f5networks.f5_modules.bigip_profile_client_ssl – Управляет профилями SSL клиентов на BIG-IP

Примечание

Этот плагин входит в коллекцию f5networks.f5_modules (версия 1.6.0).

Для его установки используйте: ansible-galaxy collection install f5networks.f5_modules.

Для использования в плейбуке укажите: f5networks.f5_modules.bigip_profile_client_ssl.

Новая версия 1.0.0: модуля f5networks.f5_modules

Обзор
Параметры
Примечания
Примеры
Возвращаемые значения

Обзор

Управляет профилями SSL клиентов на устройстве BIG-IP.

Параметры

Параметр		Варианты/Значения по умолчанию	Комментарии
advertised_cert_authority строка			Указывает доверенные центры сертификации, которые система сообщает клиентам.
allow_expired_crl логическое		Варианты: нет да	Указывает системе использовать указанный файл CRL, даже если он истек.
allow_non_ssl логическое		Варианты: нет да	Включает или отключает прием не-SSL соединений. При создании нового профиля значение наследуется от родительского профиля.
cache_size целое число добавлен в 1.0.0 от f5networks.f5_modules			Указывает количество сессий в кэше SSL сессий. Допустимый диапазон значений от 0 до 4194304 включительно. При создании нового профиля, если этот параметр не указан, используется значение по умолчанию от родительского профиля.
cache_timeout целое число добавлен в 1.0.0 от f5networks.f5_modules			Указывает время ожидания в секундах для записей в кэше SSL сессий. Допустимые значения от 0 до 86400 включительно. При создании нового профиля, если этот параметр не указан, используется значение по умолчанию от родительского профиля.
cert_auth_depth целое число			Указывает максимальное количество сертификатов для проверки в цепочке сертификатов клиента.
cert_key_chain список / элементы=словарь			Один или несколько сертификатов и ключей для связывания с профилем SSL. Этот параметр всегда является списком. Ключи в списке определяют детали сочетания клиент/ключ/цепочка. Обратите внимание, что BIG-IP может иметь только по одному сертификату каждого типа (RSA, DSA, ECDSA) на профиль. Если вы попытаетесь назначить два сертификата/ключа одного типа, устройство это отклонит. Этот список — сложный список, указывающий на несколько ключей.
	cert строка / обязательно		Указывает имя сертификата для использования.
	chain строка		Содержит цепочку сертификатов, относящихся к указанному ранее сертификату и ключу. Этот ключ необязателен.
	key строка / обязательно		Содержит имя ключа.
	passphrase строка		Содержит пароль файла ключа, если требуется. Пароли шифруются на удалённом устройстве BIG-IP. Поэтому их сравнение при обновлении профиля SSL клиента невозможно. Из-за этого, если вы указываете пароль, этот модуль всегда зарегистрирует событие `changed`.
	true_names логическое добавлен в 1.1.0 от f5networks.f5_modules	Варианты: нет ← да	Если `yes`, модуль не будет добавлять расширения `.crt` и `.key` к именам сертификата и ключа. Если `no`, модуль добавит расширения `.crt` и `.key` к именам сертификата и ключа.
cipher_group строка добавлен в 1.2.0 от f5networks.f5_modules			Указывает группу шифров для назначения этому профилю. Когда используется параметр `ciphers`, параметр `cipher_group` должен быть установлен на либо `none`, либо `''`. При создании нового профиля с `cipher_group`, если родительский профиль имеет `ciphers` по умолчанию, параметр `cipher` должен быть установлен на `none` или `''` при создании. Параметр работает только на TMOS версии 13.x и выше.
ciphers строка			Указывает список шифров, поддерживаемых системой. Когда используется параметр `cipher_group`, параметр `ciphers` должен быть установлен на либо `none`, либо `''`.
client_auth_crl строка			Указывает имя файла, содержащего список отозванных сертификатов клиентов.
client_auth_frequency строка		Варианты: один раз всегда	Указывает частоту аутентификации клиента для SSL сессии. При значении `once`, система аутентифицирует клиента один раз на SSL сессию. При значении `always`, система аутентифицирует клиента один раз на SSL сессию и при повторном использовании этой сессии.
client_certificate строка		Варианты: игнорировать требовать запрашивать	Указывает, как система обрабатывает сертификаты клиентов. При значении `ignore`, система игнорирует сертификаты от клиентских систем. При значении `require`, система требует предоставления клиентом валидного сертификата. При значении `request`, система запрашивает валидный сертификат от клиента, но всегда выполняет аутентификацию клиента.
name строка / обязательно			Указывает имя профиля.
options список / элементы=строка		Варианты: netscape-reuse-cipher-change-bug microsoft-big-sslv3-buffer msie-sslv2-rsa-padding ssleay-080-client-dh-bug tls-d5-bug tls-block-padding-bug dont-insert-empty-fragments no-ssl no-dtls no-session-resumption-on-renegotiation no-tlsv1.1 no-tlsv1.2 no-tlsv1.3 single-dh-use ephemeral-rsa cipher-server-preference tls-rollback-bug no-sslv2 no-sslv3 no-tls no-tlsv1 pkcs1-check-1 pkcs1-check-2 netscape-ca-dn-bug netscape-demo-cipher-change-bug none	Параметры, используемые системой для обработки SSL, в виде списка. При создании нового профиля список наследуется от родительского профиля. При значении `''` или `none` все параметры для обработки SSL отключены.
parent строка			Родительская шаблон этого шаблона монитора. После установки это значение изменить нельзя. По умолчанию это родительский шаблон в разделе `clientssl` на разбиении `Common`.
partition строка		По умолчанию: "Общий"	Раздел устройства для управления ресурсами.
provider словарь добавлен в 1.0.0 от f5networks.f5_modules			Объект словаря, содержащий детали соединения.
	auth_provider строка		Настраивает поставщика аутентификации для получения маркеров аутентификации от удалённого устройства. Этот параметр используется при работе с устройствами BIG-IQ.
	no_f5_teem логическое	Варианты: нет да	Если `yes`, данные телеметрии TEEM не отправляются в F5. Вы можете опустить этот параметр, установив переменную окружения `F5_TEEM`.
	password строка / обязательно		Пароль для учётной записи пользователя, используемой для подключения к BIG-IP. Вы можете опустить этот параметр, установив переменную окружения `F5_PASSWORD`. псевдонимы: pass, pwd
	server строка / обязательно		Хост BIG-IP. Вы можете опустить этот параметр, установив переменную окружения `F5_SERVER`.
	server_port целое число	По умолчанию: 443	Порт сервера BIG-IP. Вы можете опустить этот параметр, установив переменную окружения `F5_SERVER_PORT`.
	timeout целое число		Указывает время ожидания в секундах для связи с сетевым устройством для подключения или отправки команд. Если время ожидания истечёт до завершения операции, модуль выдаст ошибку.
	transport строка	Варианты: rest ←	Настраивает транспортное соединение для подключения к удалённому устройству.
	user строка / обязательно		Имя пользователя для подключения к BIG-IP. Этот пользователь должен иметь административные привилегии на устройстве. Вы можете опустить этот параметр, установив переменную окружения `F5_USER`.

	validate_certs boolean	Choices: no да ←	Если `no`, сертификаты SSL не проверяются. Используйте только на сайтах, контролируемых вами лично, использующих самозаверенные сертификаты. Вы можете опустить этот параметр, установив переменную среды `F5_VALIDATE_CERTS`.
renegotiation boolean		Choices: нет да	Включает или отключает возобновление SSL-переговоров. При создании нового профиля значение передаётся из родительского профиля.
retain_certificate boolean		Choices: нет да	Когда `yes`, клиентский сертификат сохраняется в SSL-сессии.
secure_renegotiation string		Choices: require require-strict request	Указывает метод безопасных возобновлений SSL-соединений. При создании нового профиля значение передаётся из родительского профиля. При значении `request` система запрашивает безопасное возобновление SSL-соединений. `require` — это значение по умолчанию, при котором система допускает начальные SSL-соединения от клиентов, но прерывает возобновления от неисправленных клиентов. С настройкой `require-strict` система требует строгого возобновления SSL-соединений. В этом режиме система отклоняет соединения с небезопасными серверами и прерывает существующие SSL-соединения с небезопасными серверами.
server_name string			Указывает полное доменное имя DNS сервера, используемого в коммуникациях Server Name Indication. При создании нового профиля значение передаётся из родительского профиля. Имя сервера также может быть подстановочной строкой, содержащей символ звёздочки `*`.
sni_default boolean		Choices: нет да	Указывает, что система использует этот профиль в качестве стандартного SSL-профиля, когда нет совпадения с именем сервера или когда клиент не поддерживает расширение SNI. При создании нового профиля значение передаётся из родительского профиля. Может быть только один SSL-профиль с включённой этой настройкой.
sni_require boolean		Choices: нет да	Требует, чтобы сетевые узлы также поддерживали SNI. Эта настройка действует только когда `sni_default` установлено в `true`. При создании нового профиля значение передаётся из родительского профиля.
state string		Choices: присутствует ← отсутствует	При значении `present` гарантирует существование профиля. При значении `absent` гарантирует удаление профиля.
strict_resume boolean		Choices: нет да	Включает или отключает возобновление SSL-сессий после некорректного завершения. При создании нового профиля значение передаётся из родительского профиля.
trusted_cert_authority string			Указывает доверенный клиентский центр сертификации (CA).

Примечания

Примечание

Требуется версия ПО BIG-IP ≥ 12
Для получения более подробной информации об использовании Ansible для управления устройствами F5 Networks см. https://www.ansible.com/integrations/networks/f5.
Требуется версия ПО BIG-IP ≥ 12.
Модули F5 изменяют только текущую конфигурацию продукта F5. Чтобы убедиться, что конфигурация BIG-IP сохранится на диске, включите хотя бы одну задачу, которая использует модуль f5networks.f5_modules.bigip_config для сохранения текущей конфигурации. Обратитесь к документации модуля для правильного использования модуля, чтобы сохранить текущую конфигурацию.

Примеры

- name: Create client SSL profile
  bigip_profile_client_ssl:
    state: present
    name: my_profile
    provider:
      server: lb.mydomain.com
      user: admin
      password: secret
  delegate_to: localhost

- name: Create client SSL profile with specific ciphers
  bigip_profile_client_ssl:
    state: present
    name: my_profile
    ciphers: "!SSLv3:!SSLv2:ECDHE+AES-GCM+SHA256:ECDHE-RSA-AES128-CBC-SHA"
    provider:
      server: lb.mydomain.com
      user: admin
      password: secret
  delegate_to: localhost

- name: Create client SSL profile with specific cipher group
  bigip_profile_client_ssl:
    state: present
    name: my_profile
    ciphers: "none"
    cipher_group: "/Common/f5-secure"
    provider:
      server: lb.mydomain.com
      user: admin
      password: secret
  delegate_to: localhost

- name: Create client SSL profile with specific SSL options
  bigip_profile_client_ssl:
    state: present
    name: my_profile
    options:
      - no-sslv2
      - no-sslv3
    provider:
      server: lb.mydomain.com
      user: admin
      password: secret
  delegate_to: localhost

- name: Create client SSL profile require secure renegotiation
  bigip_profile_client_ssl:
    state: present
    name: my_profile
    secure_renegotiation: request
    provider:
      server: lb.mydomain.com
      user: admin
      password: secret
  delegate_to: localhost

- name: Create a client SSL profile with a cert/key/chain setting
  bigip_profile_client_ssl:
    state: present
    name: my_profile
    cert_key_chain:
      - cert: bigip_ssl_cert1
        key: bigip_ssl_key1
        chain: bigip_ssl_cert1
    provider:
      server: lb.mydomain.com
      user: admin
      password: secret
  delegate_to: localhost

Возвращаемые значения

Общие возвращаемые значения описаны здесь, следующие поля уникальны для этого модуля:

Ключ	Возвращаемое	Описание
allow_non_ssl boolean	изменилось	Принятие соединений без SSL. Пример: True
cache_size integer	изменилось	Указывает количество сессий в кэше SSL-сессий. Пример: 2000
cache_timeout integer	изменилось	Указывает значение таймаута в секундах для записей в кэше SSL-сессий. Пример: 1800
cipher_group string	изменилось	Группа шифров, применяемая к профилю. Пример: /Common/f5-secure
ciphers string	изменилось	Шифры, применяемые к профилю. Пример: !SSLv3:!SSLv2:ECDHE+AES-GCM+SHA256:ECDHE-RSA-AES128-CBC-SHA
options list / elements=string	изменилось	Список параметров для обработки SSL. Пример: ['no-sslv2', 'no-sslv3']
renegotiation boolean	изменилось	Возобновление SSL-сессий. Пример: True
secure_renegotiation string	изменилось	Метод безопасного возобновления SSL. Пример: request
strict_resume boolean	изменилось	Возобновление SSL-сессий после некорректного завершения. Пример: True

Авторы

Tim Rupp (@caphrim007)
Wojciech Wypior (@wojtek0806)

© 2012–2018 Michael DeHaan
© 2018–2019 Red Hat, Inc.
Licensed under the GNU General Public License version 3.
https://docs.ansible.com/ansible/2.10/collections/f5networks/f5_modules/bigip_profile_client_ssl_module.html