Модуль f5networks.f5_modules.bigip_profile_client_ssl — управление профилями клиентского SSL на BIG-IP

Примечание

Этот модуль входит в коллекцию f5networks.f5_modules (версия 1.39.0).

Возможно, эта коллекция уже установлена, если вы используете пакет ansible. Она не включена в ansible-core. Чтобы проверить, установлена ли она, выполните ansible-galaxy collection list.

Для установки используйте: ansible-galaxy collection install f5networks.f5_modules.

Чтобы использовать коллекцию в плейбуке, укажите: f5networks.f5_modules.bigip_profile_client_ssl.

Добавлено в f5networks.f5_modules 1.0.0

Обзор
Параметры
Примечания
Примеры
Возвращаемые значения

Обзор

Управляет профилями клиентского SSL на устройстве BIG-IP.

Параметры

Параметр	Описание
advertised_cert_authority string	Указывает центры сертификации (CA), которые профиль использует как доверенные и сообщает клиентам.
allow_expired_crl boolean	Указывает системе использовать заданный файл CRL, даже если срок его действия истёк. Варианты: `false` `true`
allow_non_ssl boolean	Включает или отключает приём незащищённых соединений, не использующих SSL. При создании нового профиля значение параметра задаётся родительским профилем. Варианты: `false` `true`
cache_size integer добавлено в f5networks.f5_modules 1.0.0	Указывает количество сеансов в кэше сеансов SSL. Допустимый диапазон значений — от 0 до 4194304 включительно. При создании нового профиля, если этот параметр не задан, используется значение по умолчанию, заданное родительским профилем.
cache_timeout integer добавлено в f5networks.f5_modules 1.0.0	Задаёт время ожидания в секундах для записей кэша сеансов SSL. Допустимые значения — от 0 до 86400 включительно. При создании нового профиля, если этот параметр не задан, используется значение по умолчанию, заданное родительским профилем.
cert_auth_depth integer	Указывает максимальное количество сертификатов, которые система может пройти в цепочке сертификатов клиента.
cert_key_chain list / элементы=dictionary	Один или несколько сертификатов и ключей, связанных с профилем SSL. Этот параметр всегда представляет собой список. Ключи в списке задают параметры комбинации сертификата, ключа и цепочки. Обратите внимание: для каждого типа сертификата и ключа BIG-IP может использовать только по одному экземпляру. Это означает, что для каждого профиля можно указать только по одному RSA, DSA и ECDSA. Если попытаться назначить две комбинации сертификата и ключа RSA, DSA или ECDSA, устройство отклонит запрос. Этот параметр представляет собой сложный список с несколькими ключами.
cert string / обязательный	Указывает имя используемого сертификата.
chain string	Содержит цепочку сертификатов, относящуюся к сертификату и ключу, указанным ранее. Этот ключ является необязательным.
key string / обязательный	Содержит имя ключа.
passphrase string	При необходимости содержит парольную фразу для файла ключа. Парольные фразы шифруются на удалённом устройстве BIG-IP. Поэтому при обновлении профиля клиентского SSL их невозможно сравнить. По этой причине, если указать парольную фразу, модуль всегда зарегистрирует событие `changed`.
true_names boolean добавлено в f5networks.f5_modules 1.1.0	Если задано значение `true`, модуль не добавляет расширения `.crt` и `.key` к указанным именам сертификата и ключа. Если задано значение `false`, модуль добавляет расширения `.crt` и `.key` к указанным именам сертификата и ключа. Варианты: `false` ← (по умолчанию) `true`
cipher_group string добавлено в f5networks.f5_modules 1.2.0	Указывает группу шифров, назначаемую этому профилю. Если используется параметр `ciphers`, для параметра `cipher_group` необходимо задать значение `none` или `''`. При создании нового профиля с параметром `cipher_group`, если для родительского профиля по умолчанию задан параметр `ciphers`, при создании необходимо задать для параметра `cipher` значение `none` или `''`. Параметр работает только в TMOS версии 13.x и более поздних.
ciphers string	Указывает список шифров, поддерживаемых системой. Если используется параметр `cipher_group`, для параметра `ciphers` необходимо задать значение `none` или `''`.
client_auth_crl string	Указывает имя файла со списком отозванных сертификатов клиентов.
client_auth_frequency string	Указывает частоту аутентификации клиента для сеанса SSL. Значение `once` указывает, что система аутентифицирует клиента один раз за сеанс SSL. Значение `always` указывает, что система аутентифицирует клиента один раз за сеанс SSL, а также при повторном использовании этого сеанса. Варианты: `"once"` `"always"`
client_certificate string	Указывает, как система обрабатывает сертификаты клиентов. Значение `ignore` указывает, что система игнорирует сертификаты клиентских систем. Значение `require` указывает, что система требует от клиента предъявить действительный сертификат. Значение `request` указывает, что система запрашивает у клиента действительный сертификат, но в любом случае аутентифицирует клиента. Варианты: `"ignore"` `"require"` `"request"`
name string / обязательный	Указывает имя профиля.
options list / элементы=string	Список параметров, используемых системой для обработки SSL. При создании нового профиля список задаётся родительским профилем. Если задано значение `''` или `none`, все параметры обработки SSL отключаются. Варианты: `"netscape-reuse-cipher-change-bug"` `"microsoft-big-sslv3-buffer"` `"msie-sslv2-rsa-padding"` `"ssleay-080-client-dh-bug"` `"tls-d5-bug"` `"tls-block-padding-bug"` `"dont-insert-empty-fragments"` `"no-ssl"` `"no-dtls"` `"no-session-resumption-on-renegotiation"` `"no-tlsv1.1"` `"no-tlsv1.2"` `"no-tlsv1.3"` `"single-dh-use"` `"ephemeral-rsa"` `"cipher-server-preference"` `"tls-rollback-bug"` `"no-sslv2"` `"no-sslv3"` `"no-tls"` `"no-tlsv1"` `"pkcs1-check-1"` `"pkcs1-check-2"` `"netscape-ca-dn-bug"` `"netscape-demo-cipher-change-bug"` `"none"`
parent string	Родительский шаблон этого шаблона монитора. После задания это значение нельзя изменить. По умолчанию используется родительский объект `clientssl` в разделе `Common`.
partition string	Раздел устройства, в котором управляются ресурсы. По умолчанию: `"Common"`
provider dictionary добавлено в f5networks.f5_modules 1.0.0	Объект dict, содержащий сведения для подключения.
auth_provider string	Настраивает поставщика аутентификации для получения токенов аутентификации от удалённого устройства. Этот параметр используется преимущественно при работе с устройствами BIG-IQ.
no_f5_teem boolean	Если задано значение `yes`, телеметрические данные TEEM не отправляются в F5. Этот параметр можно не указывать, задав переменную среды `F5_TELEMETRY_OFF`. Ранее использовавшаяся переменная `F5_TEEM` устарела, поскольку её название было неясным. Варианты: `false` ← (по умолчанию) `true`
password псевдонимы: pass, pwd string / обязательный	Пароль учётной записи, используемой для подключения к BIG-IP или BIG-IQ. Этот параметр можно не указывать, задав переменную среды `F5_PASSWORD`.
server string / обязательный	Узел BIG-IP или BIG-IQ. Этот параметр можно не указывать, задав переменную среды `F5_SERVER`.
server_port integer	Порт сервера BIG-IP. Этот параметр можно не указывать, задав переменную среды `F5_SERVER_PORT`. По умолчанию: `443`
timeout integer	Задаёт время ожидания в секундах при подключении к сетевому устройству или отправке ему команд. Если время ожидания истекает до завершения операции, модуль выдаёт ошибку.
transport string	Настраивает транспортное соединение, используемое для подключения к удалённому устройству. Варианты: `"rest"` ← (по умолчанию)
user string / обязательный	Имя пользователя для подключения к BIG-IP или BIG-IQ. У этого пользователя должны быть права администратора на устройстве. Этот параметр можно не указывать, задав переменную среды `F5_USER`.
validate_certs boolean	Если задано значение `no`, сертификаты SSL не проверяются. Используйте этот параметр только на контролируемых вами сайтах с самоподписанными сертификатами. Этот параметр можно не указывать, задав переменную среды `F5_VALIDATE_CERTS`. Варианты: `false` `true` ← (по умолчанию)
renegotiation boolean	Включает или отключает повторное согласование SSL. При создании нового профиля значение параметра задаётся родительским профилем. Варианты: `false` `true`
retain_certificate boolean	Если задано значение `true`, сертификат клиента сохраняется в сеансе SSL. Варианты: `false` `true`
secure_renegotiation string	Указывает метод безопасного повторного согласования для соединений SSL. При создании нового профиля значение параметра задаётся родительским профилем. Значение `request` указывает системе запрашивать безопасное повторное согласование соединений SSL. `require` — значение по умолчанию. Если оно задано, система разрешает начальное SSL-рукопожатие с клиентами, но завершает повторное согласование с клиентами, для которых не установлены исправления. При значении `require-strict` система требует строгого повторного согласования соединений SSL. В этом режиме система отказывает в соединении с небезопасными серверами и завершает существующие SSL-соединения с такими серверами. Варианты: `"require"` `"require-strict"` `"request"`
server_name string	Указывает полное DNS-имя сервера, используемое при обмене данными с указанием имени сервера (SNI). При создании нового профиля значение параметра задаётся родительским профилем. Имя сервера также может быть шаблоном с символом звёздочки `*`.
sni_default boolean	Указывает, что система использует этот профиль в качестве профиля SSL по умолчанию, если имя сервера не совпадает или клиент не поддерживает расширение SNI. При создании нового профиля значение параметра задаётся родительским профилем. Только один профиль SSL может иметь этот параметр включённым. Варианты: `false` `true`
sni_require boolean	Требует, чтобы сетевые узлы также поддерживали SNI. Этот параметр действует только при значении `true` для `sni_default`. При создании нового профиля значение параметра задаётся родительским профилем. Варианты: `false` `true`
state string	Если задано значение `present`, обеспечивает наличие профиля. Если задано значение `absent`, обеспечивает удаление профиля. Варианты: `"present"` ← (по умолчанию) `"absent"`
strict_resume boolean	Включает или отключает возобновление сеансов SSL после некорректного завершения работы. При создании нового профиля значение параметра задаётся родительским профилем. Варианты: `false` `true`
trusted_cert_authority string	Указывает центр сертификации клиентов, которому доверяет система.

Примечания

Примечание

Требуется BIG-IP версии 12 или выше
Дополнительные сведения об использовании Ansible для управления устройствами F5 Networks см. на странице https://www.ansible.com/integrations/networks/f5.
Требуется BIG-IP версии 12 или выше.
Модули F5 изменяют только текущую конфигурацию продукта F5. Чтобы сохранить специфичную для BIG-IP конфигурацию на диске, обязательно добавьте хотя бы одну задачу, использующую модуль f5networks.f5_modules.bigip_config для сохранения текущей конфигурации. Инструкции по использованию модуля для сохранения текущей конфигурации см. в документации модуля.

Примеры

- name: Create client SSL profile
  bigip_profile_client_ssl:
    state: present
    name: my_profile
    provider:
      server: lb.mydomain.com
      user: admin
      password: secret
  delegate_to: localhost

- name: Create client SSL profile with specific ciphers
  bigip_profile_client_ssl:
    state: present
    name: my_profile
    ciphers: "!SSLv3:!SSLv2:ECDHE+AES-GCM+SHA256:ECDHE-RSA-AES128-CBC-SHA"
    provider:
      server: lb.mydomain.com
      user: admin
      password: secret
  delegate_to: localhost

- name: Create client SSL profile with specific cipher group
  bigip_profile_client_ssl:
    state: present
    name: my_profile
    ciphers: "none"
    cipher_group: "/Common/f5-secure"
    provider:
      server: lb.mydomain.com
      user: admin
      password: secret
  delegate_to: localhost

- name: Create client SSL profile with specific SSL options
  bigip_profile_client_ssl:
    state: present
    name: my_profile
    options:
      - no-sslv2
      - no-sslv3
    provider:
      server: lb.mydomain.com
      user: admin
      password: secret
  delegate_to: localhost

- name: Create client SSL profile require secure renegotiation
  bigip_profile_client_ssl:
    state: present
    name: my_profile
    secure_renegotiation: request
    provider:
      server: lb.mydomain.com
      user: admin
      password: secret
  delegate_to: localhost

- name: Create a client SSL profile with a cert/key/chain setting
  bigip_profile_client_ssl:
    state: present
    name: my_profile
    cert_key_chain:
      - cert: bigip_ssl_cert1
        key: bigip_ssl_key1
        chain: bigip_ssl_cert1
    provider:
      server: lb.mydomain.com
      user: admin
      password: secret
  delegate_to: localhost

Возвращаемые значения

Общие возвращаемые значения описаны здесь, ниже перечислены поля, уникальные для этого модуля:

Ключ	Описание
allow_non_ssl boolean	Разрешение незащищённых SSL-соединений. Возвращается: при изменении Пример: `true`
cache_size integer	Задаёт количество сеансов в кэше сеансов SSL. Возвращается: при изменении Пример: `2000`
cache_timeout integer	Задаёт время ожидания в секундах для записей кэша сеансов SSL. Возвращается: при изменении Пример: `1800`
cipher_group string	Группа шифров, применённая к профилю. Возвращается: при изменении Пример: `"/Common/f5-secure"`
ciphers string	Шифры, применённые к профилю. Возвращается: при изменении Пример: `"!SSLv3:!SSLv2:ECDHE+AES-GCM+SHA256:ECDHE-RSA-AES128-CBC-SHA"`
options list / elements=string	Список параметров обработки SSL. Возвращается: при изменении Пример: `["no-sslv2", "no-sslv3"]`
renegotiation boolean	Повторное согласование параметров сеансов SSL. Возвращается: при изменении Пример: `true`
secure_renegotiation string	Метод безопасного повторного согласования SSL. Возвращается: при изменении Пример: `"request"`
strict_resume boolean	Возобновление сеансов SSL после некорректного завершения работы. Возвращается: при изменении Пример: `true`

Авторы

Tim Rupp (@caphrim007)
Wojciech Wypior (@wojtek0806)

Ссылки на коллекцию

© 2012–2018 Michael DeHaan
© 2018–2025 Red Hat, Inc.
Licensed under the GNU General Public License version 3.
https://docs.ansible.com/projects/ansible/latest/collections/f5networks/f5_modules/bigip_profile_client_ssl_module.html