web-dev-qa-db-ja.com

AnsibleのBigIPでF5SaaSIDPテンプレートを自動化する方法

https://www.f5.com/pdf/deployment-guides/saml）からの指示に基づいて、iAppsテンプレートf5.saas_idp.v1.0.1rc1のおかげで、BigIP IdPSAML仮想サーバーをIdP開始モードでデプロイしています。 -idp-saas-dg.pdf

BigIPウィザードからはうまく機能しますが、Ansibleプレイブックのおかげで展開を自動化して文書化することを期待しています

- name: Deploy {{ idp_Host }} with f5.saas_idp iApp template
  bigip_iapp_service:
    name: "saas_idp_{{ idp_Host }}"
    template: f5.saas_idp.v1.0.1rc1
    parameters:
      tables:
        - name: saas_apps__saas_choice
          columnNames:
            - app_name
            - app_selection
            - app_sp
            - sp_initiated
          rows:
            - row:
                - "{{ saml_saas_name }}"
                - "/#zendesk#"
                - "{{ saml_saas_sp }}"
                - no # which means "Yes, IdP and SP"
        - name: saas_apps__saas_attributes
          # Empty
      variables:
        - name: options__advanced_mode
          value: yes
        - name: saas_virtual__addr
          value: "{{ idp_address }}"
        - name: saas_virtual__port
          value: 443
        - name: idp_encryption__cert
          value: /Common/{{ idp_Host }}_saml_idp_metadata_cert.crt
        - name: idp_encryption__key
          value: /Common/{{ idp_Host }}_saml_idp_metadata_cert.key
        - name: saas_virtual__vlan_listening
          value: enabled
        - name: saas_virtual__vlan_selections
          value: /Common/Internal
        - name: saas_virtual__lan_or_wan
          value: LAN
        - name: saas_virtual__tcp_lan_opt
          value: tcp-lan-optimized
        - name: saas_virtual__http
          value: http
        - name: saas_virtual__clientssl
          value: /Common/clientssl_wildcard_2017-2020
        - name: saas_virtual__chainssl
          name: "/#do_not_use#"
        - name: apm__apm_policy
          value: "/#create_new#"
        - name: apm__saml_entity_id_format
          value: url
        - name: apm__saml_entity_id
          value: https://{{ idp_Host }}
        - name: apm__aaa_profile
          value: /Common/AAA_myAD
        - name: apm__logging
          value: /Common/default-log-setting
    force: no
    state: present
    strict_updates: no

しかし、スクリプトはsaas_virtual__key、saas_virtual__cert、およびsaas_virtual__chainsslを必要として失敗しますが、詳細モードで既存のsaas_virtual__clientsslを提供するため、これらは予期されていません。

message":"script did not successfully complete: (can't read "::saas_virtual__key": no such variable
    while executing
"iapp_conf create $cssl_cmd key $::saas_virtual__key cert $::saas_virtual__cert  chain none"
    invoked from within
"subst $substa_out"
    invoked from within
"if { [info exists [set substa_in]] } {
            set substa_out [subst $$substa_in]
            set substa_out [subst $substa_out]
        } else {
..."
    ("uplevel" body line 3)
    invoked from within
"uplevel {
        append ::substa_debug "
$substa_in"
        if { [info exists [set substa_in]] } {
            set substa_out [subst $$substa_in]
 ..."
    (procedure "iapp_substa" line 9)
    invoked from within
"iapp_substa client_ssl_arr($new_client_ssl,$do_chain_cert)"
    invoked from within
"iapp_conf create ltm virtual ${app}_vs  destination [iapp_destination $::saas_virtual__addr $::saas_virtual__port]  ip-protocol tcp  profiles replace-..."

これらの変数を指定しても役に立ちません。指定できないキーパスワードが原因でスクリプトを読み込めません。

Error reading key PEM file /Common/wildcard_2017-2020.key
for profile /Common/saas_idp.app/saas_idp_myidphost_client-
ssl: error:0906A068:PEM routines:PEM_do_header:bad password read

したがって、私の観点からは、既存のclientsslプロファイルを使用してテンプレートを取得するのが最善のオプションです。どうやって進める ？少なくとも変数を検査して、iAppsテンプレートスクリプトを「デバッグ」する方法はありますか？

ansiblef5-big-ip
1
Yves Martin

回避すべきトラップがどこにあるかを見つけました-Ansibleはyes値をTrueに置き換えましたpython変数を送信する前にブールオブジェクト-したがって、予期された文字列を破棄します：

variables:
  - name: options__advanced_mode
    value: "yes"

その結果、詳細モードが有効にならなかったため、TCLiAppsの実行で新しいclientsslプロファイルが作成されます。

# Client SSL Profile
set new_client_ssl [expr { !$advanced || [iapp_is ::saas_virtual__clientssl "/#create_new#"] }]
set do_chain_cert  [expr { $advanced && \
    [info exists ::saas_virtual__chainssl] && \
    ![iapp_is ::saas_virtual__chainssl "/#do_not_use#"] }]

IAppsテンプレートが間違いなく優れているように...しかし、RESTまたはAnsibleからの自動化を容易にするために、入力パラメーターの検証を改善して、エラーメッセージとスタックトレースで失敗する前に関連する警告を送信することができます。

1
Yves Martin