community.hashi_vault.vault_pki_generate_certificate 模块 – 使用 HashiCorp Vault PKI 生成新的凭据集（私钥和证书）

注意

此模块是 community.hashi_vault 集合（版本 6.2.0）的一部分。

如果您正在使用 ansible 包，则可能已经安装了此集合。它不包含在 ansible-core 中。要检查是否已安装，请运行 ansible-galaxy collection list。

要安装它，请使用：ansible-galaxy collection install community.hashi_vault。您需要其他要求才能使用此模块，有关详细信息，请参阅要求。

要在 playbook 中使用它，请指定：community.hashi_vault.vault_pki_generate_certificate。

community.hashi_vault 2.3.0 中的新增功能

概要 

基于 Vault PKI 角色生成新的凭据集（私钥和证书）。

要求 

执行此模块的主机上需要以下要求。

hvac (Python 库) 版本 0.9.1 或更高版本
有关详细要求，请参阅集合要求页面。

参数 

参数	注释
alt_names 列表 / 元素=字符串	指定请求的主题备用名称。这些可以是主机名或电子邮件地址；它们将被解析到各自的字段中。如果任何请求的名称与角色策略不匹配，则整个请求将被拒绝。默认： `[]`
auth_method 字符串	要使用的身份验证方法。 `none` 身份验证方法在集合版本 `1.2.0` 中添加。 `cert` 身份验证方法在集合版本 `1.4.0` 中添加。 `aws_iam_login` 在集合版本 `2.1.0` 中重命名为 `aws_iam`，并在 `3.0.0` 中删除。 `azure` 身份验证方法在集合版本 `3.2.0` 中添加。选择 `"token"` ← (默认) `"userpass"` `"ldap"` `"approle"` `"aws_iam"` `"azure"` `"jwt"` `"cert"` `"none"`
aws_access_key 别名：aws_access_key_id 字符串	要使用的 AWS 访问密钥。
aws_iam_server_id 字符串在 community.hashi_vault 0.2.0 中添加	如果指定，则设置 `GetCallerIdentity` 请求中使用的 `X-Vault-AWS-IAM-Server-ID` 标头的值。
aws_profile 别名：boto_profile 字符串	AWS 配置文件
aws_secret_key 别名：aws_secret_access_key 字符串	与访问密钥对应的 AWS 密钥。
aws_security_token 字符串	如果使用临时访问密钥和秘密密钥，则使用 AWS 安全令牌。
azure_client_id 字符串在 community.hashi_vault 3.2.0 中添加	Azure AD 服务主体或托管标识的客户端 ID（也称为应用程序 ID）。应为 UUID。如果未指定，将使用系统分配的托管标识。
azure_client_secret 字符串在 community.hashi_vault 3.2.0 中添加	Azure AD 服务主体的客户端密钥。
azure_resource 字符串在 community.hashi_vault 3.2.0 中添加	在 Azure Active Directory 中注册的应用程序的资源 URL。通常不应更改默认值。默认： `"https://management.azure.com/"`
azure_tenant_id 字符串在 community.hashi_vault 3.2.0 中添加	服务主体的 Azure Active Directory 租户 ID（也称为目录 ID）。应为 UUID。当使用服务主体向 Vault 进行身份验证时需要，例如，当同时指定 azure_client_id 和 azure_client_secret 时需要。当使用托管标识向 Vault 进行身份验证时可选。
ca_cert 别名：cacert 字符串	用于身份验证的证书路径。如果未通过任何其他方式指定，则将使用 `VAULT_CACERT` 环境变量。
cert_auth_private_key 路径在 community.hashi_vault 1.4.0 中添加	对于 `cert` 身份验证，用于身份验证的私钥文件路径，格式为 PEM。
cert_auth_public_key 路径在 community.hashi_vault 1.4.0 中添加	对于 `cert` 身份验证，用于身份验证的证书文件路径，格式为 PEM。
common_name 字符串 / 必需	指定证书的请求 CN。如果 CN 允许角色策略，则将颁发它。
engine_mount_point 字符串	指定 PKI 引擎使用的挂载点。默认为 `hvac` 使用的默认值。
exclude_cn_from_sans 布尔值	如果为 true，则给定的common_name将不会包含在 DNS 或电子邮件主题备用名称中（如果适用）。如果 CN 不是主机名或电子邮件地址，而是某些人类可读的标识符，则此项很有用。选择 `false` ← (默认) `true`
format 字符串	指定返回数据的格式。可以是 `pem`、`der` 或 `pem_bundle`。如果为 `der`，则输出将进行 base64 编码。如果为 `pem_bundle`，则 `certificate` 字段将包含私钥和证书（已连接）。如果颁发 CA 不是 Vault 衍生的自签名根，则也会包含颁发 CA。选择 `"pem"` ← (默认) `"der"` `"pem_bundle"`
ip_sans 列表 / 元素=字符串	指定请求的 IP 主题备用名称。仅当角色允许 IP SAN 时有效（这是默认值）。默认： `[]`
jwt 字符串	用于对 Vault 进行 JWT 身份验证的 JSON Web 令牌 (JWT)。
mount_point 字符串	Vault 挂载点。如果未指定，则使用给定身份验证方法的默认挂载点。不适用于令牌身份验证。
namespace 字符串	密钥所在的 Vault 命名空间。此选项需要 HVAC 0.7.0+ 和 Vault 0.11+。或者，可以通过在身份验证挂载点和/或密钥路径前加上命名空间来实现（例如 `mynamespace/secret/mysecret`）。如果设置了环境变量 `VAULT_NAMESPACE`，则其值将最后使用（在所有指定namespace的方式中）。
other_sans 列表 / 元素=字符串	指定自定义 OID/UTF8 字符串 SAN。这些必须与 `allowed_other_sans` 中的角色上指定的值匹配。格式与 OpenSSL 相同：`<oid>;<type>:<value>`，其中当前唯一有效的类型是 `UTF8`。默认： `[]`
password 字符串	身份验证密码。
private_key_format 字符串	指定用于编组私钥的格式。默认为 `der`，这将根据format的值返回 base64 编码的 DER 或 PEM 编码的 DER。另一个选项是 `pkcs8`，这将返回以 PEM 编码的 PKCS8 编组的密钥。选择 `"der"` ← (默认) `"pkcs8"`
proxies 任意在 community.hashi_vault 1.1.0 中添加	用于访问 Vault 服务的代理 URL。它可以是字符串或字典。如果它是字典，请提供方案（例如 `http` 或 `https`）作为键，并将 URL 作为值。如果它是字符串，请提供一个将用作 `http` 和 `https` 方案代理的单个 URL。可以解释为字典的字符串将转换为字典（请参阅示例）。您可以为 HTTP 和 HTTPS 资源指定不同的代理。如果未指定，则使用来自 Requests 库的环境变量。
region 字符串	用于创建连接的 AWS 区域。
retries 任意在 community.hashi_vault 1.3.0 中添加	允许根据 urllib3 库中的 Retry 类在错误时进行重试。此集合定义了重试与 Vault 连接的建议默认值。此选项可以指定为正数（整数）或字典。如果未指定此选项或数字为 `0`，则禁用重试。数字设置重试的总次数，并对其他设置使用集合默认值。字典值直接用于初始化 `Retry` 类，因此可用于完全自定义重试。有关重试的详细信息，请参阅集合用户指南。
retry_action 字符串在 community.hashi_vault 1.3.0 中添加	控制是否以及如何在重试时显示消息。如果未重试请求，则此选项不起作用。选择 `"ignore"` `"warn"` ← (默认)
role_id 字符串	Vault 角色 ID 或名称。在 `approle`、`aws_iam`、`azure` 和 `cert` 身份验证方法中使用。对于 `cert` 身份验证，如果未提供role_id，则默认行为是尝试所有证书角色并返回任何匹配的角色。对于 `azure` 身份验证，需要role_id。
role_name 字符串 / 必需	指定要针对其创建证书的角色的名称。
secret_id 字符串	用于 Vault AppRole 身份验证的密钥 ID。
timeout 整数在 community.hashi_vault 1.3.0 中添加	设置连接超时时间（以秒为单位）。如果未设置，则使用 `hvac` 库的默认值。
token 字符串	Vault 令牌。可以通过列出的 [env] 变量以及 `VAULT_TOKEN` 环境变量显式指定令牌。如果未显式或通过 env 提供令牌，则插件将检查令牌文件，如 token_path 和 token_file 所确定。令牌加载顺序（先找到者优先）为 `token param -> ansible var -> ANSIBLE_HASHI_VAULT_TOKEN -> VAULT_TOKEN -> token file`。
token_file 字符串	如果未指定令牌，则会尝试从 token_path 中的此文件中读取令牌。默认值： `".vault-token"`
token_path 字符串	如果未指定令牌，则会尝试从此路径读取 token_file。
token_validate 布尔值在 community.hashi_vault 0.2.0 中添加	对于令牌身份验证，将执行 `lookup-self` 操作以确定令牌的有效性，然后再使用它。如果您的令牌没有 `lookup-self` 功能，请禁用此项。选择 `false` ← (默认) `true`
ttl 字符串	指定请求的生存时间。不能大于角色的 `max_ttl` 值。如果未提供，则将使用角色的 `ttl` 值。请注意，如果未显式设置，则角色值默认为系统值。
uri_sans 列表 / 元素=字符串	指定请求的 URI 主题备用名称。默认： `[]`
url 字符串	Vault 服务的 URL。如果未通过任何其他方式指定，则将使用 `VAULT_ADDR` 环境变量的值。如果也未定义 `VAULT_ADDR`，则会引发错误。
username 字符串	身份验证用户名。
validate_certs 布尔值	控制 SSL 证书的验证，通常只在自签名证书时才关闭此项。如果设置了 `VAULT_SKIP_VERIFY` 且未显式提供validate_certs，则会使用 `VAULT_SKIP_VERIFY` 的反向值填充。如果未设置 validate_certs 或 `VAULT_SKIP_VERIFY`，则默认为 `true`。选择 `false` `true`

属性 

属性	支持	描述
action_group	操作组： community.hashi_vault.vault	在 `module_defaults` 中使用 `group/community.hashi_vault.vault` 为此模块设置默认值。
check_mode	支持：部分在检查模式下，此模块不会联系 Vault，并且会返回一个空的 `data` 字段和 `changed` 状态。	可以在 `check_mode` 中运行，并返回更改的状态预测，而无需修改目标。

另请参阅 

另请参阅

HashiCorp Vault PKI 密钥引擎 API: HashiCorp Vault PKI 密钥引擎的 API 文档。
HVAC 库参考: 有关 PKI 引擎的 HVAC 库参考。

示例 

- name: Login and use the resulting token
  community.hashi_vault.vault_login:
    url: https://127.0.0.1:8200
    auth_method: ldap
    username: "john.doe"
    password: "{{ user_passwd }}"
  register: login_data

- name: Generate a certificate with an existing token
  community.hashi_vault.vault_pki_generate_certificate:
    role_name: test.example.org
    common_name: test.example.org
    ttl: 8760h
    alt_names:
      - test2.example.org
      - test3.example.org
    url: https://vault:8201
    auth_method: token
    token: "{{ login_data.login.auth.client_token }}"
  register: cert_data

- name: Display generated certificate
  debug:
    msg: "{{ cert_data.data.data.certificate }}"

返回值 

常见的返回值记录在此处，以下是此模块独有的字段

键	描述
data 复杂	有关新生成证书的信息返回：成功
data 复杂	负载返回：成功
ca_chain 列表 / 元素=字符串	CA 证书的链接列表。返回：成功示例： `["-----BEGIN CERTIFICATE-----...-----END CERTIFICATE-----"]`
certificate 字符串	生成的证书。返回：成功示例： `"-----BEGIN CERTIFICATE-----...-----END CERTIFICATE-----"`
issuing_ca 字符串	CA 证书。返回：成功示例： `"-----BEGIN CERTIFICATE-----...-----END CERTIFICATE-----"`
private_key 字符串	用于生成证书的私钥。返回：成功示例: `"-----BEGIN RSA PRIVATE KEY-----...-----END RSA PRIVATE KEY-----"`
private_key_type 字符串	私钥算法。返回：成功示例: `"rsa"`
serial_number 字符串	证书的序列号。返回：成功示例: `"39:dd:2e:90:b7:23:1f:8d:d3:7d:31:c5:1b:da:84:d0:5b:65:31:58"`
lease_duration 整数	Vault 租约持续时间。返回：成功示例: `21600`
lease_id 字符串	附加到证书的 Vault 租约。返回：成功示例: `"pki/issue/test/7ad6cfa5-f04f-c62a-d477-f33210475d05"`
renewable 布尔值	如果证书可续订，则为 True。返回：成功示例: `false`
warning 字符串	Vault 在生成期间返回的警告。返回：成功

作者

Florent David (@Ripolin)