使用Ansible Playbook生成自签名OpenSSL证书时私钥文件不存在

错误原因 #

你用错了模块：community.crypto.x509_certificate的核心功能是生成或签署X.509证书，它本身不会自动生成私钥。当你在任务中指定privatekey_path时，模块会默认这个路径下的私钥已经存在，所以才会报私钥文件不存在的错误。

官方示例里的privatekey_path是预先存在的私钥路径，示例并没有包含私钥生成的步骤，所以你误解了模块的用法。

正确配置步骤 #

需要分两步：先生成私钥，再生成自签名证书。修改后的Playbook如下：

---
- name: Ensure directory exists for local self-signed TLS certs.
  file:
    path: "{{ certificate_dir }}/{{ server_hostname }}"
    state: directory

- name: Generate OpenSSL private key
  community.crypto.openssl_privatekey:
    path: "{{ certificate_dir }}/{{ server_hostname }}/privkey.pem"

- name: Generate self-signed TLS certificate
  community.crypto.x509_certificate:
    path: "{{ certificate_dir }}/{{ server_hostname }}/cert.pem"
    privatekey_path: "{{ certificate_dir }}/{{ server_hostname }}/privkey.pem"
    provider: selfsigned

补充说明 #

1. community.crypto.openssl_privatekey模块专门用于生成OpenSSL私钥，会自动创建指定路径的私钥文件。
2. 生成证书时，path参数指定证书文件的保存路径，建议和私钥路径区分开（避免同名混淆）。
3. 确保目标主机已安装community.crypto集合，未安装可执行命令：ansible-galaxy collection install community.crypto

内容的提问来源于stack exchange，提问作者Richard Rublev