azure - 无法在 ansible 中获取 azure key Vault secret

Question

我尝试使用 azcollection 从我的 ansible 4 playbook 中的 azure key Vault 获取 secret 1.9.0。

- name: Get secret value
  azure_rm_keyvaultsecret_info:
    vault_uri: https://my-vault.vault.azure.net/
  register: kvSecret

根据docs结果应包含一个 secret 列表，其中包含一个名为 secret 的属性，其中包含 secret 值。

但是，该属性不存在于结果集中。这是我得到的结果:

{
    "changed": False,
    "secrets": [
        {
            "sid": "https: //my-vault.vault.azure.net/secrets/ssh-user-username",
            "version": "",
            "tags": {},
            "attributes": {
                "enabled": True,
                "not_before": None,
                "expires": None,
                "created": "2021-09-05T14:32:10+00:00",
                "updated": "2021-09-05T14:32:10+00:00",
                "recovery_level": "Recoverable+Purgeable"
            }
        }
    ],
    "failed": False
}

如果我尝试使用 name 选项获取这个确切的 secret ，我会得到一个空的结果集。

我的保管库包含此 key ，它有一个值，并且服务主体可以通过 IAM 使用 Key Vault Reader 和 Key Vault Secrets User 角色访问我的 Key Vault .

Answer 1

我在我的环境中对其进行了测试，我的服务主体拥有 Key Vault 读取器和 Key Vault secret 用户以及以下 yml 代码。

---
- hosts: localhost
  connection: local
  collections:
    - azure.azcollection

  vars:
    vault_name: Testansumankeyvault01
    secret_name: adminPassword

  tasks:

  - name: Get Key Vault by name
    azure_rm_keyvault_info:
      resource_group: test-rg
      name: "{{ vault_name }}"
    register: keyvault

  - name: Set key vault URI fact
    set_fact: keyvaulturi="{{ keyvault['keyvaults'][0]['vault_uri'] }}"

  - name: Get secret value
    azure_rm_keyvaultsecret_info:
      vault_uri: "{{ keyvaulturi }}"
      name: "{{ secret_name }}"
    register: kvSecret

  - name: set secret fact
    set_fact: secretValue="{{ kvSecret['secrets'][0]['secret'] }}"

  - name: Output key vault secret
    debug: 
      msg="{{ secretValue }}"

引用:

Azure built-in roles - Azure RBAC | Microsoft Docs

Use Azure Key Vault to store VM secrets with Ansible | Microsoft Docs