community.hashi_vault.vault_read lookup – 对 HashiCorp Vault 执行读取操作
注意
此 lookup 插件是 community.hashi_vault 集合（版本 6.2.0）的一部分。
如果您正在使用 ansible 包，您可能已经安装了此集合。它不包含在 ansible-core 中。要检查是否已安装，请运行 ansible-galaxy collection list。
要安装它，请使用： ansible-galaxy collection install community.hashi_vault。您需要进一步的要求才能使用此 lookup 插件，请参阅 要求 以了解详细信息。
要在 playbook 中使用它，请指定： community.hashi_vault.vault_read。
community.hashi_vault 1.4.0 新增
概要
对 HashiCorp Vault 中给定路径执行通用读取操作。
要求
以下要求需要在执行此 lookup 的本地控制器节点上满足。
术语
参数 |
注释 |
|---|---|
要读取的 Vault 路径。 |
关键字参数
这描述了 lookup 的关键字参数。这些是以下示例中的 key1=value1、key2=value2 等值： lookup('community.hashi_vault.vault_read', key1=value1, key2=value2, ...) 和 query('community.hashi_vault.vault_read', key1=value1, key2=value2, ...)
参数 |
注释 |
|---|---|
要使用的身份验证方法。
选择
配置
|
|
如果指定，则将值设置为用于 配置
|
|
如果使用临时访问密钥和密钥，则为 AWS 安全令牌。 配置
|
|
Azure AD 服务主体或托管标识的客户端 ID（也称为应用程序 ID）。应为 UUID。 如果未指定，将使用系统分配的托管标识。 配置
|
|
Azure AD 服务主体的客户端密钥。 配置
|
|
在 Azure Active Directory 中注册的应用程序的资源 URL。通常不应更改为默认值。 默认: 配置
|
|
服务主体的 Azure Active Directory 租户 ID（也称为目录 ID）。应为 UUID。 当使用服务主体向 Vault 进行身份验证时，例如当同时指定 azure_client_id 和 azure_client_secret 时，此项是必需的。 当使用托管标识向 Vault 进行身份验证时，此项是可选的。 配置
|
|
用于身份验证的证书的路径。 如果未通过任何其他方式指定，将使用 配置
|
|
对于 配置
|
|
对于 配置
|
|
Vault 挂载点。 如果未指定，则使用给定身份验证方法的默认挂载点。 不适用于令牌身份验证。 配置
|
|
Vault 命名空间，其中驻留着机密。此选项需要 HVAC 0.7.0+ 和 Vault 0.11+。 可选地，可以通过在身份验证挂载点和/或机密路径前加上命名空间来实现（例如 如果设置了环境变量 配置
|
|
身份验证密码。 配置
|
|
用于访问 Vault 服务的代理 URL。 它可以是字符串或字典。 如果它是字典，请将方案（例如 如果它是字符串，请提供一个将用作 可以解释为字典的字符串将转换为字典（请参见示例）。 可以为 HTTP 和 HTTPS 资源指定不同的代理。 如果未指定，则使用 Requests 库中的环境变量。 配置
|
|
允许根据 urllib3 库中的 Retry 类重试错误。 此集合定义了重试连接到 Vault 的建议默认值。 此选项可以指定为正数（整数）或字典。 如果未指定此选项或该数字为 数字设置重试总次数，并对其他设置使用集合默认值。 字典值直接用于初始化 有关重试的详细信息，请参阅集合用户指南。 配置
|
|
控制是否以及如何显示有关重试的消息。 如果请求未重试，则此项无效。 选择
配置
|
|
Vault 角色 ID 或名称。用于 对于 对于 配置
|
|
用于 Vault AppRole 身份验证的机密 ID。 配置
|
|
设置连接超时时间（以秒为单位）。 如果未设置，则使用 配置
|
|
Vault 令牌。令牌可以通过显式指定、通过列出的[env]变量以及通过 如果未显式提供令牌，或者通过环境变量提供，则插件将检查令牌文件，该文件由 token_path 和 token_file 确定。 令牌加载顺序（先找到的优先）为 配置
|
|
如果没有指定令牌，则会尝试从 token_path 中的此文件中读取令牌。 默认值： 配置
|
|
如果没有指定令牌，则会尝试从此路径读取 token_file。 配置
|
|
对于令牌身份验证，将执行 如果您的令牌不具备 选择
配置
|
|
Vault 服务的 URL。 如果未通过任何其他方式指定，则将使用 如果 配置
|
|
身份验证用户名。 配置
|
|
控制 SSL 证书的验证和校验，通常只在自签名证书的情况下才需要关闭此项。 如果设置了 如果未设置 validate_certs 或 选择
配置
|
备注
注意
当关键字和位置参数一起使用时，位置参数必须列在关键字参数之前：
lookup('community.hashi_vault.vault_read', term1, term2, key1=value1, key2=value2)和query('community.hashi_vault.vault_read', term1, term2, key1=value1, key2=value2)
另请参阅
另请参阅
- community.hashi_vault.vault_read
对 HashiCorp Vault 执行读取操作。
- community.hashi_vault.hashi_vault lookup
community.hashi_vault.hashi_vaultlookup 插件的官方文档。
示例
- name: Read a kv2 secret
ansible.builtin.debug:
msg: "{{ lookup('community.hashi_vault.vault_read', 'secret/data/hello', url='https://vault:8201') }}"
- name: Retrieve an approle role ID
ansible.builtin.debug:
msg: "{{ lookup('community.hashi_vault.vault_read', 'auth/approle/role/role-name/role-id', url='https://vault:8201') }}"
- name: Perform multiple reads with a single Vault login
vars:
paths:
- secret/data/hello
- auth/approle/role/role-one/role-id
- auth/approle/role/role-two/role-id
ansible.builtin.debug:
msg: "{{ lookup('community.hashi_vault.vault_read', *paths, auth_method='userpass', username=user, password=pwd) }}"
- name: Perform multiple reads with a single Vault login in a loop
vars:
paths:
- secret/data/hello
- auth/approle/role/role-one/role-id
- auth/approle/role/role-two/role-id
ansible.builtin.debug:
msg: '{{ item }}'
loop: "{{ query('community.hashi_vault.vault_read', *paths, auth_method='userpass', username=user, password=pwd) }}"
- name: Perform multiple reads with a single Vault login in a loop (via with_)
vars:
ansible_hashi_vault_auth_method: userpass
ansible_hashi_vault_username: '{{ user }}'
ansible_hashi_vault_password: '{{ pwd }}'
ansible.builtin.debug:
msg: '{{ item }}'
with_community.hashi_vault.vault_read:
- secret/data/hello
- auth/approle/role/role-one/role-id
- auth/approle/role/role-two/role-id
返回值
键 |
描述 |
|---|---|
对给定路径执行读取操作的原始结果。 返回： 成功 |