'sys/tools/hash/' ~ hash_algo, data=data) }}"
# In this next example, the Ansible controller's token does not have permission to read the secrets we need.
# It does have permission to generate new secret IDs for an approle which has permission to read the secrets,
# however the approle is configured to:
# 1) allow a maximum of 1 use per secret ID
# 2) restrict the IPs allowed to use login using the approle to those of the remote hosts
#
# Normally, the fact that a new secret ID would be generated on every loop iteration would not be desirable,
# but here it's quite convenient.
- name: Retrieve secrets from the remote host with one-time-use approle creds
vars:
role_id: "{{ lookup('community.hashi_vault.vault_read', 'auth/approle/role/role-name/role-id') }}"
secret_id: "{{ lookup('community.hashi_vault.vault_write', 'auth/approle/role/role-name/secret-id') }}"
community.hashi_vault.vault_read:
auth_method: approle
role_id: '{{ role_id }}'
secret_id: '{{ secret_id }}'
path: '{{ item }}'
register: secret_data
loop:
- secret/data/secret1
- secret/data/app/deploy-key
- secret/data/access-codes/self-destruct
# This time we have a secret values on the controller, and we need to run a command the remote host,
# that is expecting to a use single-use token as input, so we need to use wrapping to send the data.
- name: Run a command that needs wrapped secrets
vars:
secrets:
secret1: '{{ my_secret_1 }}'
secret2: '{{ second_secret }}'
wrapped: "{{ lookup('community.hashi_vault.vault_write', 'sys/wrapping/wrap', data=secrets) }}"
ansible.builtin.command: 'vault unwrap {{ wrapped }}'
返回值
键 |
描述 |
|---|---|
针对给定路径进行写入操作的原始结果。 返回：成功 |