community.hashi_vault.vault_token_create lookup – 创建 HashiCorp Vault 令牌
注意
此 lookup 插件是 community.hashi_vault 集合（版本 6.2.0）的一部分。
如果您使用的是 ansible 包，您可能已经安装了此集合。它不包含在 ansible-core 中。要检查是否已安装，请运行 ansible-galaxy collection list。
要安装它，请使用：ansible-galaxy collection install community.hashi_vault。您需要其他要求才能使用此 lookup 插件，请参阅 要求 以了解详细信息。
要在 playbook 中使用它，请指定：community.hashi_vault.vault_token_create。
community.hashi_vault 2.3.0 中的新增功能
概要
在 HashiCorp Vault 中创建令牌，返回响应，包括令牌。
要求
在执行此 lookup 的本地控制器节点上需要满足以下要求。
术语
参数 |
注释 |
|---|---|
这是未使用的，任何提供的术语都将被忽略。 |
关键字参数
这描述了 lookup 的关键字参数。这些是以下示例中的值 key1=value1、key2=value2 等：lookup('community.hashi_vault.vault_token_create', key1=value1, key2=value2, ...) 和 query('community.hashi_vault.vault_token_create', key1=value1, key2=value2, ...)
参数 |
注释 |
|---|---|
要使用的身份验证方法。 在集合版本 在集合版本 在集合版本 在集合版本 选择
配置
|
|
如果指定，则设置要用作 配置
|
|
如果使用临时访问密钥和密钥，则为 AWS 安全令牌。 配置
|
|
Azure AD 服务主体或托管标识的客户端 ID（也称为应用程序 ID）。应该是一个 UUID。 如果未指定，将使用系统分配的托管标识。 配置
|
|
Azure AD 服务主体的客户端密钥。 配置
|
|
在 Azure Active Directory 中注册的应用程序的资源 URL。通常不应更改默认值。 默认值： 配置
|
|
服务主体的 Azure Active Directory 租户 ID（也称为目录 ID）。应该是一个 UUID。 当使用服务主体向 Vault 进行身份验证时是必需的，例如，当同时指定 *azure_client_id* 和 *azure_client_secret* 时是必需的。 当使用托管标识向 Vault 进行身份验证时是可选的。 配置
|
|
用于身份验证的证书的路径。 如果未通过任何其他方式指定，将使用 配置
|
|
对于 配置
|
|
对于 配置
|
|
令牌的显示名称。 |
|
在令牌创建期间要关联的实体别名的名称。 仅在与 *role_name* 选项结合使用时有效，并且使用的实体别名必须列在 如果已指定此项，则实体将不会从父实体继承。 |
|
如果设置，令牌将在其上设置显式的最大 TTL。 此最大令牌 TTL 以后无法更改，并且与普通令牌不同，对系统/挂载最大 TTL 值的更新在续订时将不起作用。 令牌将永远无法续订或在发出时设置的值之后使用。 |
|
客户端令牌的 ID。只能由根令牌指定。 提供的 ID 可能不包含 否则，令牌 ID 是随机生成的值。 |
|
字符串到字符串值的元数据的字典。这将传递到审计设备。 |
|
Vault 挂载点。 如果未指定，则使用给定身份验证方法的默认挂载点。 不适用于令牌身份验证。 配置
|
|
秘密所在的 Vault 命名空间。此选项需要 HVAC 0.7.0+ 和 Vault 0.11+。 或者，可以通过在身份验证挂载点和/或秘密路径前添加命名空间来实现此目的（例如 如果设置了环境变量 配置
|
|
如果为 如果要将令牌与此集合一起使用，请设置 *token_validate=false*。 选择
|
|
此选项仅在 当为 选择
|
|
给定令牌的最大使用次数。这可用于创建一次性令牌或限制使用令牌。 值 |
|
当为 对于 选择
|
|
身份验证密码。 配置
|
|
如果指定，令牌将是周期性的。 它将没有最大 TTL（除非还设置了 *explicit_max_ttl*），但每次续订都将使用给定的周期。 需要根令牌或具有 |
|
令牌的策略列表。这必须是发出请求的令牌的策略的子集，除非是根令牌。 如果未指定，则默认为调用令牌的所有策略。 |
|
用于访问 Vault 服务的代理的 URL。 它可以是字符串或字典。 如果它是字典，请将方案（例如， 如果它是字符串，请提供一个将用作 可以解释为字典的字符串将转换为字典（请参阅示例）。 您可以为 HTTP 和 HTTPS 资源指定不同的代理。 如果未指定，则使用Requests 库中的环境变量。 配置
|
|
设置为 将值设置为 选择
|
|
允许根据 urllib3 库中的 Retry 类重试错误。 此集合定义了重试与 Vault 连接的建议默认值。 此选项可以指定为正数（整数）或字典。 如果未指定此选项或数字为 数字设置重试的总次数，并使用集合默认值进行其他设置。 字典值直接用于初始化 有关重试的详细信息，请参阅集合用户指南。 配置
|
|
控制是否以及如何显示有关 *retries* 的消息。 如果未重试请求，则此操作无效。 选择
配置
|
|
Vault 角色 ID 或名称。用于 对于 对于 配置
|
|
令牌角色的名称。如果使用，令牌将根据指定的角色名称创建，这可能会覆盖此调用期间设置的选项。 |
|
用于 Vault AppRole 身份验证的密钥 ID。 配置
|
|
设置连接超时时间（秒）。 如果未设置，则使用 配置
|
|
Vault 令牌。令牌可以通过列出的 [env] 变量显式指定，也可以通过 如果没有显式或通过环境变量提供令牌，则插件将检查令牌文件，由 token_path 和 token_file 确定。 令牌加载的顺序（先找到的优先）是 配置
|
|
如果未指定令牌，将尝试从 token_path 中的此文件读取令牌。 默认值： 配置
|
|
如果未指定令牌，将尝试从此路径读取 token_file。 配置
|
|
对于令牌认证，将执行 如果您的令牌没有 选择
配置
|
|
令牌的 TTL 期限，例如 如果未提供，则令牌在默认租约 TTL 期间有效，或者如果使用根策略，则无限期有效。 |
|
令牌类型。默认值由 role_name 指定的角色配置确定。 选择
|
|
Vault 服务的 URL。 如果未通过任何其他方式指定，将使用 如果 配置
|
|
身份验证用户名。 配置
|
|
控制 SSL 证书的验证和校验，通常只在自签名证书时才需要关闭。 如果设置了 如果既未设置 validate_certs 也未设置 选择
配置
|
|
指定使用持续时间创建响应包装令牌。例如， 配置
|
说明
注意
当关键字参数和位置参数一起使用时，位置参数必须列在关键字参数之前：
lookup('community.hashi_vault.vault_token_create', term1, term2, key1=value1, key2=value2)和query('community.hashi_vault.vault_token_create', term1, term2, key1=value1, key2=value2)令牌创建是一项写入操作（创建持久化到存储的令牌），因此此模块始终报告
changed=True。但是，对于 Ansible playbook，如果您对目标系统进行幂等性检查，则设置 changed_when=false 可能更有用。
在检查模式下，此模块不会创建令牌，而是返回一个带有空令牌的基本结构。但是，如果后续任务需要令牌，这可能没有用。最好在 check_mode=false 的情况下使用此模块，以便拥有一个可以使用的有效令牌。
另请参阅
另请参阅
- community.hashi_vault.vault_token_create
创建 HashiCorp Vault 令牌。
- community.hashi_vault.vault_login lookup
community.hashi_vault.vault_loginlookup 插件的官方文档。- community.hashi_vault.vault_login
对 HashiCorp Vault 执行登录操作。
- community.hashi_vault.vault_login_token filter
community.hashi_vault.vault_login_tokenfilter 插件的官方文档。
示例
- name: Login via userpass and create a child token
ansible.builtin.set_fact:
token_data: "{{ lookup('community.hashi_vault.vault_token_create', url='https://vault', auth_method='userpass', username=user, password=passwd) }}"
- name: Retrieve an approle role ID using the child token (token via filter)
community.hashi_vault.vault_read:
url: https://vault:8201
auth_method: token
token: '{{ token_data | community.hashi_vault.vault_login_token }}'
path: auth/approle/role/role-name/role-id
register: approle_id
- name: Retrieve an approle role ID (token via direct dict access)
community.hashi_vault.vault_read:
url: https://vault:8201
auth_method: token
token: '{{ token_data.auth.client_token }}'
path: auth/approle/role/role-name/role-id
register: approle_id
# implicitly uses url & token auth with a token from the environment
- name: Create an orphaned token with a short TTL and display the full response
ansible.builtin.debug:
var: lookup('community.hashi_vault.vault_token_create', orphan=True, ttl='60s')
返回值
键 |
描述 |
|---|---|
令牌创建操作的结果。 已返回： 成功 示例： |
|
令牌响应的 已返回： 成功 |
|
包含新创建的令牌。 已返回： 成功 |
|
令牌响应的 已返回： 成功，如果可用 |