Acme Request

Это роль Ansible для создания запроса на сертификат, только запроса. Для подписки сертификатов посмотрите на inofix.acme-tiny-sign.

Эта роль предназначена для выполнения на любом хосте, которому нужны сертификаты для себя или который подписывает сертификаты для других хостов.

Если хост использует сертификаты, создается закрытый ключ и CSR (запрос на сертификат). Для хостов, которые только подписывают запросы для других хостов, CSR разворачиваются. (Смотрите inofix.acme-setup для обзора.)

Разработка этой роли началась в рамках zwischenloesung.acme-tiny-setup, которая позже была разделена.

Почему мы не используем одну из существующих ролей?

• Первую причину читайте в разделе "Обещание" ниже. Нам нужно что-то надежное.
• Эта роль будет использоваться maestro и должна следовать логике, используемой там. (Конечно, роль можно использовать и без maestro..)

Состояние

preSTABLE (Заморозка функций/RC)

Обещание

Конечно, эта роль может измениться в будущем, но мы будем только добавлять функции, чтобы не нарушить обратную совместимость.

Если будут необходимы радикальные изменения, будет создана новая роль, вероятно, с суффиксом версии...

Установка

ansible-galaxy install inofix.acme-request

Требования

• Ansible >2.0
• Python2/3 на целевом хосте
• Общий UNIX с FHS
• Sudo
• Systemd (по умолчанию)

Переменные роли

• app__acme__os__cert_group - необязательно, по умолчанию='{{ default__acme__group }}'
• app__acme__user - необязательно, по умолчанию='acme'
• app__acme__group - необязательно, по умолчанию='acme'
• app__acme__home - необязательно, по умолчанию='/var/lib/acme'
• app__acme__config_dir - необязательно, по умолчанию='/etc/ssl/acme'
• app__acme__openssl_config - необязательно, по умолчанию='/etc/ssl/openssl.cnf'
• app__acme__domain - необязательно, по умолчанию=[ {domain='example.com'} ]
• app__acme__key_length - необязательно, по умолчанию=4096
• fqdn - необязательно, по умолчанию={{ ansible_fqdn | d(inventory_hostname ) }}
• workdir - необязательно, по умолчанию='/tmp', используется для хранения запросов на удаленную подпись

Зависимости

• inofix.acme-setup

Пример плейбука

- hosts: servers
  roles:
     - inofix.acme-request

(Смотрите inofix.acme-setup)

Лицензия

GPLv3

Информация об авторе

• Михаэль Лустенбергер на inofix.ch