Como automatizar o template saas_idp do F5 no BigIP do Ansible

Question

Estou implantando um servidor virtual BigIP IdP SAML no modo iniciado pelo IdP graças ao modelo f5.saas_idp.v1.0.1rc1 do iApps, com base nas instruções de link

Funciona bem com o assistente do BigIP, mas espero automatizar e documentar a implantação graças a um guia Ansible

- name: Deploy {{ idp_host }} with f5.saas_idp iApp template
  bigip_iapp_service:
    name: "saas_idp_{{ idp_host }}"
    template: f5.saas_idp.v1.0.1rc1
    parameters:
      tables:
        - name: saas_apps__saas_choice
          columnNames:
            - app_name
            - app_selection
            - app_sp
            - sp_initiated
          rows:
            - row:
                - "{{ saml_saas_name }}"
                - "/#zendesk#"
                - "{{ saml_saas_sp }}"
                - no # which means "Yes, IdP and SP"
        - name: saas_apps__saas_attributes
          # Empty
      variables:
        - name: options__advanced_mode
          value: yes
        - name: saas_virtual__addr
          value: "{{ idp_address }}"
        - name: saas_virtual__port
          value: 443
        - name: idp_encryption__cert
          value: /Common/{{ idp_host }}_saml_idp_metadata_cert.crt
        - name: idp_encryption__key
          value: /Common/{{ idp_host }}_saml_idp_metadata_cert.key
        - name: saas_virtual__vlan_listening
          value: enabled
        - name: saas_virtual__vlan_selections
          value: /Common/Internal
        - name: saas_virtual__lan_or_wan
          value: LAN
        - name: saas_virtual__tcp_lan_opt
          value: tcp-lan-optimized
        - name: saas_virtual__http
          value: http
        - name: saas_virtual__clientssl
          value: /Common/clientssl_wildcard_2017-2020
        - name: saas_virtual__chainssl
          name: "/#do_not_use#"
        - name: apm__apm_policy
          value: "/#create_new#"
        - name: apm__saml_entity_id_format
          value: url
        - name: apm__saml_entity_id
          value: https://{{ idp_host }}
        - name: apm__aaa_profile
          value: /Common/AAA_myAD
        - name: apm__logging
          value: /Common/default-log-setting
    force: no
    state: present
    strict_updates: no

Mas o script falha exigindo saas_virtual__key , saas_virtual__cert e saas_virtual__chainssl , enquanto eles não são esperados, já que eu forneço um saas_virtual__clientssl no modo Avançado:

message":"script did not successfully complete: (can't read "::saas_virtual__key": no such variable
    while executing
"iapp_conf create $cssl_cmd key $::saas_virtual__key cert $::saas_virtual__cert  chain none"
    invoked from within
"subst $substa_out"
    invoked from within
"if { [info exists [set substa_in]] } {
            set substa_out [subst $$substa_in]
            set substa_out [subst $substa_out]
        } else {
..."
    ("uplevel" body line 3)
    invoked from within
"uplevel {
        append ::substa_debug "
$substa_in"
        if { [info exists [set substa_in]] } {
            set substa_out [subst $$substa_in]
 ..."
    (procedure "iapp_substa" line 9)
    invoked from within
"iapp_substa client_ssl_arr($new_client_ssl,$do_chain_cert)"
    invoked from within
"iapp_conf create ltm virtual ${app}_vs  destination [iapp_destination $::saas_virtual__addr $::saas_virtual__port]  ip-protocol tcp  profiles replace-..."

O fornecimento dessas variáveis não ajuda, o script não é carregado por causa da senha da chave que não posso fornecer:

Error reading key PEM file /Common/wildcard_2017-2020.key
for profile /Common/saas_idp.app/saas_idp_myidphost_client-
ssl: error:0906A068:PEM routines:PEM_do_header:bad password read

Então, do meu ponto de vista, a melhor opção é obter um modelo usando meu perfil de cliente existente. Como proceder ? Existe uma maneira de 'depurar' o script de modelo do iApps, pelo menos inspecionando variáveis?

    

Answer 1

Descobri onde estava a armadilha a ser evitada - Ansible substituiu o valor yes pelo objeto booleano True python antes de enviar a variável - descartando assim a string esperada:

variables:
  - name: options__advanced_mode
    value: "yes"

Como resultado, o modo avançado não foi ativado e é por isso que a execução do TCL iApps tenta criar um novo perfil de cliente:

# Client SSL Profile
set new_client_ssl [expr { !$advanced || [iapp_is ::saas_virtual__clientssl "/#create_new#"] }]
set do_chain_cert  [expr { $advanced && \
    [info exists ::saas_virtual__chainssl] && \
    ![iapp_is ::saas_virtual__chainssl "/#do_not_use#"] }]

Para que o modelo do iApps seja definitivamente bom ... mas para facilitar a automação do REST ou Ansible, a validação do parâmetro de entrada pode ser aprimorada para enviar um aviso relevante antes de falhar com a mensagem de erro e o rastreamento de pilha.