Модуль community.crypto.acme_certificate_revoke — отзыв сертификатов с помощью протокола ACME

Примечание

Этот модуль входит в коллекцию community.crypto (версия 3.2.1).

Возможно, эта коллекция уже установлена, если вы используете пакет ansible. Она не входит в ansible-core. Чтобы проверить, установлена ли она, выполните ansible-galaxy collection list.

Для установки используйте: ansible-galaxy collection install community.crypto. Для использования этого модуля необходимы дополнительные зависимости. Подробности см. в разделе Требования.

Чтобы использовать модуль в сценарии, укажите: community.crypto.acme_certificate_revoke.

Краткое описание
Требования
Параметры
Атрибуты
Примечания
См. также
Примеры

Краткое описание

Позволяет отзывать сертификаты, выданные центром сертификации (CA), поддерживающим протокол ACME, например Let’s Encrypt.

Требования

Следующие требования необходимы на узле, где выполняется этот модуль.

либо openssl
либо cryptography >= 3.3

Параметры

Параметр	Комментарии
account_key_content строка	Содержимое ключа учетной записи ACME RSA или ключа на эллиптических кривых. Обратите внимание: необходимо указать ровно один из параметров `account_key_src`, `account_key_content`, `private_key_src` или `private_key_content`. Предупреждение: содержимое будет записано во временный файл, который Ansible удалит после завершения работы модуля. Это может быть неприемлемо, поскольку данный важный закрытый ключ можно использовать для смены ключа учетной записи или отзыва сертификатов без знания их закрытых ключей. Если используется `cryptography`, содержимое не записывается во временный файл. Однако Ansible может записать его на диск при переносе модуля вместе с аргументом на узел, где он выполняется.
account_key_passphrase строка добавлено в community.crypto 1.6.0	Парольная фраза для расшифровки ключа учетной записи. Примечание: этот параметр не поддерживается бэкендом `openssl`, только бэкендом `cryptography`.
account_key_src псевдонимы: account_key путь	Путь к файлу, содержащему ключ учетной записи ACME RSA или ключ на эллиптических кривых. Ключи RSA можно создать с помощью `openssl rsa ...`. Ключи на эллиптических кривых можно создать с помощью `openssl ecparam -genkey ...`. Также можно использовать любой другой инструмент для создания закрытых ключей в формате PEM. Взаимоисключающий параметр для `account_key_content`. Обязателен, если не используется `account_key_content`.
account_uri строка	Если указано, предполагается, что URI учетной записи соответствует заданному значению. Если ключ учетной записи не соответствует этой учетной записи или учетная запись с таким URI не существует, модуль завершится с ошибкой.
acme_directory строка / обязательный	Каталог ACME, который нужно использовать. Это URL-адрес точки входа для доступа к API сервера центра сертификации ACME. В целях безопасности по умолчанию используется тестовый сервер Let’s Encrypt (для протокола ACME v1). Он будет создавать технически корректные, но недоверенные сертификаты. Все конечные точки Let’s Encrypt для тестирования перечислены здесь: https://letsencrypt.org/docs/staging-environment/. Для Let’s Encrypt URL-адрес рабочего каталога ACME v2: https://acme-v02.api.letsencrypt.org/directory. Для ZeroSSL URL-адрес рабочего каталога ACME v2: https://acme.zerossl.com/v2/DV90. Для Sectigo URL-адрес рабочего каталога ACME v2: https://acme-qa.secure.trust-provider.com/v2/DV. Для HARICA URL-адрес рабочего каталога ACME v2: https://acme.harica.gr/XXX/directory, где XXX зависит от вашей учетной записи. В примечаниях к этому модулю приведен список служб ACME, с которыми модуль проходил тестирование.
acme_version целое число	Версия ACME конечной точки. Для стандартизированных конечных точек ACME v2 значение должно быть `2`. Значение `1` больше не поддерживается начиная с community.crypto 3.0.0. Варианты: `2` ← (по умолчанию)
certificate путь / обязательный	Путь к сертификату, который нужно отозвать.
private_key_content строка	Содержимое закрытого ключа сертификата. Обратите внимание: необходимо указать ровно один из параметров `account_key_src`, `account_key_content`, `private_key_src` или `private_key_content`. Предупреждение: содержимое будет записано во временный файл, который Ansible удалит после завершения работы модуля. Это может быть неприемлемо, поскольку данный важный закрытый ключ можно использовать для смены ключа учетной записи или отзыва сертификатов без знания их закрытых ключей. Если используется `cryptography`, содержимое не записывается во временный файл. Однако Ansible может записать его на диск при переносе модуля вместе с аргументом на узел, где он выполняется.
private_key_passphrase строка добавлено в community.crypto 1.6.0	Парольная фраза для расшифровки закрытого ключа сертификата. Примечание: этот параметр не поддерживается бэкендом `openssl`, только бэкендом `cryptography`.
private_key_src путь	Путь к закрытому ключу сертификата. Обратите внимание: необходимо указать ровно один из параметров `account_key_src`, `account_key_content`, `private_key_src` или `private_key_content`.
request_timeout целое число добавлено в community.crypto 2.3.0	Время ожидания ответа от API ACME для Ansible. Это время ожидания применяется ко всем HTTP(S)-запросам (HEAD, GET, POST). По умолчанию: `10`
revoke_reason целое число	Один из кодов причины отзыва (reasonCode), определенных в разделе 5.3.1 RFC 5280. Возможные значения: `0` (не указана), `1` (компрометация ключа), `2` (компрометация CA), `3` (изменение принадлежности), `4` (заменен новым), `5` (прекращение работы), `6` (приостановлен), `8` (удален из CRL), `9` (отзыв привилегий), `10` (компрометация AA).
select_crypto_backend строка	Определяет, какой криптографический бэкенд использовать. По умолчанию выбрано значение `auto`: оно пытается использовать `cryptography`, если тот доступен, а в противном случае переключается на `openssl`. Если задано значение `openssl`, будет предпринята попытка использовать двоичный файл `openssl`. Если задано значение `cryptography`, будет предпринята попытка использовать библиотеку cryptography. Варианты: `"auto"` ← (по умолчанию) `"cryptography"` `"openssl"`
validate_certs логическое значение	Проверять ли сертификаты TLS при обращении к каталогу ACME. Предупреждение: устанавливайте значение `false` только для тестирования, например при проверке работы с локальным сервером Pebble. Варианты: `false` `true` ← (по умолчанию)

Атрибуты

Атрибут	Поддержка	Описание
action_group	Группы действий: community.crypto.acme, acme	Используйте `group/acme` или `group/community.crypto.acme` в `module_defaults`, чтобы задать значения по умолчанию для этого модуля.
check_mode	Поддержка: нет	Модуль может выполняться в режиме `check_mode` и возвращать прогноз изменения статуса, не изменяя целевой объект.
diff_mode	Поддержка: нет	В режиме сравнения возвращаются сведения об изменениях (или о том, что, возможно, требуется изменить в `check_mode`).
idempotent	Поддержка: полная	При повторном запуске с теми же аргументами вне режима проверки второй запуск сообщает об отсутствии изменений. Предполагается, что система, которой управляет модуль или к которой он обращается, не изменилась существенным образом.

Примечания

Примечание

Необходимо указать ровно один из параметров account_key_src, account_key_content, private_key_src или private_key_content.
Попытка отозвать уже отозванный сертификат должна приводить к неизмененному статусу, даже если указанная причина отзыва отличается от ранее заданной. Кроме того, в зависимости от сервера при попытке отзыва уже отозванного сертификата может возвращаться другая ошибка.
Хотя значения по умолчанию выбраны так, чтобы модуль можно было использовать с центром сертификации (CA) Let’s Encrypt, в принципе этот модуль подходит для любого CA, предоставляющего конечную точку ACME.
На данный момент разработчики тестировали модули ACME только с Let’s Encrypt (тестовая и рабочая среды), ZeroSSL (рабочая среда) и тестовым сервером Pebble. Сообщество также сообщало об успешной работе с Sectigo ACME Service for InCommon и HARICA. Если у вас возникли проблемы с другим сервером ACME, пожалуйста, создайте задачу, чтобы помочь нам обеспечить его поддержку. Мы также будем рады узнать, что сервер ACME, не упомянутый здесь, работает.
Если доступна достаточно новая версия библиотеки cryptography (подробности см. в разделе «Требования»), она будет использоваться вместо двоичного файла openssl. Это можно явно отключить или включить с помощью параметра select_crypto_backend. Обратите внимание: использование двоичного файла openssl будет медленнее и менее безопасно, поскольку содержимое закрытого ключа всегда приходится хранить на диске (см. account_key_content).

См. также

Документация Let’s Encrypt: Документация центра сертификации Let’s Encrypt. Содержит полезную информацию, например об ограничениях частоты запросов.
Среда автоматического управления сертификатами (ACME): Спецификация протокола ACME (RFC 8555).
community.crypto.acme_inspect: Позволяет диагностировать проблемы.

Примеры

---
- name: Revoke certificate with account key
  community.crypto.acme_certificate_revoke:
    account_key_src: /etc/pki/cert/private/account.key
    certificate: /etc/httpd/ssl/sample.com.crt

- name: Revoke certificate with certificate's private key
  community.crypto.acme_certificate_revoke:
    private_key_src: /etc/httpd/ssl/sample.com.key
    certificate: /etc/httpd/ssl/sample.com.crt

Авторы

Felix Fontein (@felixfontein)

Ссылки на коллекцию

© 2012–2018 Michael DeHaan
© 2018–2025 Red Hat, Inc.
Licensed under the GNU General Public License version 3.
https://docs.ansible.com/projects/ansible/latest/collections/community/crypto/acme_certificate_revoke_module.html