Acme Request

Ceci est un rôle Ansible pour créer une demande de certificat, et uniquement la demande. Pour signer des certificats, jetez un œil à inofix.acme-tiny-sign.

Ce rôle doit être exécuté sur tout hôte ayant besoin de certificats pour lui-même ou qui signe des certificats pour d'autres hôtes.

Si l'hôte utilise des certificats, une clé privée et une CSR (demande de signature de certificat) sont créées. Pour les hôtes qui se contentent de signer pour d'autres, les CSR sont déployées. (Voir inofix.acme-setup pour un aperçu.)

Le développement de ce rôle a commencé au sein de zwischenloesung.acme-tiny-setup, qui a ensuite été divisé.

Pourquoi ne pas utiliser un des rôles existants ?

• Pour la première raison, lisez la section "Promesse" ci-dessous. Nous avons besoin de quelque chose de fiable.
• Ce rôle sera utilisé par maestro et doit suivre la logique utilisée là-bas. (Bien sûr, le rôle peut être utilisé sans maestro...)

État

preSTABLE (Gel des fonctionnalités/RC)

Promesse

Bien sûr, ce rôle peut changer à l'avenir, mais nous n'ajouterons que des fonctionnalités pour ne pas briser la compatibilité avec les versions précédentes.

Si des changements radicaux devaient devenir nécessaires, un nouveau rôle sera créé, probablement avec un suffixe de version...

Installation

ansible-galaxy install inofix.acme-request

Exigences

• Ansible >2.0
• Python2/3 sur l'hôte cible
• UNIX générique avec FHS
• Sudo
• Systemd (par défaut)

Variables du rôle

• app__acme__os__cert_group - optionnel, par défaut='{{ default__acme__group }}'
• app__acme__user - optionnel, par défaut='acme'
• app__acme__group - optionnel, par défaut='acme'
• app__acme__home - optionnel, par défaut='/var/lib/acme'
• app__acme__config_dir - optionnel, par défaut='/etc/ssl/acme'
• app__acme__openssl_config - optionnel, par défaut='/etc/ssl/openssl.cnf'
• app__acme__domain - optionnel, par défaut=[ {domain='example.com'} ]
• app__acme__key_length - optionnel, par défaut=4096
• fqdn - optionnel, par défaut={{ ansible_fqdn | d(inventory_hostname ) }}
• workdir - optionnel, par défaut='/tmp', utilisé pour stocker les demandes de signature à distance

Dépendances

• inofix.acme-setup

Exemple de Playbook

- hosts: serveurs
  roles:
     - inofix.acme-request

(Voir inofix.acme-setup)

Licence

GPLv3

Informations sur l'auteur

• Michael Lustenberger chez inofix.ch