community.crypto.openssl_privatekey_pipe – Генерация ключей OpenSSL без доступа к диску

• Обзор
• Требования
• Параметры
• См. также
• Примеры
• Возвращаемые значения

Обзор

• Ключи генерируются в формате PEM.
• Убедитесь, что результат этого модуля не записывается в журналы или консоль, так как он содержит данные закрытого ключа! Используйте опцию задачи no_log для уверенности.
• Обратите внимание, что этот модуль реализован как плагин действия и всегда будет выполняться на контроллере.
• Можно сгенерировать закрытые ключи RSA, DSA, ECC или EdDSA.
• Обратите внимание, что модуль перегенерирует закрытые ключи, если они не соответствуют параметрам модуля. В частности, если вы укажете другой пароль (или не укажете его), измените размер ключа и т. д., закрытый ключ будет перегенерирован. Если вы беспокоитесь о том, что это может перезаписать ваш закрытый ключ, используйте опцию backup.
• Модуль может использовать библиотеку Python cryptography или библиотеку Python pyOpenSSL. По умолчанию он пытается определить, какая из них доступна. Это можно переопределить с помощью параметра select_crypto_backend. Обратите внимание, что бэкэнд PyOpenSSL был устаревшим в Ansible 2.9 и будет удалён в community.crypto 2.0.0.
• Это позволяет читать и записывать ключи в хранилища без необходимости записи промежуточных версий на диск.
• Этот модуль позволяет (пере)генерировать закрытые ключи OpenSSL без доступа к диску.

Требования

Ниже перечислены требования к хосту, на котором выполняется этот модуль.

• Библиотека cryptography >= 1.2.3 (возможно, также работают более старые версии)
• Или pyOpenSSL

Параметры

См. также

Примеры

- name: Generate an OpenSSL private key with the default values (4096 bits, RSA)
  community.crypto.openssl_privatekey_pipe:
    path: /etc/ssl/private/ansible.com.pem
  register: output
  no_log: true  # make sure that private key data is not accidentally revealed in logs!
- name: Show generated key
  debug:
    msg: "{{ output.privatekey }}"
  # DO NOT OUTPUT KEY MATERIAL TO CONSOLE OR LOGS IN PRODUCTION!

- block:
    - name: Update sops-encrypted key with the community.sops collection
      community.crypto.openssl_privatekey_pipe:
        content: "{{ lookup('community.sops.sops', 'private_key.pem.sops') }}"
        size: 2048
      register: output
      no_log: true  # make sure that private key data is not accidentally revealed in logs!

    - name: Update encrypted key when openssl_privatekey_pipe reported a change
      community.sops.encrypt_sops:
        path: private_key.pem.sops
        content_text: "{{ output.privatekey }}"
      when: output is changed
  always:
    - name: Make sure that output (which contains the private key) is overwritten
      set_fact:
        output: ''

Значения возврата

Общие значения возврата описаны здесь, следующие поля уникальны для данного модуля:

Авторы

• Yanis Guenane (@Spredzy)
• Felix Fontein (@felixfontein)