Модуль community.crypto.openssl_privatekey — Генерация ключей OpenSSL

attributes

aliases: attr

string

Атрибуты, которыми должен обладать результирующий объект файловой системы.

Чтобы получить поддерживаемые флаги, посмотрите страницу руководства для chattr в целевой системе.

Эта строка должна содержать атрибуты в том же порядке, что и отображаемые lsattr.

Оператор = предполагается по умолчанию, в противном случае необходимо включить операторы + или - в строку.

backup

boolean

Создать резервную копию файла, включая временную метку, чтобы вы могли вернуть исходный закрытый ключ, если вы случайно перезаписали его новым.

Варианты:

• false ← (default)
• true

cipher

string

Шифр для шифрования закрытого ключа. Это используется только тогда, когда предоставлен passphrase.

Должен быть auto.

По умолчанию: "auto"

curve

string

Обратите внимание, что не все кривые поддерживаются всеми версиями cryptography.

Для максимальной совместимости следует использовать secp384r1 или secp256r1.

Мы используем имена кривых, как определено в реестре IANA для TLS.

Обратите внимание, что все кривые, кроме secp224r1, secp256k1, secp256r1, secp384r1 и secp521r1, не рекомендуются для новых закрытых ключей.

Варианты:

• "secp224r1"
• "secp256k1"
• "secp256r1"
• "secp384r1"
• "secp521r1"
• "secp192r1"
• "brainpoolP256r1"
• "brainpoolP384r1"
• "brainpoolP512r1"
• "sect163k1"
• "sect163r2"
• "sect233k1"
• "sect233r1"
• "sect283k1"
• "sect283r1"
• "sect409k1"
• "sect409r1"
• "sect571k1"
• "sect571r1"

force

boolean

Следует ли перегенерировать ключ, даже если он уже существует.

Варианты:

• false ← (default)
• true

format

string

добавлено в community.crypto 1.0.0

Определяет формат, в котором записывается закрытый ключ. По умолчанию для всех ключей, которые его поддерживают, используется PKCS1 (традиционный формат OpenSSL). Обратите внимание, что не каждый ключ может быть экспортирован в любом формате.

Значение auto выбирает формат на основе формата ключа. Значение auto_ignore делает то же самое, но для существующих файлов закрытых ключей оно не будет принудительно перегенерировать, если его формат не является автоматически выбранным для генерации.

Обратите внимание, что если формат существующего закрытого ключа не совпадает, ключ перегенерируется по умолчанию. Чтобы изменить это поведение, используйте параметр format_mismatch.

Варианты:

• "pkcs1"
• "pkcs8"
• "raw"
• "auto"
• "auto_ignore" ← (default)

format_mismatch

string

добавлено в community.crypto 1.0.0

Определяет поведение модуля, если формат закрытого ключа не соответствует ожидаемому формату, но все остальные параметры соответствуют.

Если установлено значение regenerate (по умолчанию), создается новый закрытый ключ.

Если установлено значение convert, ключ будет преобразован в новый формат.

Поддерживается только серверной частью cryptography.

Варианты:

• "regenerate" ← (default)
• "convert"

group

string

Имя группы, которой должен принадлежать объект файловой системы, как это передается в chown.

Если не указано, используется текущая группа текущего пользователя, если вы не являетесь root, в этом случае он может сохранить предыдущее владение.

mode

any

Разрешения, которыми должен обладать результирующий объект файловой системы.

Для тех, кто привык к /usr/bin/chmod, помните, что режимы на самом деле являются восьмеричными числами. Вы должны предоставить Ansible достаточно информации, чтобы правильно их разобрать. Для согласованных результатов заключайте восьмеричные числа в кавычки (например, '644' или '1777'), чтобы Ansible получил строку и мог выполнить собственное преобразование из строки в число. Добавление ведущего нуля (например, 0755) иногда работает, но может давать сбои в циклах и некоторых других обстоятельствах.

Предоставление Ansible числа без соблюдения одного из этих правил приведет к десятичному числу, которое даст неожиданные результаты.

Начиная с Ansible 1.8, режим может быть указан как символьный режим (например, u+rwx или u=rw,g=r,o=r).

Если mode не указан, и целевой объект файловой системы не существует, то при установке режима для вновь созданного объекта файловой системы будет использоваться значение umask по умолчанию в системе.

Если mode не указан, и целевой объект файловой системы существует, будет использоваться режим существующего объекта файловой системы.

Указание mode — лучший способ обеспечить создание объектов файловой системы с правильными разрешениями. См. CVE-2020-1736 для получения дополнительной информации.

owner

string

Имя пользователя, которому должен принадлежать объект файловой системы, как это передается в chown.

Если не указано, используется текущий пользователь, если вы не являетесь root, в этом случае он может сохранить предыдущее владение.

Числовое имя пользователя будет считаться идентификатором пользователя, а не именем пользователя. Избегайте числовых имен пользователей, чтобы избежать путаницы.

passphrase

string

Пароль для закрытого ключа.

path

path / required

Имя файла, в который будет записан сгенерированный закрытый ключ TLS/SSL. Он будет иметь режим 0600, если mode не установлен явно.

regenerate

string

added in community.crypto 1.0.0

Позволяет настроить, в каких ситуациях модулю разрешено повторно генерировать закрытые ключи. Модуль всегда будет генерировать новый ключ, если целевой файл не существует.

По умолчанию ключ будет перегенерирован, если он не соответствует параметрам модуля, за исключением случаев, когда ключ не может быть прочитан или парольная фраза не совпадает. Обратите внимание, что это изменилось для Ansible 2.10. Для Ansible 2.9 поведение было таким, как если бы был указан full_idempotence.

Если установлено значение never, модуль завершится ошибкой, если ключ не может быть прочитан или парольная фраза не совпадает, и никогда не будет перегенерировать существующий ключ.

Если установлено значение fail, модуль завершится ошибкой, если ключ не соответствует параметрам модуля.

Если установлено значение partial_idempotence, ключ будет перегенерирован, если он не соответствует параметрам модуля. Ключ не перегенерируется, если он не может быть прочитан (поврежденный файл), ключ защищен неизвестной парольной фразой или когда ключ не защищен парольной фразой, но указана парольная фраза.

Если установлено значение full_idempotence, ключ будет перегенерирован, если он не соответствует параметрам модуля. Это также произойдет, если ключ не может быть прочитан (поврежденный файл), ключ защищен неизвестной парольной фразой или когда ключ не защищен парольной фразой, но указана парольная фраза. Убедитесь, что у вас есть резервная копия при использовании этого параметра!

Если установлено значение always, модуль всегда будет перегенерировать ключ. Это эквивалентно установке force в true.

Обратите внимание, что если format_mismatch установлено в convert и все совпадает, за исключением формата, ключ всегда будет преобразован, за исключением случая, когда regenerate установлено в always.

Варианты:

• "never"
• "fail"
• "partial_idempotence"
• "full_idempotence" ← (по умолчанию)
• "always"

return_content

boolean

added in community.crypto 1.0.0

Если установлено значение true, вернет содержимое (текущего или сгенерированного) закрытого ключа как privatekey.

Обратите внимание, что особенно если закрытый ключ не зашифрован, вы должны убедиться, что возвращаемое значение обрабатывается должным образом и случайно не записывается в журналы и т. д.! Используйте с осторожностью!

Используйте параметр задачи Ansible no_log чтобы избежать отображения вывода. См. также https://docs.ansible.com/ansible/latest/reference_appendices/faq.html#how-do-i-keep-secret-data-in-my-playbook.

Варианты:

• false ← (по умолчанию)
• true

select_crypto_backend

string

Определяет, какой криптографический бэкэнд использовать.

Выбор по умолчанию — auto, который пытается использовать cryptography, если доступен.

Если установлено значение cryptography, будет пытаться использовать библиотеку cryptography.

Варианты:

• "auto" ← (по умолчанию)
• "cryptography"

selevel

string

Часть уровня контекста объекта файловой системы SELinux.

Это атрибут MLS/MCS, иногда называемый range.

Когда установлено значение _default, он будет использовать часть level политики, если доступно.

serole

string

Часть роли контекста объекта файловой системы SELinux.

Когда установлено значение _default, он будет использовать часть role политики, если доступно.

setype

string

Часть типа контекста объекта файловой системы SELinux.

Когда установлено значение _default, он будет использовать часть type политики, если доступно.

seuser

string

Часть пользователя контекста объекта файловой системы SELinux.

По умолчанию используется политика system, если применимо.

Когда установлено значение _default, он будет использовать часть user политики, если доступно.

size

integer

Размер (в битах) ключа TLS/SSL для генерации.

По умолчанию: 4096

state

string

Должен ли существовать закрытый ключ или нет, предпринимаются действия, если состояние отличается от указанного.

Варианты:

• "absent"
• "present" ← (по умолчанию)

type

string

Алгоритм, используемый для генерации закрытого ключа TLS/SSL.

Обратите внимание, что ECC, X25519, X448, Ed25519 и Ed448 требуют бэкэнда cryptography. X25519 требует cryptography 2.5 или новее, а X448, Ed25519 и Ed448 требуют cryptography 2.6 или новее. Для ECC, минимальная требуемая версия cryptography зависит от параметра curve.

Варианты:

• "DSA"
• "ECC"
• "Ed25519"
• "Ed448"
• "RSA" ← (по умолчанию)
• "X25519"
• "X448"

unsafe_writes

boolean

Влияет на то, когда использовать атомарные операции для предотвращения повреждения данных или несогласованного чтения из целевого объекта файловой системы.

По умолчанию этот модуль использует атомарные операции для предотвращения повреждения данных или несогласованного чтения из целевых объектов файловой системы, но иногда системы настроены или просто сломаны таким образом, что это предотвращает. Одним из примеров являются объекты файловой системы, смонтированные в docker, которые не могут быть обновлены атомарно изнутри контейнера и могут быть записаны только небезопасным способом.

Этот параметр позволяет Ansible вернуться к небезопасным методам обновления объектов файловой системы, когда атомарные операции завершаются ошибкой (однако это не заставляет Ansible выполнять небезопасные записи).

ВАЖНО! Небезопасные записи подвержены условиям гонки и могут привести к повреждению данных.

Варианты:

• false ← (по умолчанию)
• true