Spec-Zone.ru › Ansible

Модуль cisco.intersight.intersight_macsec_policy — настройка политики MACsec для Cisco Intersight

Примечание

Этот модуль входит в коллекцию cisco.intersight (версия 2.18.0).

Возможно, эта коллекция уже установлена, если вы используете пакет ansible. Она не входит в ansible-core. Чтобы проверить, установлена ли она, выполните ansible-galaxy collection list.

Чтобы установить её, используйте: ansible-galaxy collection install cisco.intersight.

Чтобы использовать её в плейбуке, укажите: cisco.intersight.intersight_macsec_policy.

  • Краткое описание
  • Параметры
  • Примеры
  • Возвращаемые значения

Краткое описание

  • Управляет настройкой политики MACsec в Cisco Intersight.
  • Политика для настройки параметров шифрования MACsec на портах межкоммутаторных соединений Fabric.
  • Поддерживает настройку основной связки ключей и необязательной резервной связки ключей.
  • Дополнительную информацию см. в документации Cisco Intersight.

Параметры

Параметр

Комментарии

api_key_id

string / обязательный

Идентификатор открытого ключа API, связанного с закрытым ключом.

Если параметр не задан, используется значение переменной среды INTERSIGHT_API_KEY_ID.

api_private_key

path / обязательный

Имя файла (абсолютный путь) или строка с данными закрытого ключа в формате PEM, используемого для аутентификации в API Intersight.

Если используется строка, для её шифрования следует использовать Ansible Vault.

Например: ansible-vault encrypt_string --vault-id tme@/Users/dsoper/Documents/vault_password_file ‘-----BEGIN EC PRIVATE KEY-----

<your private key data>

-----END EC PRIVATE KEY-----’

Если параметр не задан, используется значение переменной среды INTERSIGHT_API_PRIVATE_KEY.

api_uri

string

URI для доступа к API Intersight.

Если параметр не задан, используется значение переменной среды INTERSIGHT_API_URI.

По умолчанию: "https://intersight.com/api/v1"

cipher_suite

string

Набор шифров для шифрования MACsec.

Варианты:

  • "gcm-aes-xpn-256" ← (по умолчанию)
  • "gcm-aes-128"
  • "gcm-aes-256"
  • "gcm-aes-xpn-128"

confidentiality_offset

string

Смещение конфиденциальности MACsec задаёт число байтов, отсчитываемых от заголовка кадра.

MACsec шифрует только байты кадра, расположенные после смещения.

Варианты:

  • "conf-offset-0" ← (по умолчанию)
  • "conf-offset-30"
  • "conf-offset-50"

configure_fallback_keychain

boolean

Включить настройку резервной связки ключей.

Варианты:

  • false ← (по умолчанию)
  • true

description

псевдонимы: descr

string

Описание политики MACsec, заданное пользователем.

Описание может содержать буквы (a-z, A-Z), цифры (0-9), дефис (-), точку (.), двоеточие (:) или символ подчёркивания (_).

eapol_ethertype

string

Ethertype для кадров EAPoL с блоками данных протокола MKA (PDU).

Диапазон: от 0x600 до 0xffff.

По умолчанию: "0x888e"

eapol_mac_address

string

MAC-адрес для протокола расширенной аутентификации через локальную сеть (EAPoL), используемого для блоков данных протокола MKA (PDU).

MAC-адрес EAPoL не должен состоять только из нулей (0000.0000.0000).

По умолчанию: "0180.C200.0003"

fallback_keychain_name

string

Имя резервной связки ключей.

Обязателен, если configure_fallback_keychain имеет значение true.

fallback_keys

list / элементы=dictionary

Список ключей безопасности для резервной связки ключей.

По умолчанию: []

cryptographic_algorithm

string

Криптографический алгоритм для ключа.

Варианты:

  • "aes-256-cmac" ← (по умолчанию)
  • "aes-128-cmac"

end_time

string

Время суток и дата, когда ключ становится неактивным.

Формат должен соответствовать ISO 8601 (например, 2025-11-21T09:20:00.000Z или 2025-11-21T09:20:00.000).

Если суффикс ‘Z’ не указан, он будет добавлен автоматически.

Обязателен, если lifetime_type имеет значение on-this-day.

id

string / обязательный

Идентификатор ключа должен содержать чётное количество шестнадцатеричных символов (0-9, A-F).

Длина должна составлять от 2 до 64 символов.

key_lifetime_always_active

boolean

Указывает, что ключ остаётся активным неограниченное время.

Если true, ключ всегда активен.

Если false, необходимо указать start_time и lifetime_type.

Варианты:

  • false
  • true ← (по умолчанию)

lifetime_type

string

Определяет поведение срока действия ключа после времени начала.

never означает, что после времени начала ключ остаётся активным неограниченное время.

on-this-day означает, что ключ становится неактивным в момент end_time.

Варианты:

  • "never" ← (по умолчанию)
  • "on-this-day"

secret

string / обязательный

Секретный ключ — это общий секрет, используемый в криптографических операциях.

Должен начинаться с символа ‘J’.

start_time

string

Время суток и дата, когда ключ становится активным.

Формат должен соответствовать ISO 8601 (например, 2025-11-20T09:14:00.000Z или 2025-11-20T09:14:00.000).

Если суффикс ‘Z’ не указан, он будет добавлен автоматически.

Обязателен, если key_lifetime_always_active имеет значение false.

timezone

string

Часовой пояс, используемый при настройке срока действия ключа.

Используется только если key_lifetime_always_active имеет значение false.

Варианты:

  • "utc" ← (по умолчанию)
  • "local"

include_icv_indicator

boolean

Настраивает включение необязательного индикатора контрольного значения целостности (ICV).

Входит в передаваемый блок данных протокола согласования ключей MACsec (PDU).

Варианты:

  • false ← (по умолчанию)
  • true

key_server_priority

integer

Сервер ключей выбирается путём сравнения значений приоритета во время обмена сообщениями MKA.

Допустимые значения — от 0 до 255.

Чем меньше значение, тем выше вероятность выбора в качестве сервера ключей.

По умолчанию: 16

name

string / обязательный

Имя, присвоенное политике MACsec.

Имя должно содержать от 1 до 62 буквенно-цифровых символов; допускаются специальные символы :-_.

organization

string

Имя организации, которой назначен этот ресурс.

Профили, политики и пулы, созданные в пользовательской организации, применимы только к устройствам той же организации.

По умолчанию: "default"

primary_keychain_name

string

Имя основной связки ключей для управления набором ключей безопасности по умолчанию.

primary_keys

list / элементы=dictionary

Список ключей безопасности для основной связки ключей.

По умолчанию: []

cryptographic_algorithm

string

Криптографический алгоритм для ключа.

Варианты:

  • "aes-256-cmac" ← (по умолчанию)
  • "aes-128-cmac"

end_time

string

Время суток и дата, когда ключ становится неактивным.

Формат должен соответствовать ISO 8601 (например, 2025-11-21T09:20:00.000Z или 2025-11-21T09:20:00.000).

Если суффикс ‘Z’ не указан, он будет добавлен автоматически.

Обязателен, если lifetime_type имеет значение on-this-day.

id

string / обязательный

Идентификатор ключа должен содержать чётное количество шестнадцатеричных символов (0-9, A-F).

Длина должна составлять от 2 до 64 символов.

key_lifetime_always_active

boolean

Указывает, что ключ остаётся активным неограниченное время.

Если true, ключ всегда активен.

Если false, необходимо указать start_time и lifetime_type.

Варианты:

  • false
  • true ← (по умолчанию)

lifetime_type

string

Определяет поведение срока действия ключа после времени начала.

never означает, что после времени начала ключ остаётся активным неограниченное время.

on-this-day означает, что ключ становится неактивным в момент end_time.

Варианты:

  • "never" ← (по умолчанию)
  • "on-this-day"

secret

string / обязательный

Секретный ключ — это общий секрет, используемый в криптографических операциях.

Должен начинаться с символа ‘J’.

start_time

string

Время суток и дата, когда ключ становится активным.

Формат должен соответствовать ISO 8601 (например, 2025-11-20T09:14:00.000Z или 2025-11-20T09:14:00.000).

Если суффикс ‘Z’ не указан, он будет добавлен автоматически.

Обязателен, если key_lifetime_always_active имеет значение false.

timezone

string

Часовой пояс, используемый при настройке срока действия ключа.

Используется только если key_lifetime_always_active имеет значение false.

Варианты:

  • "utc" ← (по умолчанию)
  • "local"

replay_window_size

integer

Задаёт размер окна защиты от повторного воспроизведения.

Определяет количество пакетов, которые могут быть получены не по порядку и при этом не считаться атаками с повторным воспроизведением.

Допустимый диапазон: от 0 до 596000000.

По умолчанию: 148809600

sak_expiry_time

integer

Время в секундах до принудительной смены ключа защищённой ассоциации (SAK).

Допустимый диапазон: от 60 до 2592000 секунд.

Если установлено значение 0 или параметр не задан, интервал смены SAK определяется скоростью интерфейса.

security_policy

string

Политика безопасности задаёт уровень применения MACsec к сетевому трафику.

should-secure разрешает незашифрованный трафик до защиты сеанса MKA.

must-secure разрешает только трафик, зашифрованный MACsec.

Варианты:

  • "should-secure" ← (по умолчанию)
  • "must-secure"

state

string

Если present, проверяет наличие ресурса и при необходимости создаёт его.

Если absent, проверяет отсутствие ресурса и при необходимости удаляет его.

Варианты:

  • "present" ← (по умолчанию)
  • "absent"

tags

list / элементы=dictionary

Список тегов в формате «Ключ:<ключ, заданный пользователем> Значение:<значение, заданное пользователем>».

use_proxy

boolean

Если no, прокси использоваться не будет, даже если он задан в переменной среды на целевых узлах.

Варианты:

  • false
  • true ← (по умолчанию)

validate_certs

boolean

Логический параметр для проверки TLS-сертификата api_uri.

Варианты:

  • false
  • true ← (по умолчанию)

Примеры

- name: Create MACsec Policy with Primary Keychain Only
  cisco.intersight.intersight_macsec_policy:
    api_private_key: "{{ api_private_key }}"
    api_key_id: "{{ api_key_id }}"
    organization: "default"
    name: "macsec-policy-01"
    description: "MACsec policy with primary keychain"
    cipher_suite: "gcm-aes-xpn-256"
    security_policy: "should-secure"
    primary_keychain_name: "primary-keychain"
    primary_keys:
      - id: "1234"
        cryptographic_algorithm: "aes-256-cmac"
        secret: >-
          Ja1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6e7f8a9bd2e3f4a5b6c7d8e9f0a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6e7f8a9b0c122222222222222222222222222222222222222222222
        key_lifetime_always_active: true
    tags:
      - Key: Environment
        Value: Production
    state: present

- name: Create MACsec Policy with Fallback Keychain
  cisco.intersight.intersight_macsec_policy:
    api_private_key: "{{ api_private_key }}"
    api_key_id: "{{ api_key_id }}"
    organization: "default"
    name: "macsec-policy-02"
    description: "MACsec policy with fallback keychain"
    cipher_suite: "gcm-aes-256"
    security_policy: "must-secure"
    key_server_priority: 32
    sak_expiry_time: 3600
    primary_keychain_name: "primary-keychain"
    primary_keys:
      - id: "ABCD"
        cryptographic_algorithm: "aes-256-cmac"
        secret: >-
          Ja1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6e7f8a9bd2e3f4a5b6c7d8e9f0a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6e7f8a9b0c122222222222222222222222222222222222222222222
    configure_fallback_keychain: true
    fallback_keychain_name: "fallback-keychain"
    fallback_keys:
      - id: "EF12"
        cryptographic_algorithm: "aes-128-cmac"
        secret: "Jf1e2d3c4b5a6f7e8d9c0b1a2f3e4d5c6b7a8f9e0d1c2b3a4f5e6d7c8b9a0f1e2d3c4b5a6f7e8d9c0b1a2f3e4d5c6b7a8f9e0d1c2b3a4f5e6d7c8b9a0f1e2d3c4b5a6f7e8d9c0"
    state: present

- name: Create MACsec Policy with Custom Settings
  cisco.intersight.intersight_macsec_policy:
    api_private_key: "{{ api_private_key }}"
    api_key_id: "{{ api_key_id }}"
    organization: "default"
    name: "macsec-policy-custom"
    description: "MACsec policy with custom settings"
    cipher_suite: "gcm-aes-xpn-128"
    confidentiality_offset: "conf-offset-30"
    security_policy: "must-secure"
    key_server_priority: 64
    sak_expiry_time: 7200
    replay_window_size: 200000000
    include_icv_indicator: true
    eapol_mac_address: "0180.C200.0004"
    eapol_ethertype: "0x88e5"
    primary_keychain_name: "custom-keychain"
    primary_keys:
      - id: "2468"
        cryptographic_algorithm: "aes-256-cmac"
        secret: "Jabcdefghijklmnopqrstuvwxyz1234567890abcdefghijklmnopqrstuvwxyz1234567890abcdefghijklmnopqrstuvwxyz1234567890abcdefghijklmnopqrstuvwxyz"
    state: present

- name: Create MACsec Policy with Scheduled Key Lifetime (Never Expires)
  cisco.intersight.intersight_macsec_policy:
    api_private_key: "{{ api_private_key }}"
    api_key_id: "{{ api_key_id }}"
    organization: "default"
    name: "macsec-policy-scheduled-never"
    description: "MACsec policy with scheduled key that never expires"
    primary_keychain_name: "scheduled-keychain"
    primary_keys:
      - id: "3456"
        cryptographic_algorithm: "aes-256-cmac"
        secret: "Jabcdefghijklmnopqrstuvwxyz1234567890abcdefghijklmnopqrstuvwxyz1234567890abcdefghijklmnopqrstuvwxyz1234567890abcdefghijklmnopqrstuvwxyz"
        key_lifetime_always_active: false
        timezone: "local"
        start_time: "2025-11-20T10:00:00.000"
        lifetime_type: "never"
    state: present

- name: Create MACsec Policy with Scheduled Key Lifetime (With End Time)
  cisco.intersight.intersight_macsec_policy:
    api_private_key: "{{ api_private_key }}"
    api_key_id: "{{ api_key_id }}"
    organization: "default"
    name: "macsec-policy-scheduled-endtime"
    description: "MACsec policy with scheduled key with end time"
    primary_keychain_name: "scheduled-keychain-endtime"
    primary_keys:
      - id: "4567"
        cryptographic_algorithm: "aes-256-cmac"
        secret: "Jabcdefghijklmnopqrstuvwxyz1234567890abcdefghijklmnopqrstuvwxyz1234567890abcdefghijklmnopqrstuvwxyz1234567890abcdefghijklmnopqrstuvwxyz"
        key_lifetime_always_active: false
        timezone: "utc"
        start_time: "2025-11-20T09:20:00.000Z"
        lifetime_type: "on-this-day"
        end_time: "2025-11-21T09:20:00.000Z"
    state: present

- name: Delete MACsec Policy
  cisco.intersight.intersight_macsec_policy:
    api_private_key: "{{ api_private_key }}"
    api_key_id: "{{ api_key_id }}"
    organization: "default"
    name: "macsec-policy-01"
    state: absent

Возвращаемые значения

Общие возвращаемые значения описаны здесь; ниже перечислены поля, уникальные для этого модуля:

Ключ

Описание

api_response

dictionary

Выходные данные ответа API, возвращённые указанным ресурсом.

Возвращается: всегда

Пример: {"api_response": {"CipherSuite": "GCM-AES-XPN-256", "ConfidentialityOffset": "CONF-OFFSET-0", "Description": "MACsec policy with primary keychain", "FallbackKeyChain": {"Name": "", "SecKeys": null}, "IncludeIcvIndicator": false, "KeyServerPriority": 16, "MacSecEaPol": {"EaPolEthertype": "0x888e", "EaPolMacAddress": "0180.C200.0003"}, "Name": "macsec-policy-01", "ObjectType": "fabric.MacsecPolicy", "PrimaryKeyChain": {"Name": "primary-keychain", "SecKeys": [{"CryptographicAlgorithm": "AES_256_CMAC", "Id": "1234", "IsOctetStringSet": true, "KeyType": "Type-6", "SendLifetimeInfinite": false, "SendLifetimeUnlimited": true}]}, "ReplayWindowSize": 148809600, "SakExpiryTime": 0, "SecurityPolicy": "Should-secure", "Tags": [{"Key": "Environment", "Value": "Production"}]}}

Авторы

  • Ron Gershburg (@rgershbu)

Ссылки на коллекцию

  • Отслеживание проблем
  • Репозиторий (исходный код)

© 2012–2018 Michael DeHaan
© 2018–2025 Red Hat, Inc.
Licensed under the GNU General Public License version 3.
https://docs.ansible.com/projects/ansible/latest/collections/cisco/intersight/intersight_macsec_policy_module.html

Spec-Zone.ru

Настройки Оффлайн Что нового Помощь О нас
Spec-Zone .ru
спецификации, руководства, описания, API