community.hashi_vault.vault_kv2_get 查询 – 从 HashiCorp Vault 的 KV 版本 2 密钥存储中获取密钥
注意
此查询插件是 community.hashi_vault 集合 (版本 6.2.0) 的一部分。
如果您使用的是 ansible 包，则可能已安装此集合。它不包含在 ansible-core 中。要检查它是否已安装，请运行 ansible-galaxy collection list。
要安装它，请使用：ansible-galaxy collection install community.hashi_vault。您需要其他要求才能使用此查询插件，有关详细信息，请参阅 要求。
要在 playbook 中使用它，请指定：community.hashi_vault.vault_kv2_get。
community.hashi_vault 2.5.0 中的新增功能
概要
从 HashiCorp Vault 的 KV 版本 2 密钥存储中获取密钥。
要求
以下要求是在执行此查询的本地控制器节点上需要的。
术语
参数 |
注释 |
|---|---|
要读取的 Vault KV 路径。 这些路径相对于 *engine_mount_point*，因此不应包含挂载路径。 |
关键字参数
这描述了查询的关键字参数。这些是在以下示例中的值 key1=value1、key2=value2 等：lookup('community.hashi_vault.vault_kv2_get', key1=value1, key2=value2, ...) 和 query('community.hashi_vault.vault_kv2_get', key1=value1, key2=value2, ...)
参数 |
注释 |
|---|---|
要使用的身份验证方法。
选项
配置
|
|
如果指定，则将值设置为用于 配置
|
|
Azure AD服务主体或托管身份的客户端ID（也称为应用程序ID）。应为UUID。 如果未指定，将使用系统分配的托管身份。 配置
|
|
Azure AD服务主体的客户端密钥。 配置
|
|
在Azure Active Directory中注册的应用程序的资源URL。通常不应该更改默认值。 默认值： 配置
|
|
服务主体的Azure Active Directory租户ID（也称为目录ID）。应为UUID。 使用服务主体向Vault进行身份验证时需要，例如，当同时指定azure_client_id和azure_client_secret时需要。 使用托管身份向Vault进行身份验证时可选。 配置
|
|
用于身份验证的证书路径。 如果没有通过其他任何方式指定，则将使用 配置
|
|
对于 配置
|
|
对于 配置
|
|
秘密后端挂载的路径。 默认值： 配置
|
|
Vault挂载点。 如果未指定，则使用给定身份验证方法的默认挂载点。 不适用于令牌身份验证。 配置
|
|
秘密所在的Vault命名空间。此选项需要HVAC 0.7.0+和Vault 0.11+。 或者，可以通过使用命名空间作为前缀添加身份验证挂载点和/或秘密路径来实现（例如 如果设置了环境变量 配置
|
|
身份验证密码。 配置
|
|
用于访问Vault服务的代理的URL。 它可以是字符串或字典。 如果是字典，请提供方案（例如 如果是字符串，请提供单个URL，该URL将用作 可以解释为字典的字符串将被转换为字典（参见示例）。 您可以为HTTP和HTTPS资源指定不同的代理。 如果未指定，则使用Requests库中的环境变量。 配置
|
|
允许根据urllib3库中的Retry类重试错误。 此集合定义了重试与Vault连接的推荐默认值。 此选项可以指定为正数（整数）或字典。 如果未指定此选项或数字为 数字设置重试的总数，并对其他设置使用集合默认值。 字典值直接用于初始化 有关重试的详细信息，请参阅集合用户指南。 配置
|
|
控制是否以及如何显示retries的消息。 如果没有重试请求，则此选项无效。 选项
配置
|
|
Vault角色ID或名称。用于 对于 对于 配置
|
|
用于Vault AppRole身份验证的密钥ID。 配置
|
|
设置以秒为单位的连接超时。 如果未设置，则使用 配置
|
|
Vault令牌。令牌可以显式指定，通过列出的[env]变量指定，也可以通过 如果没有通过显式或环境变量提供令牌，则插件将检查令牌文件，该文件由token_path和token_file确定。 令牌加载顺序（先找到先匹配）为 配置
|
|
如果没有指定令牌，将尝试从token_path中的此文件中读取令牌。 默认值： 配置
|
|
如果没有指定令牌，将尝试从此路径读取token_file。 配置
|
|
对于令牌身份验证，将在使用令牌之前执行 如果您的令牌没有 选项
配置
|
|
Vault服务的URL。 如果没有通过其他任何方式指定，则将使用 如果 配置
|
|
身份验证用户名。 配置
|
|
控制SSL证书的验证，大多数情况下只有在使用自签名证书时才需要关闭。 如果设置了 如果既未设置validate_certs也未设置 选项
配置
|
|
指定要返回的版本。如果未设置，则返回最新版本。 |
备注
注意
当关键字参数和位置参数一起使用时，位置参数必须列在关键字参数之前：
lookup('community.hashi_vault.vault_kv2_get', term1, term2, key1=value1, key2=value2)和query('community.hashi_vault.vault_kv2_get', term1, term2, key1=value1, key2=value2)
另请参阅
另请参阅
- community.hashi_vault.vault_kv2_get
从HashiCorp Vault的KV版本2密钥存储中获取密钥。
- community.hashi_vault.vault_kv1_get lookup
community.hashi_vault.vault_kv1_getlookup插件的官方文档。- community.hashi_vault.vault_kv1_get
从HashiCorp Vault的KV版本1密钥存储中获取密钥。
- community.hashi_vault Lookup指南
关于在
community.hashi_vault中使用查找的指南。- KV2 密钥引擎
Vault KV密钥引擎（版本2）的文档。
示例
- name: Read a kv2 secret with the default mount point
ansible.builtin.set_fact:
response: "{{ lookup('community.hashi_vault.vault_kv2_get', 'hello', url='https://vault:8201') }}"
# equivalent API path in 3.x.x is kv/data/hello
# equivalent API path in 4.0.0+ is secret/data/hello
- name: Display the results
ansible.builtin.debug:
msg:
- "Secret: {{ response.secret }}"
- "Data: {{ response.data }} (contains secret data & metadata in kv2)"
- "Metadata: {{ response.metadata }}"
- "Full response: {{ response.raw }}"
- "Value of key 'password' in the secret: {{ response.secret.password }}"
- name: Read version 5 of a kv2 secret with a different mount point
ansible.builtin.set_fact:
response: "{{ lookup('community.hashi_vault.vault_kv2_get', 'hello', version=5, engine_mount_point='custom/kv2/mount', url='https://vault:8201') }}"
# equivalent API path is custom/kv2/mount/data/hello
- name: Assert that the version returned is as expected
ansible.builtin.assert:
that:
- response.metadata.version == 5
- name: Perform multiple kv2 reads with a single Vault login, showing the secrets
vars:
paths:
- hello
- my-secret/one
- my-secret/two
ansible.builtin.debug:
msg: "{{ lookup('community.hashi_vault.vault_kv2_get', *paths, auth_method='userpass', username=user, password=pwd)['secret'] }}"
- name: Perform multiple kv2 reads with a single Vault login in a loop
vars:
paths:
- hello
- my-secret/one
- my-secret/two
ansible.builtin.debug:
msg: '{{ item }}'
loop: "{{ query('community.hashi_vault.vault_kv2_get', *paths, auth_method='userpass', username=user, password=pwd) }}"
- name: Perform multiple kv2 reads with a single Vault login in a loop (via with_), display values only
vars:
ansible_hashi_vault_auth_method: userpass
ansible_hashi_vault_username: '{{ user }}'
ansible_hashi_vault_password: '{{ pwd }}'
ansible_hashi_vault_engine_mount_point: special/kv2
ansible.builtin.debug:
msg: '{{ item.values() | list }}'
with_community.hashi_vault.vault_kv2_get:
- hello
- my-secret/one
- my-secret/two
返回值
Key |
描述 |
|---|---|
针对给定路径的读取结果。 返回：成功 |
|
原始结果的 返回：成功 示例： |
|
返回：成功 示例： |
|
针对给定路径的读取的原始结果。 返回：成功 示例： |
|
返回：成功 示例： |