community.hashi_vault.vault_kv2_write 模块 – 在 HashiCorp Vault 中对 KVv2 密钥执行写入操作

注意

此模块是 community.hashi_vault 集合（版本 6.2.0）的一部分。

如果您正在使用 ansible 包，则可能已经安装了此集合。 它不包含在 ansible-core 中。 要检查是否已安装，请运行 ansible-galaxy collection list。

要安装它，请使用：ansible-galaxy collection install community.hashi_vault。 您需要其他要求才能使用此模块，有关详细信息，请参见要求。

要在 playbook 中使用它，请指定：community.hashi_vault.vault_kv2_write。

community.hashi_vault 4.2.0 中的新增功能

概要

• 对 HashiCorp Vault 中的 KVv2 密钥执行写入操作。

要求

执行此模块的主机上需要以下要求。

• hvac (Python 库)

• 有关详细的要求，请参见集合要求页面。

参数

参数	注释
auth_method 字符串	要使用的身份验证方法。 none 身份验证方法已在集合版本 1.2.0 中添加。 cert 身份验证方法已在集合版本 1.4.0 中添加。 aws_iam_login 已在集合版本 2.1.0 中重命名为 aws_iam，并在 3.0.0 中删除。 azure 身份验证方法已在集合版本 3.2.0 中添加。 选项 "token" ← (默认) "userpass" "ldap" "approle" "aws_iam" "azure" "jwt" "cert" "none"
aws_access_key 别名：aws_access_key_id 字符串	要使用的 AWS 访问密钥。
aws_iam_server_id 字符串 在 community.hashi_vault 0.2.0 中添加	如果指定，则将该值设置为在 GetCallerIdentity 请求中用作 X-Vault-AWS-IAM-Server-ID 标头的值。
aws_profile 别名：boto_profile 字符串	AWS 配置文件
aws_secret_key 别名：aws_secret_access_key 字符串	与访问密钥对应的 AWS 秘密密钥。
aws_security_token 字符串	如果使用临时访问密钥和秘密密钥，则为 AWS 安全令牌。
azure_client_id 字符串 在 community.hashi_vault 3.2.0 中添加	Azure AD 服务主体或托管标识的客户端 ID（也称为应用程序 ID）。 应为 UUID。 如果未指定，将使用系统分配的托管标识。
azure_client_secret 字符串 在 community.hashi_vault 3.2.0 中添加	Azure AD 服务主体的客户端密钥。
azure_resource 字符串 在 community.hashi_vault 3.2.0 中添加	在 Azure Active Directory 中注册的应用程序的资源 URL。 通常不应更改为默认值。 默认值： "https://management.azure.com/"
azure_tenant_id 字符串 在 community.hashi_vault 3.2.0 中添加	服务主体的 Azure Active Directory 租户 ID（也称为目录 ID）。 应为 UUID。 当使用服务主体向 Vault 进行身份验证时是必需的，例如，当同时指定了 _azure_client_id_ 和 _azure_client_secret_ 时是必需的。 当使用托管标识向 Vault 进行身份验证时是可选的。
ca_cert 别名：cacert 字符串	用于身份验证的证书路径。 如果未通过任何其他方式指定，将使用 VAULT_CACERT 环境变量。
cas 整数	执行检查并设置操作。
cert_auth_private_key 路径 在 community.hashi_vault 1.4.0 中添加	对于 cert 身份验证，用于身份验证的私钥文件的路径，采用 PEM 格式。
cert_auth_public_key 路径 在 community.hashi_vault 1.4.0 中添加	对于 cert 身份验证，用于身份验证的证书文件的路径，采用 PEM 格式。
data 字典 / 必选	要写入的 KVv2 密钥数据。
engine_mount_point 字符串	密钥后端挂载的路径。 默认值: "secret"
jwt 字符串	用于 Vault JWT 身份验证的 JSON Web Token (JWT)。
mount_point 字符串	Vault 挂载点。 如果未指定，则使用给定身份验证方法的默认挂载点。 不适用于令牌身份验证。
namespace 字符串	密钥所在的 Vault 命名空间。此选项需要 HVAC 0.7.0+ 和 Vault 0.11+。 可选地，可以通过在身份验证挂载点和/或密钥路径前加上命名空间来实现（例如 mynamespace/secret/mysecret）。 如果设置了环境变量 VAULT_NAMESPACE，则其值将在所有指定namespace的方式中最后使用。
password 字符串	身份验证密码。
路径 字符串 / 必选	要写入的 Vault KVv2 路径。 这是相对于 engine_mount_point 的，因此不应包含挂载路径。
proxies any 在 community.hashi_vault 1.1.0 中添加	用于访问 Vault 服务的代理 URL。 它可以是字符串或字典。 如果是字典，请将方案（例如 http 或 https）作为键，并将 URL 作为值提供。 如果是字符串，请提供一个 URL，该 URL 将用作 http 和 https 方案的代理。 可以解释为字典的字符串将转换为字典（请参阅示例）。 您可以为 HTTP 和 HTTPS 资源指定不同的代理。 如果未指定，则使用 Requests 库的环境变量。
read_before_write 布尔值	首先读取密钥，仅当 data 与读取的数据不同时才写入。 如果 true，则需要在密钥上具有 read 权限。 如果 false，则此模块在非检查模式下始终写入 path。 选项 false ← (默认) true
region 字符串	要创建连接的 AWS 区域。
retries any 在 community.hashi_vault 1.3.0 中添加	允许根据 urllib3 库中的 Retry 类在发生错误时重试。 此集合定义了重试 Vault 连接的建议默认值。 此选项可以指定为正数（整数）或字典。 如果未指定此选项或数字为 0，则禁用重试。 数字设置重试的总次数，并为其他设置使用集合默认值。 字典值直接用于初始化 Retry 类，因此可用于完全自定义重试。 有关重试的详细信息，请参阅集合用户指南。
retry_action 字符串 在 community.hashi_vault 1.3.0 中添加	控制是否以及如何在 retries 上显示消息。 如果未重试请求，则此选项无效。 选项 "ignore" "warn" ← (默认)
role_id 字符串	Vault 角色 ID 或名称。用于 approle、aws_iam、azure 和 cert 身份验证方法。 对于 cert 身份验证，如果没有提供 role_id，则默认行为是尝试所有证书角色并返回任何匹配的角色。 对于 azure 身份验证，role_id 是必需的。
secret_id 字符串	用于 Vault AppRole 身份验证的密钥 ID。
timeout 整数 在 community.hashi_vault 1.3.0 中添加	设置连接超时时间（以秒为单位）。 如果未设置，则使用 hvac 库的默认值。
token 字符串	Vault 令牌。令牌可以通过显式方式指定、通过列出的 [env] 变量指定，也可以通过 VAULT_TOKEN 环境变量指定。 如果未显式或通过环境变量提供令牌，则插件将检查令牌文件，由 token_path 和 token_file 确定。 令牌加载的顺序（先找到的优先）是 token 参数 -> ansible 变量 -> ANSIBLE_HASHI_VAULT_TOKEN -> VAULT_TOKEN -> 令牌文件。
token_file 字符串	如果未指定令牌，将尝试从 token_path 中的此文件读取令牌。 默认值: ".vault-token"
token_path 字符串	如果未指定令牌，将尝试从此路径读取 token_file。
token_validate 布尔值 在 community.hashi_vault 0.2.0 中添加	对于令牌身份验证，将执行 lookup-self 操作以确定令牌的有效性，然后再使用它。 如果您的令牌没有 lookup-self 功能，则禁用此选项。 选项 false ← (默认) true
url 字符串	Vault 服务的 URL。 如果未通过任何其他方式指定，则将使用 VAULT_ADDR 环境变量的值。 如果也未定义 VAULT_ADDR，则会引发错误。
username 字符串	身份验证用户名。
validate_certs 布尔值	控制 SSL 证书的验证，通常只在自签名证书的情况下才需要关闭。 如果设置了 VAULT_SKIP_VERIFY 且未显式提供 validate_certs，则将使用 VAULT_SKIP_VERIFY 的反向值。 如果未设置 validate_certs 或 VAULT_SKIP_VERIFY，则默认值为 true。 选项 false true

属性

属性	支持	描述
action_group	操作组: community.hashi_vault.vault	在 module_defaults 中使用 group/community.hashi_vault.vault 为此模块设置默认值。
check_mode	支持: 部分 如果 read_before_write 为 true，则支持完整的检查模式功能。 如果 read_before_write 为 false，则状态将始终为 changed，但在检查模式下不会执行写入操作。	可以在 check_mode 中运行，并返回更改状态的预测，而无需修改目标。

另请参阅

另请参阅

community.hashi_vault.vault_write

针对 HashiCorp Vault 执行写入操作。

community.hashi_vault.vault_kv2_get

从 HashiCorp Vault 的 KV 版本 2 密钥存储中获取密钥。

community.hashi_vault.vault_kv2_delete

从 HashiCorp Vault 的 KV 版本 2 密钥存储中删除一个或多个版本的密钥。

community.hashi_vault.vault_write lookup

community.hashi_vault.vault_write 查找插件的官方文档。

KV2 密钥引擎

Vault KV 密钥引擎版本 2 的文档。

示例

- name: Write/create a secret
  community.hashi_vault.vault_kv2_write:
    url: https://vault:8200
    path: hello
    data:
      foo: bar

- name: Create a secret with CAS (the secret must not exist)
  community.hashi_vault.vault_kv2_write:
    url: https://vault:8200
    path: caspath
    cas: 0
    data:
      foo: bar

- name: Update a secret with CAS
  community.hashi_vault.vault_kv2_write:
    url: https://vault:8200
    path: caspath
    cas: 2
    data:
      hello: world

# This module does not have patch capability built in.
# Patching can be achieved with multiple tasks.

- name: Retrieve current secret
  register: current
  community.hashi_vault.vault_kv2_get:
    url: https://vault:8200
    path: hello

## patch without CAS
- name: Update the secret
  vars:
    values_to_update:
      foo: baz
      hello: goodbye
  community.hashi_vault.vault_kv2_write:
    url: https://vault:8200
    path: hello
    data: >-
      {{
        current.secret
        | combine(values_to_update)
      }}

## patch with CAS
- name: Update the secret
  vars:
    values_to_update:
      foo: baz
      hello: goodbye
  community.hashi_vault.vault_kv2_write:
    url: https://vault:8200
    path: hello
    cas: '{{ current.metadata.version | int }}'
    data: >-
      {{
        current.secret
        | combine(values_to_update)
      }}

返回值

常见的返回值记录在此处，以下是此模块特有的字段

键	描述
raw 字典	原始 Vault 响应。 返回值: changed 示例: {"auth": null, "data": {"created_time": "2023-02-21T19:51:50.801757862Z", "custom_metadata": null, "deletion_time": "", "destroyed": false, "version": 1}, "lease_duration": 0, "lease_id": "", "renewable": false, "request_id": "52eb1aa7-5a38-9a02-9246-efc5bf9581ec", "warnings": null, "wrap_info": null}

作者

• Devon Mar (@devon-mar)

集合链接

• 问题跟踪器
• 存储库（来源）
• 讨论、问答、故障排除
• 通信