Модуль community.crypto.openssl_csr – создание запроса на подпись сертификата OpenSSL (CSR)

attributes

алиасы: attr

string

Атрибуты, которые должен иметь создаваемый объект файловой системы.

Список поддерживаемых флагов см. на странице руководства для chattr в целевой системе.

Эта строка должна содержать атрибуты в том же порядке, в котором они отображаются в lsattr.

По умолчанию предполагается оператор =, в противном случае в строку необходимо включить оператор + или -.

authority_cert_issuer

list / elements=string

Имена, которые будут указаны в поле издателя сертификата центра сертификации запроса на подпись сертификата.

Перед значениями необходимо указывать их параметры. (То есть email, URI, DNS, RID, IP, dirName, otherName и параметры, специфичные для вашего центра сертификации).

Пример: DNS:ca.example.org.

Если этот параметр задан, необходимо также задать authority_cert_serial_number.

Обратите внимание, что коммерческие центры сертификации игнорируют это значение и используют выбранное ими значение. Этот параметр полезен главным образом для самоподписанных сертификатов или собственных центров сертификации.

Расширение AuthorityKeyIdentifier будет добавлено, только если задан хотя бы один из параметров authority_key_identifier, authority_cert_issuer и authority_cert_serial_number.

authority_cert_serial_number

integer

Серийный номер сертификата центра сертификации.

Если этот параметр задан, необходимо также задать authority_cert_issuer.

Обратите внимание, что коммерческие центры сертификации игнорируют это значение и используют выбранное ими значение. Этот параметр полезен главным образом для самоподписанных сертификатов или собственных центров сертификации.

Расширение AuthorityKeyIdentifier будет добавлено, только если задан хотя бы один из параметров authority_key_identifier, authority_cert_issuer и authority_cert_serial_number.

Этот параметр принимает значение типа integer. Если необходимо указать серийный номер в виде шестнадцатеричной строки с разделителями-двoеточиями, например 11:22:33, преобразуйте его в целое число с помощью community.crypto.parse_serial.

authority_key_identifier

string

Идентификатор ключа центра сертификации в виде шестнадцатеричной строки, в которой два байта разделены двоеточием.

Пример: 00:11:22:33:44:55:66:77:88:99:aa:bb:cc:dd:ee:ff:00:11:22:33.

Обратите внимание, что коммерческие центры сертификации игнорируют это значение и используют выбранное ими значение. Этот параметр полезен главным образом для самоподписанных сертификатов или собственных центров сертификации.

Расширение AuthorityKeyIdentifier будет добавлено, только если задан хотя бы один из параметров authority_key_identifier, authority_cert_issuer и authority_cert_serial_number.

backup

boolean

Создать резервную копию с отметкой времени, чтобы можно было восстановить исходный запрос на подпись сертификата, если он случайно был перезаписан новым.

Варианты:

• false ← (по умолчанию)
• true

basic_constraints

алиасы: basicConstraints

list / elements=string

Задает основные ограничения, например указывает, является ли сертификат сертификатом центра сертификации.

basic_constraints_critical

алиасы: basicConstraints_critical

boolean

Следует ли считать расширение basicConstraints критическим.

Варианты:

• false ← (по умолчанию)
• true

common_name

алиасы: CN, commonName

string

Поле commonName субъекта запроса на подпись сертификата.

country_name

алиасы: C, countryName

string

Поле countryName субъекта запроса на подпись сертификата.

create_subject_key_identifier

boolean

Создать идентификатор ключа субъекта на основе открытого ключа.

Обратите внимание, что коммерческие центры сертификации могут игнорировать это значение и использовать вместо него выбранное ими значение. Этот параметр полезен главным образом для самоподписанных сертификатов или собственных центров сертификации.

Варианты:

• false ← (по умолчанию)
• true

crl_distribution_points

list / elements=dictionary

добавлено в community.crypto 1.4.0

Позволяет указать одну или несколько точек распространения списка отзыва сертификатов (CRL).

crl_issuer

list / elements=string

Сведения об издателе списка отзыва сертификатов (CRL).

full_name

list / elements=string

Описывает способ получения списка отзыва сертификатов (CRL).

Несовместим с crl_distribution_points[].relative_name.

Пример: URI:https://ca.example.com/revocations.crl.

reasons

list / elements=string

Список причин, для которых можно использовать эту точку распространения при проверке отзыва сертификатов.

Варианты:

• "key_compromise"
• "ca_compromise"
• "affiliation_changed"
• "superseded"
• "cessation_of_operation"
• "certificate_hold"
• "privilege_withdrawn"
• "aa_compromise"

relative_name

list / elements=string

Описывает способ получения списка отзыва сертификатов (CRL) относительно его издателя.

Несовместим с crl_distribution_points[].full_name.

Пример: /CN=example.com.

digest

string

Хеш-функция, используемая при подписании запроса на подпись сертификата закрытым ключом.

По умолчанию: "sha256"

email_address

алиасы: E, emailAddress

string

Поле emailAddress субъекта запроса на подпись сертификата.

extended_key_usage

алиасы: extKeyUsage, extendedKeyUsage

list / elements=string

Дополнительные ограничения (например, аутентификация клиента или сервера) на допустимые цели использования открытого ключа.

extended_key_usage_critical

алиасы: extKeyUsage_critical, extendedKeyUsage_critical

boolean

Следует ли считать расширение extkeyUsage критическим.

Варианты:

• false ← (по умолчанию)
• true

force

boolean

Следует ли принудительно пересоздать запрос на подпись сертификата с помощью этого модуля Ansible.

Варианты:

• false ← (по умолчанию)
• true

group

string

Имя группы, которой должен принадлежать объект файловой системы; оно передается в chown.

Если значение не задано, используется текущая группа текущего пользователя. Если пользователь — root, можно сохранить прежнего владельца.

key_usage

алиасы: keyUsage

list / elements=string

Задает назначение ключа, содержащегося в сертификате (например, шифрование, подпись или подписание сертификатов).

key_usage_critical

алиасы: keyUsage_critical

boolean

Следует ли считать расширение keyUsage критическим.

Варианты:

• false ← (по умолчанию)
• true

locality_name

алиасы: L, localityName

string

Поле localityName субъекта запроса на подпись сертификата.

mode

any

Права доступа, которые должен иметь создаваемый объект файловой системы.

Если вы привыкли к /usr/bin/chmod, помните, что режимы — это восьмеричные числа. Ansible необходимо предоставить достаточно информации, чтобы правильно их обработать. Для единообразия заключайте восьмеричные числа в кавычки (например, '644' или '1777'), чтобы Ansible получил строку и самостоятельно преобразовал ее в число. Иногда помогает добавление начального нуля (например, 0755), но этот способ может не сработать в циклах и некоторых других случаях.

Если задать число для Ansible, не следуя ни одному из этих правил, оно будет считаться десятичным, что приведет к неожиданным результатам.

Начиная с Ansible 1.8 режим можно задавать в символьном виде (например, u+rwx или u=rw,g=r,o=r).

Если mode не задан и целевой объект файловой системы не существует, при настройке режима для нового объекта файловой системы будет использоваться значение umask в системе.

Если mode не задан и целевой объект файловой системы существует, будет использоваться режим существующего объекта файловой системы.

Указание mode — лучший способ гарантировать, что объекты файловой системы будут созданы с правильными правами доступа. Подробности см. в CVE-2020-1736.

name_constraints_critical

boolean

добавлено в community.crypto 1.1.0

Следует ли считать расширение ограничений имен (Name Constraints) критическим.

Варианты:

• false ← (по умолчанию)
• true

name_constraints_excluded

list / elements=string

добавлено в community.crypto 1.1.0

Для сертификатов центра сертификации задает список идентификаторов, описывающих поддеревья имен, для которых этому центру сертификации не разрешено выпускать сертификаты.

Перед значениями необходимо указывать их параметры. (То есть email, URI, DNS, RID, IP, dirName, otherName и параметры, специфичные для вашего центра сертификации).

name_constraints_permitted

list / elements=string

добавлено в community.crypto 1.1.0

Для сертификатов центра сертификации задает список идентификаторов, описывающих поддеревья имен, для которых этому центру сертификации разрешено выпускать сертификаты.

Перед значениями необходимо указывать их параметры. (То есть email, URI, DNS, RID, IP, dirName, otherName и параметры, специфичные для вашего центра сертификации).

ocsp_must_staple

алиасы: ocspMustStaple

boolean

Указывает, что сертификат должен содержать расширение OCSP Must Staple (https://tools.ietf.org/html/rfc7633).

Варианты:

• false ← (по умолчанию)
• true

ocsp_must_staple_critical

алиасы: ocspMustStaple_critical

boolean

Следует ли считать расширение OCSP Must Staple критическим.

Обратите внимание: согласно RFC это расширение не следует помечать как критическое, поскольку старые клиенты, не поддерживающие OCSP Must Staple, должны отклонять такие сертификаты (см. https://tools.ietf.org/html/rfc7633#section-4).

Варианты:

• false ← (по умолчанию)
• true

organization_name

алиасы: O, organizationName

string

Поле organizationName субъекта запроса на подпись сертификата.

organizational_unit_name

алиасы: OU, organizationalUnitName

string

Поле organizationalUnitName субъекта запроса на подпись сертификата.

owner

string

Имя пользователя, которому должен принадлежать объект файловой системы; оно передается в chown.

Если значение не задано, используется текущий пользователь. Если пользователь — root, можно сохранить прежнего владельца.

Числовое имя пользователя будет считаться идентификатором пользователя, а не именем. Во избежание неоднозначности не используйте числовые имена пользователей.

path

path / обязательный

Имя файла, в который будет записан созданный запрос OpenSSL на подпись сертификата.

privatekey_content

string

добавлено в community.crypto 1.0.0

Содержимое закрытого ключа, используемого для подписания запроса на подпись сертификата.

Если state имеет значение present, необходимо указать либо privatekey_path, либо privatekey_content, но не оба параметра одновременно.

privatekey_passphrase

string

Парольная фраза для закрытого ключа.

Этот параметр обязателен, если закрытый ключ защищен паролем.

privatekey_path

path

Путь к закрытому ключу, используемому для подписания запроса на подпись сертификата.

Если state имеет значение present, необходимо указать либо privatekey_path, либо privatekey_content, но не оба параметра одновременно.

return_content

boolean

добавлено в community.crypto 1.0.0

Если задано значение true, содержимое (текущего или созданного) запроса на подпись сертификата будет возвращено как csr.

Варианты:

• false ← (по умолчанию)
• true

select_crypto_backend

string

Определяет, какую криптографическую подсистему использовать.

По умолчанию выбирается auto; при наличии она попытается использовать cryptography.

Если задано значение cryptography, будет предпринята попытка использовать библиотеку cryptography.

Обратите внимание, что в community.crypto 3.0.0 все значения работают одинаково. В одной из последующих версий этот параметр будет объявлен устаревшим. Рекомендуется не задавать его явно.

Варианты:

• "auto" ← (по умолчанию)
• "cryptography"

selevel

string

Часть уровня контекста объекта файловой системы SELinux.

Это атрибут MLS/MCS, иногда известный как range.

Если задано значение _default, будет использоваться часть политики level, если она доступна.

serole

string

Часть роли контекста объекта файловой системы SELinux.

Если задано значение _default, будет использоваться часть политики role, если она доступна.

setype

string

Часть типа контекста объекта файловой системы SELinux.

Если задано значение _default, будет использоваться часть политики type, если она доступна.

seuser

string

Часть пользователя контекста объекта файловой системы SELinux.

По умолчанию используется политика system, если это применимо.

Если задано значение _default, будет использоваться часть политики user, если она доступна.

state

string

Должен ли существовать запрос на подпись сертификата; если указанное состояние отличается от текущего, выполняется соответствующее действие.

Варианты:

• "absent"
• "present" ← (по умолчанию)

state_or_province_name

псевдонимы: ST, stateOrProvinceName

string

Поле stateOrProvinceName в субъекте запроса на подпись сертификата.

subject

dictionary

Пары «ключ/значение», которые будут включены в поле имени субъекта запроса на подпись сертификата.

Если нужно указать несколько значений с одним и тем же ключом, используйте список в качестве значения.

Если порядок компонентов важен, используйте subject_ordered.

Несовместимо с subject_ordered.

subject_alt_name

псевдонимы: subjectAltName

list / элементы=string

Расширение Subject Alternative Name (SAN), добавляемое в запрос на подпись сертификата.

Перед значениями необходимо указать их тип. (Это email, URI, DNS, RID, IP, dirName, otherName и типы, специфичные для вашего центра сертификации.)

Обратите внимание: если SAN не указан, но задано общее имя, оно будет добавлено в качестве SAN, если только для use_common_name_for_san не задано значение false.

Подробнее: https://tools.ietf.org/html/rfc5280#section-4.2.1.6.

subject_alt_name_critical

псевдонимы: subjectAltName_critical

boolean

Следует ли считать расширение subjectAltName критическим.

Варианты:

• false ← (по умолчанию)
• true

subject_key_identifier

string

Идентификатор ключа субъекта в виде шестнадцатеричной строки, в которой два байта разделены двоеточиями.

Пример: 00:11:22:33:44:55:66:77:88:99:aa:bb:cc:dd:ee:ff:00:11:22:33.

Обратите внимание: коммерческие центры сертификации игнорируют это значение и используют значение по собственному выбору. Указание этого параметра в основном полезно для самоподписанных сертификатов или собственных центров сертификации.

Обратите внимание: этот параметр можно использовать, только если create_subject_key_identifier имеет значение false.

subject_ordered

list / элементы=dictionary

добавлено в community.crypto 2.0.0

Список словарей, каждый из которых должен содержать одну пару «ключ/значение». Эта пара будет включена в поле имени субъекта запроса на подпись сертификата.

Если нужно указать подряд несколько значений с одним и тем же ключом, можно использовать список в качестве значения.

Несовместимо с subject и любым другим параметром поля субъекта, например country_name, state_or_province_name, locality_name, organization_name, organizational_unit_name, common_name или email_address.

unsafe_writes

boolean

Влияет на то, когда следует использовать атомарные операции для предотвращения повреждения данных или несогласованного чтения целевого объекта файловой системы.

По умолчанию этот модуль использует атомарные операции для предотвращения повреждения данных или несогласованного чтения целевых объектов файловой системы, однако в некоторых случаях конфигурация систем или их неисправности не позволяют этого. Например, объекты файловой системы, смонтированные Docker, нельзя атомарно обновить изнутри контейнера, поэтому их можно записывать только небезопасным способом.

Этот параметр позволяет Ansible использовать небезопасные способы обновления объектов файловой системы, если атомарные операции завершаются ошибкой (однако он не заставляет Ansible выполнять небезопасную запись).

ВАЖНО! Небезопасная запись подвержена состояниям гонки и может привести к повреждению данных.

Варианты:

• false ← (по умолчанию)
• true

use_common_name_for_san

псевдонимы: useCommonNameForSAN

boolean

Если задано значение true, модуль подставит общее имя для subject_alt_name с префиксом DNS:, если SAN не указан.

Варианты:

• false
• true ← (по умолчанию)

version

integer

Версия запроса на подпись сертификата.

Согласно RFC 2986, допустимо только значение 1.

Начиная с community.crypto 2.0.0 этот параметр больше не принимает неподдерживаемые значения.

Варианты:

• 1 ← (по умолчанию)

check_mode

Поддержка: full

Модуль может работать в режиме check_mode и возвращать прогноз статуса изменений, не изменяя целевой объект.

diff_mode

Поддержка: full

В режиме diff возвращает сведения об изменениях (или возможных изменениях в check_mode).

idempotent

Поддержка: full

При повторном запуске подряд вне режима check mode с теми же аргументами второй вызов сообщает об отсутствии изменений.

Предполагается, что система, контролируемая или опрашиваемая модулем, не изменилась существенным образом.

safe_file_operations

Поддержка: full

Использует функции Ansible для строгих операций с файлами, обеспечивая правильные разрешения и предотвращая повреждение данных.

backup_file

string

Имя созданного файла резервной копии.

Возвращается: при изменении и если backup имеет значение true

Пример: "/path/to/www.ansible.com.csr.2019-03-09@11:22~"

basicConstraints

list / элементы=string

Указывает, принадлежит ли сертификат центру сертификации.

Возвращается: при изменении или успехе

Пример: ["CA:TRUE", "pathLenConstraint:0"]

csr

string

добавлено в community.crypto 1.0.0

Содержимое текущего или созданного CSR.

Возвращается: если state имеет значение present и return_content имеет значение true

extendedKeyUsage

list / элементы=string

Дополнительное ограничение на назначение открытого ключа.

Возвращается: при изменении или успехе

Пример: ["clientAuth"]

filename

string

Путь к созданному запросу на подпись сертификата.

Возвращается: при изменении или успехе

Пример: "/etc/ssl/csr/www.ansible.com.csr"

keyUsage

list / элементы=string

Назначение, для которого можно использовать открытый ключ.

Возвращается: при изменении или успехе

Пример: ["digitalSignature", "keyAgreement"]

name_constraints_excluded

list / элементы=string

добавлено в community.crypto 1.1.0

Список исключённых поддеревьев, для которых центр сертификации не может подписывать сертификаты.

Возвращается: при изменении или успехе

Пример: ["email:.com"]

name_constraints_permitted

list / элементы=string

добавлено в community.crypto 1.1.0

Список разрешённых поддеревьев, для которых можно подписывать сертификаты.

Возвращается: при изменении или успехе

Пример: ["email:.somedomain.com"]

ocsp_must_staple

boolean

Указывает, включена ли в сертификате функция OCSP Must Staple.

Возвращается: при изменении или успехе

Пример: false

privatekey

string

Путь к закрытому ключу TLS/SSL, для которого создан CSR.

Будет иметь значение none, если закрытый ключ был указан в privatekey_content.

Возвращается: при изменении или успехе

Пример: "/etc/ssl/private/ansible.com.pem"

subject

list / элементы=list

Список кортежей субъекта, включённых в CSR.

Возвращается: при изменении или успехе

Пример: [["CN", "www.ansible.com"], ["O", "Ansible"]]

subjectAltName

list / элементы=string

Альтернативные имена, для которых действителен этот CSR.

Возвращается: при изменении или успехе

Пример: ["DNS:www.ansible.com", "DNS:m.ansible.com"]