community.hashi_vault.vault_database_static_role_create 模块 – 创建或更新静态角色

注意

此模块是 community.hashi_vault 集合 (版本 6.2.0) 的一部分。

如果您使用的是 ansible 包，则可能已安装此集合。它不包含在 ansible-core 中。要检查它是否已安装，请运行 ansible-galaxy collection list。

要安装它，请使用：ansible-galaxy collection install community.hashi_vault。您需要其他要求才能使用此模块，有关详细信息，请参阅要求。

要在 playbook 中使用它，请指定：community.hashi_vault.vault_database_static_role_create。

community.hashi_vault 6.2.0 中的新增功能

概要 

创建新的或更新现有的静态角色.

要求 

以下是执行此模块的主机所需的条件。

hvac (Python 库)
有关详细要求，请参阅集合要求页面。

参数 

参数	注释
auth_method 字符串	要使用的身份验证方法。 `none` 身份验证方法是在集合版本 `1.2.0` 中添加的。 `cert` 身份验证方法是在集合版本 `1.4.0` 中添加的。 `aws_iam_login` 在集合版本 `2.1.0` 中重命名为 `aws_iam`，并在 `3.0.0` 中移除。 `azure` 身份验证方法是在集合版本 `3.2.0` 中添加的。选项 `"token"` ← (默认) `"userpass"` `"ldap"` `"approle"` `"aws_iam"` `"azure"` `"jwt"` `"cert"` `"none"`
aws_access_key 别名：aws_access_key_id 字符串	要使用的 AWS 访问密钥。
aws_iam_server_id 字符串在 community.hashi_vault 0.2.0 中添加	如果指定，则将值设置为用于 `X-Vault-AWS-IAM-Server-ID` 标头，作为 `GetCallerIdentity` 请求的一部分。
aws_profile 别名：boto_profile 字符串	AWS 配置文件
aws_secret_key 别名：aws_secret_access_key 字符串	与访问密钥对应的 AWS 密钥。
aws_security_token 字符串	如果使用临时访问密钥和密钥，则为 AWS 安全令牌。
azure_client_id 字符串在 community.hashi_vault 3.2.0 中添加	Azure AD 服务主体或托管标识的客户端 ID（也称为应用程序 ID）。应为 UUID。如果未指定，将使用系统分配的托管标识。
azure_client_secret 字符串在 community.hashi_vault 3.2.0 中添加	Azure AD 服务主体的客户端密钥。
azure_resource 字符串在 community.hashi_vault 3.2.0 中添加	在 Azure Active Directory 中注册的应用程序的资源 URL。通常不应更改默认值。默认值： `"https://management.azure.com/"`
azure_tenant_id 字符串在 community.hashi_vault 3.2.0 中添加	服务主体的 Azure Active Directory 租户 ID（也称为目录 ID）。应为 UUID。当使用服务主体对 Vault 进行身份验证时需要，例如，当同时指定了 azure_client_id 和 azure_client_secret 时需要。当使用托管标识对 Vault 进行身份验证时，则为可选。
ca_cert 别名：cacert 字符串	要用于身份验证的证书路径。如果未通过任何其他方式指定，则将使用 `VAULT_CACERT` 环境变量。
cert_auth_private_key 路径在 community.hashi_vault 1.4.0 中添加	对于 `cert` 身份验证，要用于身份验证的私钥文件路径，采用 PEM 格式。
cert_auth_public_key 路径在 community.hashi_vault 1.4.0 中添加	对于 `cert` 身份验证，要用于身份验证的证书文件路径，采用 PEM 格式。
connection_name 字符串 / 必需	应该在其中创建角色的连接名称。
db_username 字符串 / 必需	数据库用户名 - 请注意，用户必须存在于目标数据库中！
engine_mount_point 字符串	挂载秘密后端的路径。
jwt 字符串	要用于 JWT 对 Vault 进行身份验证的 JSON Web 令牌 (JWT)。
mount_point 字符串	Vault 挂载点。如果未指定，则使用给定身份验证方法的默认挂载点。不适用于令牌身份验证。
命名空间字符串	密钥所在的 Vault 命名空间。此选项需要 HVAC 0.7.0+ 和 Vault 0.11+。或者，可以通过在身份验证挂载点和/或密钥路径前添加命名空间来实现此目的（例如 `mynamespace/secret/mysecret`）。如果设置了环境变量 `VAULT_NAMESPACE`，则其值将在所有指定命名空间的方法中最后使用。
密码字符串	身份验证密码。
代理任意在 community.hashi_vault 1.1.0 中添加	用于访问 Vault 服务的代理的 URL。可以是字符串或字典。如果是字典，请提供方案（例如 `http` 或 `https`）作为键，并提供 URL 作为值。如果是字符串，请提供一个将用作 `http` 和 `https` 方案代理的单个 URL。可以解释为字典的字符串将转换为字典（请参见示例）。您可以为 HTTP 和 HTTPS 资源指定不同的代理。如果未指定，则使用 Requests 库中的环境变量。
区域字符串	要为其创建连接的 AWS 区域。
重试任意在 community.hashi_vault 1.3.0 中添加	允许根据 urllib3 库中的 Retry 类重试错误。此集合定义了重试与 Vault 建立连接的推荐默认值。此选项可以指定为正数（整数）或字典。如果未指定此选项或数字为 `0`，则禁用重试。数字设置重试的总数，并使用集合默认值设置其他设置。字典值直接用于初始化 `Retry` 类，因此它可用于完全自定义重试。有关重试的详细信息，请参阅集合用户指南。
重试操作字符串在 community.hashi_vault 1.3.0 中添加	控制是否以及如何显示重试的消息。如果未重试请求，则此选项无效。选项 `"忽略"` `"警告"` ← (默认)
角色 ID 字符串	Vault 角色 ID 或名称。用于 `approle`、`aws_iam`、`azure` 和 `cert` 身份验证方法。对于 `cert` 身份验证，如果没有提供角色 ID，则默认行为是尝试所有证书角色并返回任何一个匹配的角色。对于 `azure` 身份验证，需要角色 ID。
角色名称字符串 / 必需	应创建的角色的名称。
轮换周期整数	密码轮换周期（以秒为单位）（默认为 24 小时）默认值： `86400`
轮换语句列表 / 元素=字符串 / 必需	用于为给定的 `db_username` 轮换密码的 SQL 语句。
密钥 ID 字符串	用于 Vault AppRole 身份验证的密钥 ID。
超时整数在 community.hashi_vault 1.3.0 中添加	设置连接超时（以秒为单位）。如果未设置，则使用 `hvac` 库的默认值。
令牌字符串	Vault 令牌。可以通过列出的 [env] 变量以及 `VAULT_TOKEN` 环境变量显式指定令牌。如果没有通过 env 显式提供令牌，则插件将检查令牌文件，该文件由token_path 和token_file确定。令牌加载顺序（先找到先赢）为 `token param -> ansible var -> ANSIBLE_HASHI_VAULT_TOKEN -> VAULT_TOKEN -> token file`。
令牌文件字符串	如果没有指定令牌，将尝试从token_path中的此文件中读取令牌。默认值： `".vault-token"`
令牌路径字符串	如果没有指定令牌，将尝试从此路径读取token_file。
令牌验证布尔值在 community.hashi_vault 0.2.0 中添加	对于令牌身份验证，将执行 `lookup-self` 操作以确定令牌的有效性，然后再使用它。如果您的令牌没有 `lookup-self` 功能，请禁用此功能。选项 `false` ← (默认) `true`
URL 字符串	Vault 服务的 URL。如果未通过任何其他方式指定，则将使用 `VAULT_ADDR` 环境变量的值。如果 `VAULT_ADDR` 也未定义，则将引发错误。
用户名字符串	身份验证用户名。
验证证书布尔值	控制 SSL 证书的验证，大多数情况下，您只希望在自签名证书时关闭它。如果设置了 `VAULT_SKIP_VERIFY` 并且未显式提供validate_certs，则将填充 `VAULT_SKIP_VERIFY` 的反值。如果未设置validate_certs或`VAULT_SKIP_VERIFY`，则默认为 `true`。选项 `false` `true`

属性 

属性	支持	描述
action_group	操作组： community.hashi_vault.vault	在 `module_defaults` 中使用 `group/community.hashi_vault.vault` 为此模块设置默认值。
check_mode	支持：部分在检查模式下，将返回示例响应，但在 HashiCorp Vault 中不会执行角色创建。	可以在 `check_mode` 中运行，并在不修改目标的情况下返回更改状态预测。

注释 

注意

此模块始终报告 changed 状态，因为它无法保证幂等性。
在操作已知不会更改状态的情况下，使用 changed_when 进行控制。

示例 

- name: Generate rotation statement
  ansible.builtin.set_fact:
    rotation_statements = ["ALTER USER \"{{name}}\" WITH PASSWORD '{{password}}';"]

- name: Create / update Static Role with the default mount point
  community.hashi_vault.vault_database_static_role_create:
    url: https://vault:8201
    auth_method: userpass
    username: '{{ user }}'
    password: '{{ passwd }}'
    connection_name: SomeConnection
    role_name: SomeRole
    db_username: '{{ db_username}}'
    rotation_statements: '{{ rotation_statements }}'
  register: response

- name: Display the result of the operation
  ansible.builtin.debug:
    msg: "{{ result }}"

- name: Create / update Static Role with a custom mount point
  community.hashi_vault.vault_database_static_role_create:
    url: https://vault:8201
    auth_method: userpass
    username: '{{ user }}'
    password: '{{ passwd }}'
    engine_mount_point: db1
    connection_name: SomeConnection
    role_name: SomeRole
    db_username: '{{ db_username}}'
    rotation_statements: '{{ rotation_statements }}'
  register: response

- name: Display the result of the operation
  ansible.builtin.debug:
    msg: "{{ result }}"

作者

Martin Chmielewski (@M4rt1nCh)