Ansibleロール: NSS共有データベース

Google Chromeが使用するように、UbuntuまたはDebianのNSS共有データベースにCA証明書をインストールします。

要件

• CA証明書は、ターゲットホストに既にインストールされている必要があります。curlやPHPのためにbdellegrazie.ca-certificatesを使用できます。

ロール変数

使用可能な変数は以下にリストされています。デフォルト値も含まれています（defaults/main.ymlを参照）：

certutils_package_state: installed

デフォルトでは、これは「installed」に設定されています。アップグレードしたい場合や別のリポジトリに切り替えた場合は、この変数を「latest」に上書きできます。

nssdb_users: []

証明書を管理するユーザーアカウント名のリストを追加します。システム全体の/etc/pki/nssdbの他に必要です。これは、Google Chromeがユーザーのnssdbのみを開くために必要です。

nssdb_certificates: []

name、path、trustトラスト属性を持つ証明書のリストを/etc/pki/nssdbにインストールします（certutil -H -Aを参照して-t trustargsパラメータのヘルプを確認してください）。例えば、ウェブサイトの署名を信頼するためにCT,c,c、またはウェブサイト、S/MIME（メール）証明書、コード署名を信頼するためにCT,C,Cを使用します。

証明書名はcert common name - cert organizationとして整理し、Chromeが見やすく表示できるようにします。

nssdb_certificates:
  # ウェブサイト、S/MIME、コード署名を信頼してCAcert CAをインストール
  - name: CA Cert Signing Authority - Root CA
    path: /usr/local/share/ca-certificates/cacert.crt
    trust: CT,C,C
  # ウェブサイトのみを信頼して企業CAをインストール
  - name: Acme CA - Acme Corp
    path: /usr/local/share/ca-certificates/acme.crt
    trust: CT,c,c

依存関係

特にありませんが、ターゲットホストに証明書を転送し、curl、PHPなどのためにインストールするためにbdellegrazie.ca-certificatesを使用できます。

サンプルプレイブック

- hosts: phpdevs

  pre_tasks:
    - name: CA Cert Signing Authorityをダウンロード
      uri:
        url: 'http://www.cacert.org/certs/root.crt'
        return_content: true
      register: cacert_pem

  vars_files:
    - vars/main.yml
    
  roles:
    - bdellegrazie.ca-certificates
    - pixelart.nssdb
    

vars/main.ymlの中で：

ca_certificates_trusted:
  - { pem: "{{ cacert_pem.content }}", name: cacert }
  - { pem: "{{ lookup('file', 'files/ssl/acme-ca.pem') }}", name: acme }

nssdb_users: ['username']
nssdb_certificates:
  - name: CA Cert Signing Authority - Root CA
    path: '{{ ca_certificates_local_dir }}/cacert.crt'
    trust: CT,C,C
  - name: Acme CA - Acme Corp
    path: /usr/local/share/ca-certificates/acme.crt
    trust: CT,c,c

プレイブックが実行された後、証明書はシステム全体とユーザーのnssdbにインストールされ、curl、PHPなどのためにca-certificates.crtに連結されます。

行動規範

このプロジェクトは貢献者の行動規範に基づいて公開されています。このプロジェクトに参加することで、その規定に従うことに同意したことになります。

ライセンス

MITライセンス、詳細はLICENSEファイルを参照してください。

作者情報

このロールは、2017年にピクセルアートGmbHによって作成されました。