Ресурс windows_certificate

Редактировать эту страницу в репозитории Chef

Страница всех ресурсов Infra

Используйте ресурс windows_certificate для установки сертификата в хранилище сертификатов Windows из файла. Ресурс предоставляет только чтение для закрытого ключа для назначенных учетных записей. Из-за текущих ограничений WinRM установка сертификатов удалённо может не работать, если операция требует профиля пользователя. Операции с локальным хранилищем должны работать.

Новое в Chef Infra Client 14.7.

Синтаксис

Полный синтаксис всех свойств, доступных для ресурса windows_certificate, следующий:

windows_certificate 'name' do
  exportable           true, false # default value: false
  output_path          String
  pfx_password         String
  private_key_acl      Array
  source               String # default value: 'name' unless specified
  store_name           String # default value: "MY"
  user_store           true, false # default value: false
  action               Symbol # defaults to :create if not specified
end

где:

• windows_certificate — это ресурс.
• name — имя блока ресурса.
• action определяет действия, которые Chef Infra Client предпримет для приведения узла в желаемое состояние.
• exportable, output_path, pfx_password, private_key_acl, source, store_name, и user_store — доступные свойства этого ресурса.

Действия

Ресурс windows_certificate имеет следующие действия:

:acl_add

Добавляет записи с чтением-только в список управления доступом к закрытому ключу сертификата.

:create

Создаёт или обновляет сертификат. (по умолчанию)

:delete

Удаляет сертификат.

:fetch

Получает сертификат.

:nothing

Этот блок ресурса не выполняет действий, пока не получит уведомление от другого ресурса о выполнении. После уведомления этот блок ресурса либо выполняется немедленно, либо помещается в очередь для выполнения в конце выполнения Chef Infra Client.

:verify

Проверяет сертификат и записывает результат в журнал.

Свойства

Ресурс windows_certificate имеет следующие свойства:

exportable

Тип Ruby: true, false | Значение по умолчанию: false

Убедитесь, что импортированный сертификат pfx экспортируемый. Укажите «true», если вы хотите, чтобы сертификат был экспортируемым.

Новое в Chef Infra Client 16.8

output_path

Тип Ruby: Строка

Путь на узле, куда может быть экспортирован объект сертификата (PFX, PEM, CER, KEY и т. д.).

Новое в Chef Infra Client 17.0

pfx_password

Тип Ruby: Строка

Пароль для доступа к объекту, если это файл PFX.

private_key_acl

Тип Ruby: Массив

Массив записей «домен\логин» для предоставления доступа только для чтения к закрытому ключу сертификата. Не идемпотентно.

source

Тип Ruby: Строка | Значение по умолчанию: The resource block's name

Файл-источник (для create и acl_add), отпечаток (для delete, export, и acl_add) или субъект (для delete или export) если он отличается от имени блока ресурса.

store_name

Тип Ruby: Строка | Значение по умолчанию: MY Допустимые значения: "AUTHROOT", "CA", "CLIENTAUTHISSUER", "DISALLOWED", "MY", "REMOTE DESKTOP", "ROOT", "SMARTCARDROOT", "TRUST", "TRUSTEDDEVICES", "TRUSTEDPEOPLE", "TRUSTEDPUBLISHER", "TrustedPublisher", "WEBHOSTING"

Хранилище сертификатов для обработки.

user_store

Тип Ruby: true, false | Значение по умолчанию: false

Использовать хранилище CurrentUser вместо хранилища по умолчанию LocalMachine.

Примечание

До chef-client 16.10 это свойство игнорировалось.

Общие функциональные возможности ресурсов

Ресурсы Chef включают общие свойства, уведомления и защитные механизмы ресурсов.

Общие свойства

Следующие свойства являются общими для всех ресурсов:

compile_time

Тип Ruby: true, false | Значение по умолчанию: false

Управляет фазой, в которой ресурс выполняется на узле. Установите в true, чтобы выполнить во время сборки коллекции ресурсов (фаза compile phase). Установите в false, чтобы выполнить во время настройки узла Chef Infra Client (фаза converge phase).

ignore_failure

Тип Ruby: true, false, :quiet | Значение по умолчанию: false

Продолжать выполнение рецепта, если ресурс завершился неудачей по любой причине. :quiet не будет отображать полный стек вызовов, и рецепт продолжит выполнение, если ресурс завершится неудачей.

retries

Тип Ruby: Целое число | Значение по умолчанию: 0

Количество попыток перехватить исключения и повторить ресурс.

retry_delay

Тип Ruby: Целое число | Значение по умолчанию: 2

Задержка в секундах между попытками повтора.

sensitive

Тип Ruby: true, false | Значение по умолчанию: false

Убедитесь, что конфиденциальные данные ресурса не регистрируются Chef Infra Client.

Уведомления

notifies

Тип Ruby: Символ, 'Chef::Resource[String]'

Ресурс может уведомить другой ресурс о действии при изменении его состояния. Укажите 'resource[name]', :action которое должен выполнить ресурс, и :timer для этого действия. Один ресурс может уведомлять несколько ресурсов; используйте оператор notifies для каждого уведомляемого ресурса.

Если указанный ресурс не существует, генерируется ошибка. В отличие от этого, subscribes не завершит работу, если исходный ресурс не найден.

Таймер определяет момент в ходе выполнения Chef Infra Client, когда выполняется уведомление. Доступны следующие таймеры:

:before

Указывает, что действие по уведомлённому ресурсу должно быть выполнено до обработки блока ресурса, в котором находится уведомление.

:delayed

По умолчанию. Указывает, что уведомление должно быть помещено в очередь и выполнено в конце выполнения Chef Infra Client.

:immediate, :immediately

Указывает, что уведомление должно быть выполнено немедленно для каждого уведомлённого ресурса.

Синтаксис для notifies следующий:

notifies :action, 'resource[name]', :timer

subscribes

Тип Ruby: Символ, 'Chef::Resource[String]'

Ресурс может следить за другим ресурсом и выполнять действия, если состояние отслеживаемого ресурса изменяется. Укажите 'resource[name]', :action которое будет выполнено, и :timer для этого действия.

Обратите внимание, что subscribes не применяет указанное действие к ресурсу, за которым следит. Например:

file '/etc/nginx/ssl/example.crt' do
  mode '0600'
  owner 'root'
end

service 'nginx' do
  subscribes :reload, 'file[/etc/nginx/ssl/example.crt]', :immediately
end

В этом случае свойство subscribes перезапускает службу nginx всякий раз, когда обновляется файл сертификата, расположенный по адресу /etc/nginx/ssl/example.crt. subscribes не вносит никаких изменений в сам файл сертификата, а просто следит за изменениями в файле и выполняет действие :reload для своего ресурса (в данном случае nginx) при обнаружении изменений.

Если другой ресурс не существует, подписка не генерирует ошибку. В отличие от более жёсткой семантики notifies, которая генерирует ошибку, если другой ресурс не существует.

Таймер определяет момент в ходе выполнения Chef Infra Client, когда выполняется уведомление. Доступны следующие таймеры:

:before

Указывает, что действие по уведомлённому ресурсу должно быть выполнено до обработки блока ресурса, в котором находится уведомление.

:delayed

По умолчанию. Указывает, что уведомление должно быть помещено в очередь и выполнено в конце выполнения Chef Infra Client.

:immediate, :immediately

Указывает, что уведомление должно быть выполнено немедленно для каждого уведомлённого ресурса.

Синтаксис для subscribes следующий:

subscribes :action, 'resource[name]', :timer

Защитные механизмы

Свойство защитного механизма может использоваться для оценки состояния узла во время фазы выполнения Chef Infra Client. На основании результатов этой оценки свойство защитного механизма используется для указания Chef Infra Client, следует ли продолжать выполнение ресурса. Свойство защитного механизма принимает строковое значение или значение блока Ruby:

• Строка выполняется как командная строка. Если команда возвращает 0, защитный механизм применяется. Если команда возвращает любое другое значение, то свойство защитного механизма не применяется. Строковые защитные механизмы в powershell_script выполняют команды Windows PowerShell и могут возвращать true в дополнение к 0.
• Блок выполняется как код Ruby, который должен вернуть либо true или false. Если блок возвращает true, свойство защитного механизма применяется. Если блок возвращает false, свойство защитного механизма не применяется.

Свойство защитного механизма полезно для обеспечения идемпотентности ресурса, позволяя этому ресурсу проверять желаемое состояние во время выполнения, а затем, если желаемое состояние присутствует, Chef Infra Client ничего не делать.

Следующие свойства могут использоваться для определения защитного механизма, который оценивается во время фазы выполнения Chef Infra Client:

not_if

Предотвратить выполнение ресурса, когда условие возвращает true.

only_if

Разрешить выполнение ресурса только в том случае, если условие возвращает true.

Примеры

Следующие примеры демонстрируют различные подходы к использованию ресурса windows_certificate в рецептах:

Добавить PFX-сертификат в личный хранилище локальной машины и предоставить учетным записям только чтение для закрытого ключа

windows_certificate 'c:/test/mycert.pfx' do
  pfx_password 'password'
  private_key_acl ["acme\fred", "pc\jane"]
end

Добавить сертификат в доверенное хранилище промежуточных центров сертификации

windows_certificate 'c:/test/mycert.cer' do
  store_name 'CA'
end

Удалить все сертификаты, соответствующие субъекту

windows_certificate 'me.acme.com' do
  action :delete
end