community.hashi_vault.vault_list 查询 – 对 HashiCorp Vault 执行列表操作
注意
此查询插件是 community.hashi_vault 集合 (版本 6.2.0) 的一部分。
如果您使用的是 ansible 包，则可能已经安装了此集合。它不包含在 ansible-core 中。要检查它是否已安装，请运行 ansible-galaxy collection list。
要安装它，请使用： ansible-galaxy collection install community.hashi_vault。您需要其他要求才能使用此查询插件，有关详细信息，请参见 要求。
要在剧本中使用它，请指定： community.hashi_vault.vault_list。
community.hashi_vault 4.1.0 中的新增功能
概要
对 HashiCorp Vault 中给定路径执行通用列表操作。
要求
以下要求是在执行此查询的本地控制器节点上所需的。
术语
参数 |
注释 |
|---|---|
要列出的 Vault 路径。 |
关键字参数
此部分描述查询的关键字参数。这些是在以下示例中的值 key1=value1、key2=value2 等：lookup('community.hashi_vault.vault_list', key1=value1, key2=value2, ...) 和 query('community.hashi_vault.vault_list', key1=value1, key2=value2, ...)
参数 |
注释 |
|---|---|
要使用的身份验证方法。
选项
配置
|
|
如果指定，则将值设置为 配置
|
|
如果使用临时访问密钥和密钥，则为 AWS 安全令牌。 配置
|
|
Azure AD 服务主体或托管标识的客户端 ID（也称为应用程序 ID）。应为 UUID。 如果未指定，将使用系统分配的托管标识。 配置
|
|
Azure AD 服务主体的客户端密钥。 配置
|
|
在 Azure Active Directory 中注册的应用程序的资源 URL。通常不应更改默认值。 默认值： 配置
|
|
服务主体的 Azure Active Directory 租户 ID（也称为目录 ID）。应为 UUID。 使用服务主体进行 Vault 身份验证时需要，例如，当同时指定了 *azure_client_id* 和 *azure_client_secret* 时需要。 使用托管标识进行 Vault 身份验证时可选。 配置
|
|
用于身份验证的证书路径。 如果没有通过其他方式指定，则将使用 配置
|
|
对于 配置
|
|
对于 配置
|
|
Vault 挂载点。 如果未指定，则使用给定身份验证方法的默认挂载点。 不适用于令牌身份验证。 配置
|
|
秘密所在的 Vault 命名空间。此选项需要 HVAC 0.7.0+ 和 Vault 0.11+。 或者，可以通过在身份验证挂载点和/或秘密路径前添加命名空间来实现此目的（例如 如果设置了环境变量 配置
|
|
身份验证密码。 配置
|
|
用于访问 Vault 服务的代理的 URL。 它可以是字符串或字典。 如果是字典，则提供方案（例如 如果是字符串，则提供单个 URL，该 URL 将用作 可以解释为字典的字符串将转换为字典（请参阅示例）。 您可以为 HTTP 和 HTTPS 资源指定不同的代理。 如果未指定，则使用 Requests 库的环境变量。 配置
|
|
允许根据 urllib3 库中的 Retry 类 重试错误。 此集合定义了重试与 Vault 建立连接的推荐默认值。 此选项可以指定为正数（整数）或字典。 如果未指定此选项或数字为 数字设置重试的总数，并对其他设置使用集合默认值。 字典值直接用于初始化 有关重试的详细信息，请参阅集合用户指南。 配置
|
|
控制是否以及如何显示 *retries* 的消息。 如果未重试请求，则此选项无效。 选项
配置
|
|
Vault 角色 ID 或名称。用于 对于 对于 配置
|
|
用于 Vault AppRole 身份验证的密钥 ID。 配置
|
|
设置连接超时时间（秒）。 如果未设置，则使用 配置
|
|
Vault 令牌。令牌可以显式指定，通过列出的 [env] 变量指定，也可以通过 如果没有显式提供令牌或通过环境变量提供令牌，插件将检查令牌文件，该文件由 *token_path* 和 *token_file* 确定。 令牌加载顺序（先找到先用）为 配置
|
|
如果没有指定令牌，将尝试从 *token_path* 中的此文件读取令牌。 默认值： 配置
|
|
如果没有指定令牌，将尝试从此路径读取 *token_file*。 配置
|
|
对于令牌身份验证，将在使用令牌之前执行 如果您的令牌没有 选项
配置
|
|
Vault 服务的 URL。 如果未通过其他任何方式指定，则将使用 如果 配置
|
|
身份验证用户名。 配置
|
|
控制 SSL 证书的验证，大多数情况下只有在使用自签名证书时才需要关闭。 如果设置了 如果既未设置 *validate_certs* 也未设置 选项
配置
|
备注
注意
当关键字参数和位置参数一起使用时，位置参数必须列在关键字参数之前：
lookup('community.hashi_vault.vault_list', term1, term2, key1=value1, key2=value2)和query('community.hashi_vault.vault_list', term1, term2, key1=value1, key2=value2)
另请参见
另请参见
- community.hashi_vault.vault_list
对 HashiCorp Vault 执行列表操作。
示例
- name: List all secrets at a path
ansible.builtin.debug:
msg: "{{ lookup('community.hashi_vault.vault_list', 'secret/metadata', url='https://vault:8201') }}"
# For kv2, the path needs to follow the pattern 'mount_point/metadata' or 'mount_point/metadata/path' to list all secrets in that path
- name: List access policies
ansible.builtin.debug:
msg: "{{ lookup('community.hashi_vault.vault_list', 'sys/policies/acl', url='https://vault:8201') }}"
- name: Perform multiple list operations with a single Vault login
vars:
paths:
- secret/metadata
- sys/policies/acl
ansible.builtin.debug:
msg: "{{ lookup('community.hashi_vault.vault_list', *paths, auth_method='userpass', username=user, password=pwd) }}"
- name: Perform multiple list operations with a single Vault login in a loop
vars:
paths:
- secret/metadata
- sys/policies/acl
ansible.builtin.debug:
msg: '{{ item }}'
loop: "{{ query('community.hashi_vault.vault_list', *paths, auth_method='userpass', username=user, password=pwd) }}"
- name: Perform list operations with a single Vault login in a loop (via with_)
vars:
ansible_hashi_vault_auth_method: userpass
ansible_hashi_vault_username: '{{ user }}'
ansible_hashi_vault_password: '{{ pwd }}'
ansible.builtin.debug:
msg: '{{ item }}'
with_community.hashi_vault.vault_list:
- secret/metadata
- sys/policies/acl
- name: Create fact consisting of list of dictionaries each with secret name (e.g. username) and value of a key (e.g. 'password') within that secret
ansible.builtin.set_fact:
credentials: >-
{{
credentials
| default([]) + [
{
'username': item,
'password': lookup('community.hashi_vault.vault_kv2_get', item, engine_mount_point='vpn-users').secret.password
}
]
}}
loop: "{{ query('community.hashi_vault.vault_list', 'vpn-users/metadata')[0].data['keys'] }}"
no_log: true
- ansible.builtin.debug:
msg: "{{ credentials }}"
- name: Create the same as above without looping, and only 2 logins
vars:
secret_names: >-
{{
query('community.hashi_vault.vault_list', 'vpn-users/metadata')
| map(attribute='data')
| map(attribute='keys')
| flatten
}}
secret_values: >-
{{
lookup('community.hashi_vault.vault_kv2_get', *secret_names, engine_mount_point='vpn-users')
| map(attribute='secret')
| map(attribute='password')
| flatten
}}
credentials_dict: "{{ dict(secret_names | zip(secret_values)) }}"
ansible.builtin.set_fact:
credentials_dict: "{{ credentials_dict }}"
credentials_list: "{{ credentials_dict | dict2items(key_name='username', value_name='password') }}"
no_log: true
- ansible.builtin.debug:
msg:
- "Dictionary: {{ credentials_dict }}"
- "List: {{ credentials_list }}"
- name: List all userpass users and output the token policies for each user
ansible.builtin.debug:
msg: "{{ lookup('community.hashi_vault.vault_read', 'auth/userpass/users/' + item).data.token_policies }}"
loop: "{{ query('community.hashi_vault.vault_list', 'auth/userpass/users')[0].data['keys'] }}"
返回值
键 |
描述 |
|---|---|
对给定路径读取的原始结果。 返回：成功 |