Модуль dellemc.openmanage.idrac_secure_boot — настройка атрибутов, импорт или экспорт сертификата безопасной загрузки и сброс ключей.

Примечание

Этот модуль входит в коллекцию dellemc.openmanage (версия 10.0.2).

Возможно, эта коллекция уже установлена, если вы используете пакет ansible. Она не входит в ansible-core. Чтобы проверить, установлена ли она, выполните команду ansible-galaxy collection list.

Для установки используйте: ansible-galaxy collection install dellemc.openmanage. Для использования этого модуля требуются дополнительные компоненты; подробности см. в разделе Требования.

Чтобы использовать модуль в плейбуке, укажите: dellemc.openmanage.idrac_secure_boot.

Добавлено в dellemc.openmanage 9.6.0

Краткое описание
Требования
Параметры
Атрибуты
Примечания
Примеры
Возвращаемые значения

Краткое описание

Этот модуль позволяет выполнять следующие операции.`
Импорт или экспорт сертификата безопасной загрузки.
Включение или отключение режима безопасной загрузки.
Настройка политик Platform Key (PK) и Key Exchange Key (KEK)
Настройка сертификатов Allow Database (DB) и Disallow Database (DBX).
Сброс ключей UEFI Secure Boot.

Требования

На узле, на котором выполняется этот модуль, должны быть установлены следующие компоненты.

python >= 3.9.6

Параметры

Параметр	Комментарии
boot_mode string	Режим загрузки iDRAC. Не поддерживается для iDRAC10 17G и более поздних версий. `Uefi` включает безопасную загрузку в режиме UEFI. `Bios` включает безопасную загрузку в режиме BIOS. Варианты: `"Uefi"` `"Bios"`
ca_path path добавлено в dellemc.openmanage 5.0.0	Файл Privacy Enhanced Mail (PEM), содержащий сертификат CA, который используется для проверки.
database list / элементы=path	Список абсолютных путей к файлам сертификатов Allow Database (DB) для безопасной загрузки UEFI. Путь к каталогу с разрешением на запись, если export_certificates имеет значение `true`.
disallow_database list / элементы=path	Список абсолютных путей к файлам сертификатов Disallow Database (DBX) для безопасной загрузки UEFI. Путь к каталогу с разрешением на запись, если export_certificates имеет значение `true`.
export_certificates boolean	Экспорт всех доступных сертификатов для указанных ключей в заданный каталог. export_cetificates взаимоисключающий с import. Для export_cetificates требуется `true` один из параметров platform_key или i(key_exchange_key), или database, или disallow_database. Варианты: `false` `true`
force_int_10 string	Определяет, загружает ли системный BIOS устаревший видеомодуль (INT 10h) Option ROM с видеоконтроллера. Этот параметр поддерживается только в режиме загрузки UEFI. Если включен режим UEFI Secure Boot, этот параметр включить нельзя. Этот параметр не поддерживается для iDRAC10 17G и более поздних версий. `Disabled` если операционная система поддерживает стандарты видеовывода UEFI. `Enabled` если операционная система не поддерживает стандарты видеовывода UEFI. Варианты: `"Disabled"` `"Enabled"`
idrac_ip string / обязательный	IP-адрес iDRAC.
idrac_password псевдонимы: idrac_pwd string	Пароль пользователя iDRAC. Если пароль не указан, используется переменная среды `IDRAC_PASSWORD`. Пример: export IDRAC_PASSWORD=password
idrac_port integer	Порт iDRAC. По умолчанию: `443`
idrac_user string	Имя пользователя iDRAC. Если имя пользователя не указано, используется переменная среды `IDRAC_USERNAME`. Пример: export IDRAC_USERNAME=username
import_certificates boolean	Импорт всех указанных сертификатов ключей. Если import_certificates имеет значение `true`, требуется один из параметров platform_key, KEK, database или disallow_database. Варианты: `false` `true`
job_wait boolean	Ожидать ли завершения операции с сертификатом безопасной загрузки. Применяется, если restart имеет значение `true`. Варианты: `false` `true` ← (по умолчанию)
job_wait_timeout integer	Максимальное время ожидания job_wait в секундах. Отслеживание задания выполняется только в течение этого времени. Этот параметр применяется, если job_wait имеет значение `true`. По умолчанию: `1200`
KEK list / элементы=path	Список абсолютных путей к файлам сертификатов Key Exchange Key (KEK) для безопасной загрузки UEFI. Путь к каталогу с разрешением на запись, если export_certificates имеет значение `true`.
platform_key path	Абсолютный путь к файлу сертификата ключа Platform Key для безопасной загрузки UEFI. Путь к каталогу с разрешением на запись, если export_certificates имеет значение `true`.
reset_keys string	Сбрасывает ключи UEFI Secure Boot. `DeleteAllKeys` удаляет содержимое всех баз данных ключей UEFI Secure Boot (PK, KEK, DB и DBX). Этот вариант переводит систему в режим настройки. `DeletePK` удаляет содержимое базы данных UEFI Secure Boot PK. Этот вариант переводит систему в режим настройки. `ResetAllKeysToDefault` восстанавливает значения по умолчанию для всех баз данных ключей UEFI Secure Boot (PK, KEK, DB и DBX). `ResetDB` восстанавливает значение по умолчанию для базы данных UEFI Secure Boot DB. `ResetDBX` восстанавливает значение по умолчанию для базы данных UEFI Secure Boot DBX. `ResetKEK` восстанавливает значение по умолчанию для базы данных UEFI Secure Boot KEK. `ResetPK` восстанавливает значение по умолчанию для базы данных UEFI Secure Boot PK. Варианты: `"DeleteAllKeys"` `"DeletePK"` `"ResetAllKeysToDefault"` `"ResetDB"` `"ResetDBX"` `"ResetKEK"` `"ResetPK"`
restart boolean	Для импорта сертификата безопасной загрузки требуется перезапуск сервера. Этот параметр позволяет перезапустить сервер. `true` перезапускает сервер. `false` не перезапускает сервер. restart применяется, если import_certificates имеет значение `true`. restart игнорируется только в том случае, если export_certificates имеет значение `true`. Варианты: `false` ← (по умолчанию) `true`
restart_type string	Тип перезапуска сервера. `ForceRestart` выполняет принудительный перезапуск сервера. `GracefulRestart` выполняет штатный перезапуск сервера. restart_type применяется, если restart имеет значение `true`. Варианты: `"GracefulRestart"` ← (по умолчанию) `"ForceRestart"`
secure_boot string	Безопасная загрузка UEFI. Параметру secure_boot можно задать значение `Enabled` только если boot_mode имеет значение `UEFI`, а force_int_10 — `Disabled`. `Disabled` отключает режим безопасной загрузки. `Enabled` включает режим безопасной загрузки. Варианты: `"Disabled"` `"Enabled"`
secure_boot_mode string	Режим UEFI Secure Boot определяет способ применения политики Secure Boot. `AuditMode` устанавливает режим Secure Boot Audit, если ключ Platform Key не установлен в системе. BIOS не проверяет подлинность обновлений объектов политики и переходов между режимами. BIOS проверяет подписи образов, загружаемых до запуска ОС, и записывает результаты в таблицу Image Execution Information; образы обрабатываются независимо от того, завершилась ли проверка успешно или неуспешно. `DeployedMode` устанавливает режим Secure Boot Deployed, если в системе установлен ключ Platform Key; после этого BIOS проверяет подписи для обновления объектов политики. `UserMode` устанавливает режим Secure Boot User, если в системе установлен ключ Platform Key; после этого BIOS проверяет подписи для обновления объектов политики. Варианты: `"AuditMode"` `"DeployedMode"` `"UserMode"`
secure_boot_policy string	Доступны следующие типы политик Secure Boot. `Custom` использует стандартные сертификаты и дайджесты образов, загруженные в систему по умолчанию. Сертификаты и дайджесты образов можно изменить. `Standard` указывает, что в системе используются сертификаты, дайджесты образов или хеши, загруженные с завода по умолчанию. Если для политики Secure Boot выбрано значение Custom, можно просматривать, экспортировать, импортировать и удалять политики, удалять их все и сбрасывать их. Варианты: `"Custom"` `"Standard"`
timeout integer добавлено в dellemc.openmanage 5.0.0	Тайм-аут сокета в секундах. По умолчанию: `30`
validate_certs boolean добавлено в dellemc.openmanage 5.0.0	Если `false`, SSL-сертификаты не проверяются. Указывайте `false` только в контролируемых вами средах, где используются самоподписанные сертификаты. До версии коллекции `5.0.0` параметр validate_certs по умолчанию `false`. Варианты: `false` `true` ← (по умолчанию)
x_auth_token string добавлено в dellemc.openmanage 9.3.0	Токен аутентификации. Если x_auth_token не указан, используется переменная среды `IDRAC_X_AUTH_TOKEN`. Пример: export IDRAC_X_AUTH_TOKEN=x_auth_token

Атрибуты

Атрибут	Поддержка	Описание
check_mode	Поддержка: полная	Выполняет задачу для проверки без выполнения действий на целевом компьютере.
diff_mode	Поддержка: нет	Выполняет задачу для отображения внесенных или планируемых изменений.

Примечания

Примечание

При запуске в режиме check mode модуль всегда сообщает об обнаруженных изменениях, которые необходимо применить для import_certificates.
Модуль не поддерживает идемпотентность, если указан параметр reset_type, export_certificates или import_certificates.
Для настройки параметров безопасной загрузки модуль idrac_secure_boot выполняет операции в следующем порядке: установка атрибутов, экспорт сертификата, сброс ключей, импорт сертификата и перезапуск iDRAC.
export_certificate экспортирует все сертификаты ключа, указанного в плейбуке.
Модуль учитывает значения restart и job_wait только для последней операции в последовательности.
Модуль поддерживает адреса IPv4 и IPv6.
Для iDRAC8 поддерживается только параметр reset_keys.

Примеры

---
- name: Enable Secure Boot.
  dellemc.openmanage.idrac_secure_boot:
    idrac_ip: "192.168.1.2"
    idrac_user: "user"
    idrac_password: "password"
    ca_path: "/path/to/ca_cert.pem"
    secure_boot: "Enabled"

- name: Set Secure Boot mode, Secure Boot policy, and restart iDRAC.
  dellemc.openmanage.idrac_secure_boot:
    idrac_ip: "192.168.1.2"
    idrac_user: "user"
    idrac_password: "password"
    ca_path: "/path/to/ca_cert.pem"
    secure_boot: "Enabled"
    secure_boot_mode: "UserMode"
    secure_boot_policy: "Custom"
    restart: true
    restart_type: "GracefulRestart"

- name: Reset Secure Boot certificates.
  dellemc.openmanage.idrac_secure_boot:
    idrac_ip: "192.168.1.2"
    idrac_user: "user"
    idrac_password: "password"
    ca_path: "/path/to/ca_cert.pem"
    reset_keys: "ResetAllKeysToDefault"

- name: Export multiple Secure Boot certificate.
  dellemc.openmanage.idrac_secure_boot:
    idrac_ip: "192.168.1.2"
    idrac_user: "user"
    idrac_password: "password"
    ca_path: "/path/to/ca_cert.pem"
    export_certificates: true
    platform_key: /user/name/export_cert/pk
    KEK:
      - /user/name/export_cert/kek
    database:
      - /user/name/export_cert/db
    disallow_database:
      - /user/name/export_cert/dbx

- name: Import multiple Secure Boot certificate without applying to iDRAC.
  dellemc.openmanage.idrac_secure_boot:
    idrac_ip: "192.168.1.2"
    idrac_user: "user"
    idrac_password: "password"
    ca_path: "/path/to/ca_cert.pem"
    import_certificates: true
    platform_key: /user/name/certificates/pk.pem
    KEK:
      - /user/name/certificates/kek1.pem
      - /user/name/certificates/kek2.pem
    database:
      - /user/name/certificates/db1.pem
      - /user/name/certificates/db2.pem
    disallow_database:
      - /user/name/certificates/dbx1.pem
      - /user/name/certificates/dbx2.pem

- name: Import a Secure Boot certificate and restart the server to apply it.
  dellemc.openmanage.idrac_secure_boot:
    idrac_ip: "192.168.1.2"
    idrac_user: "user"
    idrac_password: "password"
    ca_path: "/path/to/ca_cert.pem"
    import_certificates: true
    platform_key: /user/name/certificates/pk.pem
    restart: true
    job_wait_timeout: 600

Возвращаемые значения

Общие возвращаемые значения описаны здесь; ниже перечислены поля, уникальные для этого модуля:

Ключ	Описание
error_info dictionary	Сведения об ошибке HTTP. Возвращается: при ошибке HTTP Пример: `{"error": {"@Message.ExtendedInfo": [{"Message": "Unable to process the request because an error occurred.", "MessageArgs": [], "MessageId": "GEN1234", "RelatedProperties": [], "Resolution": "Retry the operation. If the issue persists, contact your system administrator.", "Severity": "Critical"}], "code": "Base.1.0.GeneralError", "message": "A general error has occurred. See ExtendedInfo for more information."}}`
msg string	Состояние операции безопасной загрузки. Возвращается: всегда Пример: `"Successfully imported the SecureBoot certificate."`

Ключ

Описание

error_info

dictionary

Сведения об ошибке HTTP.

Возвращается: при ошибке HTTP

Пример: {"error": {"@Message.ExtendedInfo": [{"Message": "Unable to process the request because an error occurred.", "MessageArgs": [], "MessageId": "GEN1234", "RelatedProperties": [], "Resolution": "Retry the operation. If the issue persists, contact your system administrator.", "Severity": "Critical"}], "code": "Base.1.0.GeneralError", "message": "A general error has occurred. See ExtendedInfo for more information."}}

msg

string

Состояние операции безопасной загрузки.

Возвращается: всегда

Пример: "Successfully imported the SecureBoot certificate."

Авторы

Abhishek Sinha(@ABHISHEK-SINHA10)
Lovepreet Singh (@singh-lovepreet1)
Rounak Adhikary (@rounak-adhikary)

Ссылки на коллекцию

© 2012–2018 Michael DeHaan
© 2018–2025 Red Hat, Inc.
Licensed under the GNU General Public License version 3.
https://docs.ansible.com/projects/ansible/latest/collections/dellemc/openmanage/idrac_secure_boot_module.html