community.crypto.openssl_dhparam 模块 – 生成 OpenSSL Diffie-Hellman 参数

注意

此模块是 community.crypto 集合（版本 2.22.3）的一部分。

如果您正在使用 ansible 包，则可能已经安装了此集合。它不包含在 ansible-core 中。要检查是否已安装，请运行 ansible-galaxy collection list。

要安装它，请使用：ansible-galaxy collection install community.crypto。您需要其他要求才能使用此模块，请参阅 要求 了解详细信息。

要在 Playbook 中使用它，请指定：community.crypto.openssl_dhparam。

概要

  • 此模块允许重新（重新）生成 OpenSSL DH 参数。

  • 此模块使用文件通用参数来指定生成的文件权限。

  • 请注意，如果现有 DH 参数与模块的选项不匹配，该模块会重新生成这些参数。如果您担心这会覆盖您现有的 DH 参数，请考虑使用 backup 选项。

  • 该模块可以使用 cryptography Python 库或 openssl 可执行文件。默认情况下，它会尝试检测哪个可用。这可以使用 select_crypto_backend 选项覆盖。

要求

执行此模块的主机需要满足以下要求。

  • cryptography >= 2.0

  • 或者 OpenSSL 二进制文件 openssl

参数

参数

注释

attributes

别名：attr

字符串

生成的 文件系统对象应具有的属性。

要获取支持的标志，请查看目标系统上 chattr 的手册页。

此字符串应包含与 lsattr 显示的顺序相同的属性。

= 运算符被假定为默认值，否则需要在字符串中包含 + 或 - 运算符。

backup

布尔值

创建一个包含时间戳的备份文件，以便您在意外覆盖旧的 DH 参数后可以恢复它们。

选项

  • false ← (默认)

  • true

force

布尔值

即使参数已经存在，是否应该重新生成。

选项

  • false ← (默认)

  • true

group

字符串

应该拥有文件系统对象的组的名称，就像传递给 chown 一样。

如果未指定，则使用当前用户的当前组，除非您是 root 用户，在这种情况下，它可以保留以前的所有权。

mode

任意

生成的 文件系统对象应具有的权限。

对于那些习惯使用 /usr/bin/chmod 的人，请记住模式实际上是八进制数。您必须为 Ansible 提供足够的信息以正确解析它们。为了获得一致的结果，请引用八进制数（例如，'644' 或 '1777'），以便 Ansible 接收字符串并可以将其自身从字符串转换为数字。添加前导零（例如，0755）有时有效，但在循环和其他一些情况下可能会失败。

如果 Ansible 不遵循上述任何规则而接收到一个数字，最终会得到一个十进制数，这将产生意外的结果。

从 Ansible 1.8 开始，模式可以指定为符号模式（例如，u+rwx 或 u=rw,g=r,o=r）。

如果未指定 mode 并且目标文件系统对象不存在，则在设置新创建的文件系统对象的模式时，将使用系统上的默认 umask。

如果未指定 mode，并且目标文件系统对象确实存在，则将使用现有文件系统对象的模式。

指定 mode 是确保使用正确权限创建文件系统对象的最佳方法。有关更多详细信息，请参阅 CVE-2020-1736。

owner

字符串

应该拥有文件系统对象的用户名称，将传递给 chown。

如果未指定，则将使用当前用户，除非您是 root 用户，在这种情况下，它可以保留之前的拥有者。

指定数字用户名将被假定为用户 ID 而不是用户名。避免使用数字用户名以避免这种混淆。

path

路径 / 必需

将保存生成的参数的文件名。

return_content

布尔值

在 community.crypto 1.0.0 中添加

如果设置为 true，将返回（当前或生成的）DH 参数的内容，作为 dhparams。

选项

  • false ← (默认)

  • true

select_crypto_backend

字符串

在 community.crypto 1.0.0 中添加

确定要使用的加密后端。

默认选择是 auto，它会尝试使用 cryptography （如果可用），并回退到 openssl。

如果设置为 openssl，将尝试使用 OpenSSL openssl 可执行文件。

如果设置为 cryptography，将尝试使用 cryptography 库。

选项

  • "auto" ← (默认)

  • "cryptography"

  • "openssl"

selevel

字符串

SELinux 文件系统对象上下文的级别部分。

这是 MLS/MCS 属性，有时称为 range。

如果设置为 _default，它将使用策略的 level 部分（如果可用）。

serole

字符串

SELinux 文件系统对象上下文的角色部分。

如果设置为 _default，它将使用策略的 role 部分（如果可用）。

setype

字符串

SELinux 文件系统对象上下文的类型部分。

如果设置为 _default，它将使用策略的 type 部分（如果可用）。

seuser

字符串

SELinux 文件系统对象上下文的用户部分。

默认情况下，它使用 system 策略（如果适用）。

如果设置为 _default，它将使用策略的 user 部分（如果可用）。

size

整数

生成的 DH 参数的大小（以位为单位）。

默认值： 4096

state

字符串

参数是否应该存在，如果状态与声明的不同，则采取操作。

选项

  • "absent"

  • "present" ← (默认)

unsafe_writes

布尔值

影响何时使用原子操作来防止数据损坏或从目标文件系统对象进行不一致的读取。

默认情况下，此模块使用原子操作来防止数据损坏或从目标文件系统对象进行不一致的读取，但有时系统配置的方式或只是以破坏的方式阻止了这一点。一个例子是 Docker 挂载的文件系统对象，这些对象无法从容器内部以原子方式更新，只能以不安全的方式写入。

此选项允许 Ansible 在原子操作失败时回退到更新文件系统对象的不安全方法（但是，它不会强制 Ansible 执行不安全的写入）。

重要提示！不安全的写入容易受到竞争条件的影响，并可能导致数据损坏。

选项

  • false ← (默认)

  • true

属性

属性

支持

描述

check_mode

支持: 完整

可以在 check_mode 中运行，并返回更改状态预测，而无需修改目标。

diff_mode

支持: 无

在 diff 模式下，将返回已更改（或可能需要在 check_mode 中更改）的详细信息。

safe_file_operations

支持: 完整

使用 Ansible 的严格文件操作函数来确保正确的权限并避免数据损坏。

另请参阅

另请参阅

community.crypto.x509_certificate

生成和/或检查 OpenSSL 证书。

community.crypto.openssl_csr

生成 OpenSSL 证书签名请求 (CSR)。

community.crypto.openssl_pkcs12

生成 OpenSSL PKCS#12 存档。

community.crypto.openssl_privatekey

生成 OpenSSL 私钥。

community.crypto.openssl_publickey

从 OpenSSL 私钥生成 OpenSSL 公钥。

示例

- name: Generate Diffie-Hellman parameters with the default size (4096 bits)
  community.crypto.openssl_dhparam:
    path: /etc/ssl/dhparams.pem

- name: Generate DH Parameters with a different size (2048 bits)
  community.crypto.openssl_dhparam:
    path: /etc/ssl/dhparams.pem
    size: 2048

- name: Force regenerate an DH parameters if they already exist
  community.crypto.openssl_dhparam:
    path: /etc/ssl/dhparams.pem
    force: true

返回值

常见返回值记录在此处，以下是此模块独有的字段

键

描述

backup_file

字符串

创建的备份文件名。

返回: 已更改，并且如果 backup 为 true

示例: "/path/to/dhparams.pem.2019-03-09@11:22~"

dhparams

字符串

在 community.crypto 1.0.0 中添加

（当前或生成的）DH 参数的内容。

返回: 如果 state 为 present 并且 return_content 为 true

filename

字符串

生成的 Diffie-Hellman 参数的路径。

返回: 已更改或成功

示例: "/etc/ssl/dhparams.pem"

size

整数

Diffie-Hellman 参数的大小（以位为单位）。

返回: 已更改或成功

示例: 4096

作者

  • Thom Wiggers (@thomwiggers)