модуль cisco.intersight.intersight_confidential_compute — политика BIOS для конфиденциальных вычислений в Cisco Intersight

api_key_id

string / обязательный

Идентификатор открытого API-ключа, связанного с закрытым ключом.

Если значение не задано, используется значение переменной окружения INTERSIGHT_API_KEY_ID.

api_private_key

path / обязательный

Имя файла (абсолютный путь) или строка с данными закрытого ключа в формате PEM для аутентификации в API Intersight.

Если используется строка, её следует зашифровать с помощью Ansible Vault.

Например: ansible-vault encrypt_string --vault-id tme@/Users/dsoper/Documents/vault_password_file ‘-----BEGIN EC PRIVATE KEY-----

<your private key data>

-----END EC PRIVATE KEY-----’

Если значение не задано, используется значение переменной окружения INTERSIGHT_API_PRIVATE_KEY.

api_uri

string

URI для доступа к API Intersight.

Если значение не задано, используется значение переменной окружения INTERSIGHT_API_URI.

По умолчанию: "https://intersight.com/api/v1"

description

псевдонимы: descr

string

Описание политики BIOS, заданное пользователем.

enable_tme

string

Переопределение параметра Intel Total Memory Encryption (TME).

TME — необходимое условие для SGX; функция шифрует всю системную память с помощью ключа платформы.

Автоматически включается профилями intel_sgx; задавайте значение явно только для переопределения настройки.

Варианты:

• "platform-default"
• "enabled"
• "disabled"

name

string / обязательный

Имя, присвоенное политике BIOS.

Имя должно содержать от 1 до 62 буквенно-цифровых символов; допускаются специальные символы :-_.

numa_optimized

string

Переопределение оптимизации NUMA.

Во всех профилях конфиденциальных вычислений оптимизация NUMA включена по умолчанию.

Варианты:

• "platform-default"
• "enabled"
• "disabled"

organization

string

Название организации, которой назначен этот ресурс.

Профили и политики, созданные в пользовательской организации, применимы только к устройствам той же организации.

По умолчанию: "default"

security_profile

string / обязательный

Применяемый профиль безопасности конфиденциальных вычислений.

amd_sev включает AMD Secure Encrypted Virtualization с шифрованием памяти виртуальных машин. Память ВМ шифруется отдельными ключами для каждой ВМ, поэтому гипервизор не может читать данные гостевой системы. Требуются процессоры AMD EPYC (Milan/Genoa или новее).

amd_sev_snp включает AMD SEV с Secure Nested Paging для более строгой изоляции. Помимо шифрования памяти SEV добавляется защита целостности, предотвращающая подмену гипервизором соответствий памяти гостевой системы. Требуется AMD EPYC Genoa или новее.

intel_sgx включает Intel Software Guard Extensions для анклавов на уровне приложений. Создаются аппаратно зашифрованные анклавы памяти, защищающие определённые данные приложений даже от ОС и гипервизора. Требуется Intel Xeon Scalable (Ice Lake или новее).

intel_sgx_with_auto_reg включает Intel SGX с агентом автоматической регистрации. Включает все настройки intel_sgx, а также агент автоматической регистрации SGX, упрощающий регистрацию в службе аттестации.

Варианты:

• "amd_sev"
• "amd_sev_snp"
• "intel_sgx"
• "intel_sgx_with_auto_reg"

sev_asid_count

string

Количество идентификаторов адресного пространства (ASID) AMD SEV для выделения.

Большее количество ASID позволяет одновременно запускать больше зашифрованных ВМ, но может сократить число доступных ASID для SEV-SNP.

Применяется только к профилям безопасности amd_sev и amd_sev_snp.

Варианты:

• "platform-default"
• "253 ASIDs"
• "509 ASIDs"

sgx_epoch0

string

Значение Intel SGX Epoch 0. Его изменение делает недействительными все существующие запечатанные данные SGX.

Применяется только к профилям intel_sgx и intel_sgx_with_auto_reg.

Используйте с осторожностью в производственных средах.

sgx_epoch1

string

Значение Intel SGX Epoch 1. Его изменение делает недействительными все существующие запечатанные данные SGX.

Применяется только к профилям intel_sgx и intel_sgx_with_auto_reg.

Используйте с осторожностью в производственных средах.

state

string

Если задано значение present, проверяется наличие ресурса и при необходимости он создаётся.

Если задано значение absent, проверяется отсутствие ресурса и при необходимости он удаляется.

Варианты:

• "present" ← (по умолчанию)
• "absent"

tags

list / элементы=dictionary

Список тегов в формате Key:<ключ, заданный пользователем> Value:<значение, заданное пользователем>.

use_proxy

boolean

Если значение равно no, прокси использоваться не будет, даже если он задан в переменной окружения на целевых узлах.

Варианты:

• false
• true ← (по умолчанию)

validate_certs

boolean

Логический параметр, управляющий проверкой TLS-сертификата api_uri.

Варианты:

• false
• true ← (по умолчанию)

api_response

dictionary

Выходные данные ответа API, возвращённые указанным ресурсом.

Возвращается: всегда

Пример: {"api_response": {"CbsSevSnpSupport": "enabled", "Name": "bios-amd-sev-ai", "ObjectType": "bios.Policy", "Sev": "509 ASIDs"}}

applied_settings

dictionary

Настройки BIOS, применённые профилем безопасности и любыми переопределениями.

Возвращается: если state имеет значение present