secrets

GET /cubbyhole/{path}

ID операции: cubbyhole-read

Получение секрета в указанном месте.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pathstringpathдаУкажите путь к секрету.
liststringqueryнетВозвращает список, если true.

Ответы

200: OK

POST /cubbyhole/{path}

ID операции: cubbyhole-write

Сохраните секрет в указанном месте.

Поддерживается создание: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
pathstringpathдаУкажите путь к секрету.

Ответы

200: OK

DELETE /cubbyhole/{path}

ID операции: cubbyhole-delete

Удаляет секрет в указанном месте.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pathstringpathдаУкажите путь к секрету.

Ответы

204: пустое тело

GET /{database_mount_path}/config

ID операции: database-list-connections

Настраивает параметры подключения к плагину базы данных.

Параметры

ПараметрТипРасположениеОбязательныйОписание
database_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд
liststring (true)queryдаДолжно быть установлено значение true.

Ответы

200: OK

GET /{database_mount_path}/config/{name}

ID операции: database-read-connection-configuration

Настраивает параметры подключения к плагину базы данных.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаИмНазвание соединения с базой данных
database_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

POST /{database_mount_path}/config/{name}

ID операции: database-configure-connection

Настраивает параметры подключения к плагину базы данных.

Поддерживается создание: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаИмНазвание соединения с базой данных
database_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
allowed_rolesarrayнетСтрока или массив имен ролей, которым разрешено получать кредиты из этого соединения с базой данных, разделенные запятыми. Если пусто, то ни одна роль не разрешена. Если “*”, то разрешены все роли.
password_policystringнетПолитика паролей, используемая при генерации паролей.
plugin_namestringнетИмя встроенного или ранее зарегистрированного плагина, известного в vault. Этот метод создаст экземпляр плагина этого типа.
plugin_versionstringнетВерсия используемого плагина.
root_rotation_statementsarrayнетУказывает операторы базы данных, которые должны быть выполнены для ротации учетных данных пользователя root. Дополнительную информацию о поддержке и форматировании этого параметра см. на странице API плагина.
verify_connectionboolean (default: True)нетЕсли true, то данные о соединении проверяются путем фактического подключения к базе данных. По умолчанию установлено значение true.

Ответы

200: OK

DELETE /{database_mount_path}/config/{name}

ID операции: database-delete-connection-configuration

Настраивает параметры подключения к плагину базы данных.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаИмНазвание соединения с базой данных
database_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

204: пустое тело

GET /{database_mount_path}/creds/{name}

ID операции: database-generate-credentials

Запрос учетных данных базы данных для определенной роли.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаНазвание роли.
database_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

POST /{database_mount_path}/reset/{name}

ID операции: database-reset-connection

Сбрасывает плагин базы данных.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаИмНазвание соединения с базой данных
database_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

GET /{database_mount_path}/roles

ID операции: database-list-roles

Управление ролями, которые могут быть созданы с помощью этого бэкэнда.

Параметры

ПараметрТипРасположениеОбязательныйОписание
database_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд
liststring (true)queryдаДолжно быть установлено значение true.

Ответы

200: OK

GET /{database_mount_path}/roles/{name}

ID операции: database-read-role

Управление ролями, которые могут быть созданы с помощью этого бэкэнда.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаНазвание роли.
database_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

POST /{database_mount_path}/roles/{name}

ID операции: database-write-role

Управление ролями, которые могут быть созданы с помощью этого бэкэнда.

Поддерживается создание: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаНазвание роли.
database_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
creation_statementsarrayнетУказывает операторы базы данных, выполняемые для создания и настройки пользователя. Дополнительные сведения о поддержке и форматировании этого параметра см. на странице API плагина.
credential_configobjectнетКонфигурация для данного credential_type.
credential_typestring (default: password)нетТип учетных данных для управления. Варианты включают: ‘password’, ‘rsa_private_key’. По умолчанию выбрано значение ‘password’.
db_namestringнетИмя базы данных, на которую действует эта роль.
default_ttlintegerнетTtl по умолчанию для роли.
max_ttlintegerнетМаксимальное время действия учетной записи
renew_statementsarrayнетОпределяет операторы базы данных, которые должны быть выполнены для обновления пользователя. Не все типы плагинов поддерживают эту функциональность. Дополнительную информацию о поддержке и форматировании этого параметра см. на странице API плагина.
revocation_statementsarrayнетУказывает операторы базы данных, которые должны быть выполнены для отзыва пользователя. Дополнительные сведения о поддержке и форматировании этого параметра см. на странице API плагина.
rollback_statementsarrayнетУказывает операторы базы данных, которые будут выполняться для отката операции создания в случае ошибки. Не все типы плагинов поддерживают эту функциональность. Дополнительную информацию о поддержке и форматировании этого параметра см. на странице API плагина.

Ответы

200: OK

DELETE /{database_mount_path}/roles/{name}

ID операции: database-delete-role

Управление ролями, которые могут быть созданы с помощью этого бэкэнда.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаНазвание роли.
database_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

204: пустое тело

POST /{database_mount_path}/rotate-role/{name}

ID операции: database-rotate-static-role-credentials

Запрос на изменение учетных данных для статической учетной записи пользователя.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаИмя статической роли
database_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

POST /{database_mount_path}/rotate-root/{name}

ID операции: database-rotate-root-credentials

Запрос на изменение учетных данных root для определенного соединения с базой данных.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаИмНазвание соединения с базой данных
database_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

GET /{database_mount_path}/static-creds/{name}

ID операции: database-read-static-role-credentials

Запросить учетные данные для определенной статической роли. Эти учетные данные периодически ротируются.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаИмя статической роли.
database_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

GET /{database_mount_path}/static-roles

ID операции: database-list-static-roles

Управление статическими ролями, которые могут быть созданы с помощью этого бэкенда.

Параметры

ПараметрТипРасположениеОбязательныйОписание
database_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд
liststring (true)queryдаДолжно быть установлено значение true.

Ответы

200: OK

GET /{database_mount_path}/static-roles/{name}

ID операции: database-read-static-role

Управление статическими ролями, которые могут быть созданы с помощью этого бэкенда.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаНазвание роли.
database_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

POST /{database_mount_path}/static-roles/{name}

ID операции: database-write-static-role

Управление статическими ролями, которые могут быть созданы с помощью этого бэкенда.

Поддерживается создание: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаНазвание роли.
database_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
credential_configobjectнетКонфигурация для данного credential_type.
credential_typestring (default: password)нетТип учетных данных для управления. Варианты включают: ‘password’, ‘rsa_private_key’. По умолчанию выбрано значение ‘password’.
db_namestringнетИмя базы данных, на которую действует эта роль.
rotation_periodintegerнетПериод автоматической ротации учетных данных для данного имени пользователя. Недействителен, если не используется вместе с “username”.
rotation_statementsarrayнетУказывает операторы базы данных, которые будут выполняться для ротации учетных данных. Не все типы плагинов поддерживают эту функциональность. Дополнительную информацию о поддержке и форматировании этого параметра см. на странице API плагина.
usernamestringнетИмя статической учетной записи пользователя для управления Vault. Требуется указать “rotation_period”.

Ответы

200: OK

DELETE /{database_mount_path}/static-roles/{name}

ID операции: database-delete-static-role

Управление статическими ролями, которые могут быть созданы с помощью этого бэкенда.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаНазвание роли.
database_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

204: пустое тело

GET /{kubernetes_mount_path}/check

ID операции: kubernetes-check-configuration

Проверяет, действительна ли конфигурация Kubernetes.

Параметры

ПараметрТипРасположениеОбязательныйОписание
kubernetes_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

GET /{kubernetes_mount_path}/config

ID операции: kubernetes-read-configuration

Настраивает плагин секретного механизма Kubernetes.

Параметры

ПараметрТипРасположениеОбязательныйОписание
kubernetes_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

POST /{kubernetes_mount_path}/config

ID операции: kubernetes-configure

Настраивает плагин секретного механизма Kubernetes.

Параметры

ПараметрТипРасположениеОбязательныйОписание
kubernetes_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
disable_local_ca_jwtboolean (default: False)нетОтключите использование по умолчанию сертификата локального центра сертификации и JWT учетной записи службы при запуске в стручке Kubernetes.
kubernetes_ca_certstringнетСертификат ЦС в кодировке PEM, используемый для проверки сертификата сервера Kubernetes API. По умолчанию используется ЦС локального пода, если он найден.
kubernetes_hoststringнетURL-адрес API Kubernetes для подключения. По умолчанию https://$KUBERNETES_SERVICE_HOST:KUBERNETES_SERVICE_PORT, если эти переменные окружения установлены.
service_account_jwtstringнетВеб-токен JSON учетной записи службы, используемой механизмом secret engine для управления учетными данными Kubernetes. По умолчанию используется JWT локального пода, если он найден.

Ответы

200: OK

DELETE /{kubernetes_mount_path}/config

ID операции: kubernetes-delete-configuration

Настраивает плагин секретного механизма Kubernetes.

Параметры

ПараметрТипРасположениеОбязательныйОписание
kubernetes_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

204: пустое тело

POST /{kubernetes_mount_path}/creds/{name}

ID операции: kubernetes-generate-credentials

Запросите учетные данные учетной записи службы Kubernetes для данной роли Vault.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаИмя роли хранилища
kubernetes_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
audiencesarrayнетЦелевая аудитория созданных учетных данных
cluster_role_bindingbooleanнетЕсли true, создает ClusterRoleBinding для предоставления прав по всему кластеру, а не внутри пространства имен. Требуется, чтобы роль Vault имела для kubernetes_role_type значение ClusterRole.
kubernetes_namespacestringдаИмя пространства имен Kubernetes, в котором будут генерироваться учетные данные
ttlintegerнетTTL сгенерированных учетных данных

Ответы

200: OK

GET /{kubernetes_mount_path}/roles

ID операции: kubernetes-list-roles

Отображает существующие роли в этом механизме секретов.

Параметры

ПараметрТипРасположениеОбязательныйОписание
kubernetes_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд
liststring (true)queryдаДолжно быть установлено значение true.

Ответы

200: OK

GET /{kubernetes_mount_path}/roles/{name}

ID операции: kubernetes-read-role

Управляйте ролями, которые можно создать с помощью этого механизма секретов.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаНазвание роли
kubernetes_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

POST /{kubernetes_mount_path}/roles/{name}

ID операции: kubernetes-write-role

Управляйте ролями, которые можно создать с помощью этого механизма секретов.

Поддерживается создание: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаНазвание роли
kubernetes_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
allowed_kubernetes_namespace_selectorstringнетСелектор меток для пространств имен Kubernetes, в которых могут быть сгенерированы учетные данные. Принимает объект в формате JSON или YAML. Если задан с allowed_kubernetes_namespaces, условия конъюнктивны.
allowed_kubernetes_namespacesarrayнетСписок пространств имен Kubernetes, в которых могут быть сгенерированы учетные данные. Если установлено значение “*”, разрешены все пространства имен.
extra_annotationsobjectнетДополнительные аннотации для применения ко всем сгенерированным объектам Kubernetes.
extra_labelsobjectнетДополнительные метки, которые будут применяться ко всем созданным объектам Kubernetes.
generated_role_rulesstringнетПравила Role или ClusterRole, которые следует использовать при генерации роли. Принимает объект в формате JSON или YAML. Если установлено, будет сгенерирована вся цепочка объектов Kubernetes.
kubernetes_role_namestringнетСуществующая роль или роль кластера (ClusterRole), к которой следует привязать созданную учетную запись сервиса. Если задано, будут созданы объекты привязки токена Kubernetes, учетной записи сервиса и роли.
kubernetes_role_typestring (default: Role)нетУказывает, является ли роль Kubernetes ролью или ClusterRole.
name_templatestringнетШаблон имени, используемый при генерации учетных записей служб, ролей и привязок ролей. Если значение не задано, используется шаблон по умолчанию.
service_account_namestringнетСуществующая учетная запись службы, для которой нужно сгенерировать токены. Взаимоисключающее значение со всеми параметрами роли. Если установлено, будет создан токен только учетной записи сервиса Kubernetes.
token_default_audiencesarrayнетАудитория по умолчанию для генерируемых токенов учетных записей служб Kubernetes. Если не задано или задано значение “”, будет использоваться кластерная аудитория k8s по умолчанию.
token_default_ttlintegerнетЗначение ttl по умолчанию для генерируемых токенов учетных записей служб Kubernetes. Если не задано или установлено в 0, будет использоваться системное значение по умолчанию.
token_max_ttlintegerнетМаксимальный ttl для генерируемых токенов учетных записей служб Kubernetes. Если не задано или установлено в 0, будет использоваться системное значение по умолчанию.

Ответы

200: OK

DELETE /{kubernetes_mount_path}/roles/{name}

ID операции: kubernetes-delete-role

Управляйте ролями, которые можно создать с помощью этого механизма секретов.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаНазвание роли
kubernetes_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

204: пустое тело

GET /{kv_v1_mount_path}/{path}

ID операции: kv-v1-read

Передача секретного хранилища в бэкэнд хранилища, что позволяет читать/записывать произвольные данные в секретное хранилище.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pathstringpathдаМестонахождение секрета.
kv_v1_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд
liststringqueryнетВозвращает список, если true.

Ответы

200: OK

POST /{kv_v1_mount_path}/{path}

ID операции: kv-v1-write

Передача секретного хранилища в бэкэнд хранилища, что позволяет читать/записывать произвольные данные в секретное хранилище.

Поддерживается создание: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
pathstringpathдаМестонахождение секрета.
kv_v1_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

204: No Content

DELETE /{kv_v1_mount_path}/{path}

ID операции: kv-v1-delete

Передача секретного хранилища в бэкэнд хранилища, что позволяет читать/записывать произвольные данные в секретное хранилище.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pathstringpathдаМестонахождение секрета.
kv_v1_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

204: No Content

GET /{kv_v2_mount_path}/config

ID операции: kv-v2-read-configuration

Считывает настройки уровня бэкенда.

Параметры

ПараметрТипРасположениеОбязательныйОписание
kv_v2_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
cas_requiredbooleanнетЕсли значение равно true, бэкэнд будет требовать установки параметра cas для каждой записи
delete_version_afterintegerнетДлительность времени до удаления версии.
max_versionsintegerнетКоличество версий для каждого ключа.

POST /{kv_v2_mount_path}/config

ID операции: kv-v2-configure

Настраивает параметры уровня бэкенда, которые применяются к каждому ключу в хранилище ключевых значений.

Параметры

ПараметрТипРасположениеОбязательныйОписание
kv_v2_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
cas_requiredbooleanнетЕсли значение равно true, бэкэнд будет требовать установки параметра cas для каждой записи
delete_version_afterintegerнетЕсли задано, длительность периода времени до удаления версии. Отрицательное значение длительности отключает использование delete_version_after для всех ключей. Нулевая длительность очищает текущую настройку. Принимает строку формата Go duration.
max_versionsintegerнетКоличество версий, которые следует хранить для каждого ключа. По умолчанию 10

Ответы

204: No Content

GET /{kv_v2_mount_path}/data/{path}

ID операции: kv-v2-read

Запись, обновление, чтение и удаление данных в хранилище Key-Value.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pathstringpathдаМестонахождение секрета.
kv_v2_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
dataobjectнет
metadataobjectнет

POST /{kv_v2_mount_path}/data/{path}

ID операции: kv-v2-write

Запись, обновление, чтение и удаление данных в хранилище Key-Value.

Поддерживается создание: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
pathstringpathдаМестонахождение секрета.
kv_v2_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
dataobjectнетСодержимое карты данных будет сохранено и возвращено при чтении.
optionsobjectнетПараметры для записи записи KV. Установите значение “cas”, чтобы использовать операцию проверки и установки. Если значение не установлено, запись будет разрешена. Если установлено значение 0, запись будет разрешена, только если ключ не существует. Если индекс ненулевой, запись будет разрешена только в том случае, если текущая версия ключа совпадает с версией, указанной в параметре cas.
override_versionintegerнетТолько репликация!!!!!!!!
versionintegerнетЕсли указано при чтении, будет возвращено значение с номером версии

Ответы

200: OK

ПараметрТипОбязательныйОписание
created_timestringнет
custom_metadataobjectнет
deletion_timestringнет
destroyedbooleanнет
versionintegerнет

DELETE /{kv_v2_mount_path}/data/{path}

ID операции: kv-v2-delete

Запись, обновление, чтение и удаление данных в хранилище Key-Value.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pathstringpathдаМестонахождение секрета.
kv_v2_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

204: No Content

POST /{kv_v2_mount_path}/delete/{path}

ID операции: kv-v2-delete-versions

Отмечает одну или несколько версий как удаленные в хранилище KV.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pathstringpathдаМестонахождение секрета.
kv_v2_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
versionsarrayнетВерсии, которые будут архивироваться. Данные с версиями не будут удалены, но они больше не будут возвращаться в обычных запросах на получение.

Ответы

204: No Content

POST /{kv_v2_mount_path}/destroy/{path}

ID операции: kv-v2-destroy-versions

Навсегда удаляет одну или несколько версий в хранилище KV

Параметры

ПараметрТипРасположениеОбязательныйОписание
pathstringpathдаМестонахождение секрета.
kv_v2_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
versionsarrayнетВерсии для уничтожения. Их данные будут удалены навсегда.

Ответы

204: No Content

GET /{kv_v2_mount_path}/metadata/{path}

ID операции: kv-v2-read-metadata

Настраивает параметры для хранилища KV

Параметры

ПараметрТипРасположениеОбязательныйОписание
pathstringpathдаМестонахождение секрета.
kv_v2_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд
liststringqueryнетВозвращает список, если true.

Ответы

200: OK

ПараметрТипОбязательныйОписание
cas_requiredbooleanнет
created_timestringнет
current_versionintegerнет
custom_metadataobjectнетПредоставленные пользователем пары ключ-значение, которые используются для описания произвольной и не зависящей от версии информации о секрете.
delete_version_afterintegerнетДлительность времени до удаления версии.
last_sync_timestringнет
max_versionsintegerнетКоличество версий для хранения
oldest_versionintegerнет
updated_timestringнет
versionsobjectнет

POST /{kv_v2_mount_path}/metadata/{path}

ID операции: kv-v2-write-metadata

Настраивает параметры для хранилища KV

Поддерживается создание: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
pathstringpathдаМестонахождение секрета.
kv_v2_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
cas_requiredbooleanнетЕсли true, ключ будет требовать установки параметра cas при всех запросах на запись. Если false, то будет использоваться конфигурация бэкенда.
custom_metadataobjectнетПредоставленные пользователем пары ключ-значение, которые используются для описания произвольной и не зависящей от версии информации о секрете.
delete_version_afterintegerнетВремя, в течение которого версия будет удалена. Если не задано, используется сконфигурированное значение delete_version_after бэкенда. Не может быть больше, чем delete_version_after бэкенда. Нулевая длительность очищает текущее значение. Отрицательное значение длительности приведет к ошибке.
max_versionsintegerнетКоличество версий, которые следует хранить. Если не задано, используется максимальная версия, настроенная бэкендом.

Ответы

204: No Content

DELETE /{kv_v2_mount_path}/metadata/{path}

ID операции: kv-v2-delete-metadata

Настраивает параметры для хранилища KV

Параметры

ПараметрТипРасположениеОбязательныйОписание
pathstringpathдаМестонахождение секрета.
kv_v2_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

204: No Content

GET /{kv_v2_mount_path}/subkeys/{path}

ID операции: kv-v2-read-subkeys

Прочитайте структуру секретной записи из хранилища Key-Value с удаленными значениями.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pathstringpathдаМестонахождение секрета.
kv_v2_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
metadataobjectнет
subkeysobjectнет

POST /{kv_v2_mount_path}/undelete/{path}

ID операции: kv-v2-undelete-versions

Восстанавливает одну или несколько версий из хранилища KV.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pathstringpathдаМестонахождение секрета.
kv_v2_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
versionsarrayнетВерсии для разархивирования. Версии будут восстановлены, и их данные будут возвращаться при обычных запросах get.

Ответы

204: No Content

GET /{ldap_mount_path}/config

ID операции: ldap-read-configuration

Настраивает плагин секретного механизма LDAP.

Параметры

ПараметрТипРасположениеОбязательныйОписание
ldap_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

POST /{ldap_mount_path}/config

ID операции: ldap-configure

Настраивает плагин секретного механизма LDAP.

Поддерживается создание: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
ldap_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
anonymous_group_searchboolean (default: False)нетИспользовать анонимные привязки при поиске групп LDAP (если true, то исходные учетные данные все равно будут использоваться для первоначальной проверки соединения).
binddnstringнетLDAP DN для поиска DN пользователя (необязательно)
bindpassstringнетПароль LDAP для поиска DN пользователя (необязательно)
case_sensitive_namesbooleanнетЕсли значение равно true, то при сравнении имен пользователей и групп для сопоставления политик будет использоваться чувствительность к регистру.
certificatestringнетСертификат CA для использования при проверке сертификата сервера LDAP, должен быть в кодировке x509 PEM (необязательно)
client_tls_certstringнетСертификат клиента для предоставления серверу LDAP, должен быть закодирован x509 PEM (необязательно)
client_tls_keystringнетКлюч сертификата клиента для предоставления серверу LDAP, должен быть закодирован x509 PEM (необязательно)
connection_timeoutinteger (default: 30s)нетТайм-аут (в секундах) при попытке подключения к серверу LDAP перед попыткой перехода к следующему URL-адресу в конфигурации.
credential_typestring (default: 1)нетТип учетных данных для управления. Опции включают: ‘password’, ‘phrase’. По умолчанию ‘password’.
deny_null_bindboolean (default: True)нет⚠️ Устарело. Отклоняет неаутентифицированный запрос привязки LDAP, если пароль пользователя пуст; значение по умолчанию равно true
dereference_aliasesstring (never, finding, searching, always) (default: never)нетКогда псевдонимы должны разыменовываться при операциях поиска. Принимаемые значения: ‘никогда’, ‘находить’, ‘искать’, ‘всегда’. По умолчанию установлено значение ‘никогда’.
discoverdnbooleanнетИспользуйте анонимную привязку, чтобы узнать привязочный DN пользователя (необязательно).
enable_samaccountname_loginboolean (default: False)нетЕсли true (по умолчанию), новые пользователи могут регистрироваться самостоятельно. Если false, только предварительно созданные пользователи (через путь user/) могут регистрироваться.
groupattrstring (default: cn)нетАтрибут LDAP, который следует использовать для объектов, возвращаемых , чтобы перечислить принадлежность к группе пользователей. Примеры: “cn” или “memberOf” и т. д. По умолчанию: cn
groupdnstringнетБаза поиска LDAP, используемая для поиска членства в группе (например: ou=Groups,dc=example,dc=org)
groupfilterstring (default: (|(memberUid={{.Username}})(member={{.UserDN}})(uniqueMember={{.UserDN}})))нетШаблон Go для запроса принадлежности пользователя к группе (необязательно) Шаблон может обращаться к следующим контекстным переменным: UserDN, Username Пример: (&(objectClass=group)(member:1.2.840.113556.1.4.1941:={{.UserDN}})) По умолчанию: (|(memberUid={{.Username}})(member={.UserDN}})(uniqueMember={.UserDN}}))
insecure_tlsbooleanнетПропустите проверку SSL-сертификата сервера LDAP - ОЧЕНЬ небезопасно (необязательно)
lengthintegerнет⚠️ Устарело. Желаемая длина паролей, которые генерирует Vault.
max_page_sizeinteger (default: 0)нетЕсли установлено значение больше 0, бэкэнд LDAP будет использовать управление постраничным поиском сервера LDAP для запроса страниц до заданного размера. Это можно использовать, чтобы избежать столкновения с ограничением максимального размера результатов сервера LDAP. В противном случае бэкэнд LDAP не будет использовать управление постраничным поиском.
max_ttlintegerнетМаксимальное время жизни пароля.
password_policystringнетПолитика паролей, используемая для генерации паролей
request_timeoutinteger (default: 90s)нетТаймаут в секундах для соединения при выполнении запросов к серверу до возврата ошибки.
schemastring (default: openldap)нетЖелаемая схема LDAP, используемая при изменении паролей учетных записей пользователей.
skip_static_role_import_rotationbooleanнетСледует ли пропустить ротирование ‘import’.
starttlsbooleanнетВыполнять команду StartTLS после установления незашифрованного соединения (необязательно).
tls_max_versionstring (tls10, tls11, tls12, tls13) (default: tls12)нетМаксимальная версия TLS для использования. Принимаемые значения: ’tls10’, ’tls11’, ’tls12’ или ’tls13’. По умолчанию - ’tls12’
tls_min_versionstring (tls10, tls11, tls12, tls13) (default: tls12)нетМинимальная версия TLS для использования. Принимаемые значения: ’tls10’, ’tls11’, ’tls12’ или ’tls13’. По умолчанию используется значение ’tls12’.
ttlintegerнетВремя жизни пароля по умолчанию.
upndomainstringнетРазрешает пользователюПринципалДомена входить в систему с [именем пользователя]@UPNDomain (необязательно).
urlstring (default: ldap://127.0.0.1)нетURL-адрес LDAP для подключения (по умолчанию: ldap://127.0.0.1). Можно указать несколько URL-адресов, соединив их запятыми; они будут опробованы в порядке убывания.
use_pre111_group_cn_behaviorbooleanнетВ Vault 1.1.1 исправление для обработки значений CN групп в разных случаях, к сожалению, внесло регрессию, которая могла привести к тому, что ранее определенные группы не были найдены из-за изменения результирующего имени. Если установлено значение true, будет использоваться поведение, существовавшее до версии 1.1.1, для соответствия CN групп. Это необходимо только в некоторых сценариях обновления для обратной совместимости. Она включается по умолчанию, если конфигурация обновляется, но отключается по умолчанию в новых конфигурациях.
use_token_groupsboolean (default: False)нетЕсли значение true, то для поиска членов групп используется построенный атрибут Active Directory tokenGroups пользователя. При этом будут найдены все группы безопасности, включая вложенные.
userattrstring (default: cn)нетАтрибут, используемый для пользователей (по умолчанию: cn)
userdnstringнетДомен LDAP, который будет использоваться для пользователей (например: ou=People,dc=example,dc=org)
userfilterstring (default: ({{.UserAttr}}={{.Username}}))нетШаблон Go для фильтра поиска пользователей LDAP (необязательно) Шаблон может обращаться к следующим контекстным переменным: UserAttr, Username По умолчанию: ({{.UserAttr}}={{.Username}})
username_as_aliasboolean (default: False)нетЕсли true, устанавливает имя псевдонима на имя пользователя

Ответы

200: OK

DELETE /{ldap_mount_path}/config

ID операции: ldap-delete-configuration

Настраивает плагин секретного механизма LDAP.

Параметры

ПараметрТипРасположениеОбязательныйОписание
ldap_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

204: пустое тело

GET /{ldap_mount_path}/creds/{name}

ID операции: ldap-request-dynamic-role-credentials

Запросите учетные данные LDAP для динамической роли. Эти учетные данные создаются в системе LDAP при запросе к этой конечной точке.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаИмя динамической роли.
ldap_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

GET /{ldap_mount_path}/library

ID операции: ldap-library-list

Отображает имена каждого набора учетных записей служб, хранящихся в данный момент.

Параметры

ПараметрТипРасположениеОбязательныйОписание
ldap_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд
liststring (true)queryдаДолжно быть установлено значение true.

Ответы

200: OK

POST /{ldap_mount_path}/library/manage/{name}/check-in

ID операции: ldap-library-force-check-in

Проверить учетные записи служб в библиотеке.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаНазвание набора.
ldap_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
service_account_namesarrayнетИмя пользователя/имя входа в систему для учетных записей служб для регистрации.

Ответы

200: OK

GET /{ldap_mount_path}/library/{name}

ID операции: ldap-library-read

Считывает библиотечный набор.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаНазвание набора.
ldap_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

POST /{ldap_mount_path}/library/{name}

ID операции: ldap-library-configure

Обновление набора библиотек.

Поддерживается создание: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаНазвание набора.
ldap_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
disable_check_in_enforcementboolean (default: False)нетОтключите поведение по умолчанию, требующее, чтобы регистрация выполнялась сущностью, которая ее проверила.
max_ttlinteger (default: 86400)нетВ секундах - максимальное время продления регистрации. По умолчанию - 24 часа.
service_account_namesarrayнетИмя пользователя/имя входа для учетных записей служб, с которыми будет связан этот набор.
ttlinteger (default: 86400)нетВ секундах - время, в течение которого будет происходить выезд. По умолчанию - 24 часа.

Ответы

200: OK

DELETE /{ldap_mount_path}/library/{name}

ID операции: ldap-library-delete

Удаление набора библиотек.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаНазвание набора.
ldap_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

204: пустое тело

POST /{ldap_mount_path}/library/{name}/check-in

ID операции: ldap-library-check-in

Проверить учетные записи служб в библиотеке.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаНазвание набора.
ldap_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
service_account_namesarrayнетИмя пользователя/имя входа в систему для учетных записей служб для регистрации.

Ответы

200: OK

POST /{ldap_mount_path}/library/{name}/check-out

ID операции: ldap-library-check-out

Выпишите сервисный счет из библиотеки.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаНазвание набора
ldap_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
ttlintegerнетПродолжительность времени до истечения срока регистрации, в секундах.

Ответы

200: OK

GET /{ldap_mount_path}/library/{name}/status

ID операции: ldap-library-check-status

Проверка состояния учетных записей служб в наборе библиотек.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаНазвание набора.
ldap_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

GET /{ldap_mount_path}/library/{path}

ID операции: ldap-library-list-library-path

Отображает имена каждого набора учетных записей служб, хранящихся в данный момент.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pathstringpathдаПуть списка наборов
ldap_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд
liststring (true)queryдаДолжно быть установлено значение true.

Ответы

200: OK

GET /{ldap_mount_path}/library{path}

ID операции: ldap-library-list-library-path

Отображает имена каждого набора учетных записей служб, хранящихся в данный момент.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pathstringpathдаПуть списка наборов
ldap_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд
liststring (true)queryдаДолжно быть установлено значение true.

Ответы

200: OK

GET /{ldap_mount_path}/role

ID операции: ldap-list-dynamic-roles

Отображает список всех динамических ролей, которыми в настоящее время управляет Vault в LDAP.

Параметры

ПараметрТипРасположениеОбязательныйОписание
ldap_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд
liststring (true)queryдаДолжно быть установлено значение true.

Ответы

200: OK

GET /{ldap_mount_path}/role/{name}

ID операции: ldap-read-dynamic-role

Управление статическими ролями, которые могут быть созданы с помощью этого бэкенда.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаИмя роли (в нижнем регистре)
ldap_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

POST /{ldap_mount_path}/role/{name}

ID операции: ldap-write-dynamic-role

Управление статическими ролями, которые могут быть созданы с помощью этого бэкенда.

Поддерживается создание: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаИмя роли (в нижнем регистре)
ldap_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
creation_ldifstringдаСтрока LDIF, используемая для создания новых сущностей в системе LDAP. Этот LDIF может быть шаблонным.
default_ttlintegerнетTTL по умолчанию для динамических учетных данных
deletion_ldifstringдаСтрока LDIF, используемая для удаления сущностей, созданных в системе LDAP. Этот LDIF может быть шаблонным.
max_ttlintegerнетМаксимальное время TTL динамического мандата может быть увеличено до
rollback_ldifstringнетLDIF-строка, используемая для отката изменений в случае сбоя при создании учетных данных. Этот LDIF может быть шаблонным.
username_templatestringнетШаблон, используемый для создания имени пользователя

Ответы

200: OK

DELETE /{ldap_mount_path}/role/{name}

ID операции: ldap-delete-dynamic-role

Управление статическими ролями, которые могут быть созданы с помощью этого бэкенда.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаИмя роли (в нижнем регистре)
ldap_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

204: пустое тело

GET /{ldap_mount_path}/role/{path}

ID операции: ldap-list-role-path

Отображает список всех динамических ролей, которыми в настоящее время управляет Vault в LDAP.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pathstringpathдаПуть списка ролей
ldap_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд
liststring (true)queryдаДолжно быть установлено значение true.

Ответы

200: OK

GET /{ldap_mount_path}/role{path}

ID операции: ldap-list-role-path

Отображает список всех динамических ролей, которыми в настоящее время управляет Vault в LDAP.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pathstringpathдаПуть списка ролей
ldap_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд
liststring (true)queryдаДолжно быть установлено значение true.

Ответы

200: OK

POST /{ldap_mount_path}/rotate-role/{name}

ID операции: ldap-rotate-static-role

Запрос на изменение учетных данных для статической учетной записи пользователя.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаНазвание роли
ldap_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
dnstringнетОтличительное имя записи, которой нужно управлять.
usernamestringнетИмя пользователя/имя входа для записи, с которой будет связана эта роль.

Ответы

200: OK

POST /{ldap_mount_path}/rotate-root

ID операции: ldap-rotate-root-credentials

Запросите обновление корневых учетных данных, которые Vault использует для учетной записи администратора LDAP.

Параметры

ПараметрТипРасположениеОбязательныйОписание
ldap_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

GET /{ldap_mount_path}/static-cred/{name}

ID операции: ldap-request-static-role-credentials

Запросите учетные данные LDAP для определенной статической роли. Эти учетные данные регулярно обновляются.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаИмя статической роли.
ldap_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

GET /{ldap_mount_path}/static-role

ID операции: ldap-list-static-roles

Отображает все статические роли, которыми Vault в настоящее время управляет в системе LDAP.

Параметры

ПараметрТипРасположениеОбязательныйОписание
ldap_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд
liststring (true)queryдаДолжно быть установлено значение true.

Ответы

200: OK

GET /{ldap_mount_path}/static-role/{name}

ID операции: ldap-read-static-role

Управление статическими ролями, которые могут быть созданы с помощью этого бэкенда.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаНазвание роли
ldap_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

POST /{ldap_mount_path}/static-role/{name}

ID операции: ldap-write-static-role

Управление статическими ролями, которые могут быть созданы с помощью этого бэкенда.

Поддерживается создание: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаНазвание роли
ldap_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
dnstringнетОтличительное имя записи, которой нужно управлять.
rotation_periodintegerнетПериод автоматической смены учетных данных для данной записи.
skip_import_rotationbooleanнетПропустить начальную ротировку пароля при импорте (не имеет эффекта на обновления)
usernamestringнетИмя пользователя/имя входа для записи, с которой будет связана эта роль.

Ответы

200: OK

DELETE /{ldap_mount_path}/static-role/{name}

ID операции: ldap-delete-static-role

Управление статическими ролями, которые могут быть созданы с помощью этого бэкенда.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаНазвание роли
ldap_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

204: пустое тело

GET /{ldap_mount_path}/static-role/{path}

ID операции: ldap-list-static-role-path

Отображает все статические роли, которыми Vault в настоящее время управляет в системе LDAP.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pathstringpathдаПуть списка ролей
ldap_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд
liststring (true)queryдаДолжно быть установлено значение true.

Ответы

200: OK

GET /{ldap_mount_path}/static-role{path}

ID операции: ldap-list-static-role-path

Отображает все статические роли, которыми Vault в настоящее время управляет в системе LDAP.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pathstringpathдаПуть списка ролей
ldap_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд
liststring (true)queryдаДолжно быть установлено значение true.

Ответы

200: OK

POST /{pki_mount_path}/acme/account/{kid}

ID операции: pki-write-acme-account-kid

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
kidstringpathдаИдентификатор ключа, предоставленный центром сертификации
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

POST /{pki_mount_path}/acme/authorization/{auth_id}

ID операции: pki-write-acme-authorization-auth_id

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
auth_idstringpathдаЗначение идентификатора авторизации ACME
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

POST /{pki_mount_path}/acme/challenge/{auth_id}/{challenge_type}

ID операции: pki-write-acme-challenge-auth_id-challenge_type

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
auth_idstringpathдаЗначение идентификатора авторизации ACME
challenge_typestringpathдаТип вызова ACME
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

GET /{pki_mount_path}/acme/directory

ID операции: pki-read-acme-directory

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

POST /{pki_mount_path}/acme/new-account

ID операции: pki-write-acme-new-account

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

POST /{pki_mount_path}/acme/new-eab

ID операции: pki-generate-eab-key

Создает привязки внешней учетной записи для использования в ACME

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
acme_directorystringнетКаталог ACME, которому принадлежит ключ
created_onstringнетДата и время в формате RFC3339, когда был создан EAB токен
idstringнетИдентификатор ключа EAB
keystringнетКлюч EAB hmac
key_typestringнетТип ключа EAB

GET /{pki_mount_path}/acme/new-nonce

ID операции: pki-read-acme-new-nonce

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

POST /{pki_mount_path}/acme/new-order

ID операции: pki-write-acme-new-order

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

POST /{pki_mount_path}/acme/order/{order_id}

ID операции: pki-write-acme-order-order_id

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
order_idstringpathдаИдентификатор заказа ACME для получения
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

POST /{pki_mount_path}/acme/order/{order_id}/cert

ID операции: pki-write-acme-order-order_id-cert

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
order_idstringpathдаИдентификатор заказа ACME для получения
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

POST /{pki_mount_path}/acme/order/{order_id}/finalize

ID операции: pki-write-acme-order-order_id-finalize

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
order_idstringpathдаИдентификатор заказа ACME для получения
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

POST /{pki_mount_path}/acme/orders

ID операции: pki-write-acme-orders

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

POST /{pki_mount_path}/acme/revoke-cert

ID операции: pki-write-acme-revoke-cert

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

GET /{pki_mount_path}/ca

ID операции: pki-read-ca-der

Получите центр сертификации, CRL, цепочку центров сертификации или не отозванный сертификат.

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
ca_chainstringнетВыдающая Цепочка CA
certificatestringнетСертификат
issuer_idstringнетИдентификатор издателя
revocation_timeintegerнетВремя отзыва
revocation_time_rfc3339stringнетВремя отзыва в формате RFC 3339

GET /{pki_mount_path}/ca/pem

ID операции: pki-read-ca-pem

Получите центр сертификации, CRL, цепочку центров сертификации или не отозванный сертификат.

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
ca_chainstringнетВыдающая Цепочка CA
certificatestringнетСертификат
issuer_idstringнетИдентификатор издателя
revocation_timeintegerнетВремя отзыва
revocation_time_rfc3339stringнетВремя отзыва в формате RFC 3339

GET /{pki_mount_path}/ca_chain

ID операции: pki-read-ca-chain-pem

Получите центр сертификации, CRL, цепочку центров сертификации или не отозванный сертификат.

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
ca_chainstringнетВыдающая Цепочка CA
certificatestringнетСертификат
issuer_idstringнетИдентификатор издателя
revocation_timeintegerнетВремя отзыва
revocation_time_rfc3339stringнетВремя отзыва в формате RFC 3339

GET /{pki_mount_path}/cert/ca_chain

ID операции: pki-read-cert-ca-chain

Получите центр сертификации, CRL, цепочку центров сертификации или не отозванный сертификат.

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
ca_chainstringнетВыдающая Цепочка CA
certificatestringнетСертификат
issuer_idstringнетИдентификатор издателя
revocation_timeintegerнетВремя отзыва
revocation_time_rfc3339stringнетВремя отзыва в формате RFC 3339

GET /{pki_mount_path}/cert/crl

ID операции: pki-read-cert-crl

Получите центр сертификации, CRL, цепочку центров сертификации или не отозванный сертификат.

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
ca_chainstringнетВыдающая Цепочка CA
certificatestringнетСертификат
issuer_idstringнетИдентификатор издателя
revocation_timeintegerнетВремя отзыва
revocation_time_rfc3339stringнетВремя отзыва в формате RFC 3339

GET /{pki_mount_path}/cert/delta-crl

ID операции: pki-read-cert-delta-crl

Получите центр сертификации, CRL, цепочку центров сертификации или не отозванный сертификат.

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
ca_chainstringнетВыдающая Цепочка CA
certificatestringнетСертификат
issuer_idstringнетИдентификатор издателя
revocation_timeintegerнетВремя отзыва
revocation_time_rfc3339stringнетВремя отзыва в формате RFC 3339

GET /{pki_mount_path}/cert/unified-crl

ID операции: pki-read-cert-unified-crl

Получите центр сертификации, CRL, цепочку центров сертификации или не отозванный сертификат.

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
ca_chainstringнетВыдающая Цепочка CA
certificatestringнетСертификат
issuer_idstringнетИдентификатор издателя
revocation_timeintegerнетВремя отзыва
revocation_time_rfc3339stringнетВремя отзыва в формате RFC 3339

GET /{pki_mount_path}/cert/unified-delta-crl

ID операции: pki-read-cert-unified-delta-crl

Получите центр сертификации, CRL, цепочку центров сертификации или не отозванный сертификат.

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
ca_chainstringнетВыдающая Цепочка CA
certificatestringнетСертификат
issuer_idstringнетИдентификатор издателя
revocation_timeintegerнетВремя отзыва
revocation_time_rfc3339stringнетВремя отзыва в формате RFC 3339

GET /{pki_mount_path}/cert/{serial}

ID операции: pki-read-cert

Получите центр сертификации, CRL, цепочку центров сертификации или не отозванный сертификат.

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
serialstringpathдаСерийный номер сертификата, в восьмеричной системе с разделителем двоеточия или дефиса
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
ca_chainstringнетВыдающая Цепочка CA
certificatestringнетСертификат
issuer_idstringнетИдентификатор издателя
revocation_timeintegerнетВремя отзыва
revocation_time_rfc3339stringнетВремя отзыва в формате RFC 3339

GET /{pki_mount_path}/cert/{serial}/raw

ID операции: pki-read-cert-raw-der

Получите центр сертификации, CRL, цепочку центров сертификации или не отозванный сертификат.

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
serialstringpathдаСерийный номер сертификата, в восьмеричной системе с разделителем двоеточия или дефиса
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
ca_chainstringнетВыдающая Цепочка CA
certificatestringнетСертификат
issuer_idstringнетИдентификатор издателя
revocation_timeintegerнетВремя отзыва
revocation_time_rfc3339stringнетВремя отзыва в формате RFC 3339

GET /{pki_mount_path}/cert/{serial}/raw/pem

ID операции: pki-read-cert-raw-pem

Получите центр сертификации, CRL, цепочку центров сертификации или не отозванный сертификат.

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
serialstringpathдаСерийный номер сертификата, в восьмеричной системе с разделителем двоеточия или дефиса
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
ca_chainstringнетВыдающая Цепочка CA
certificatestringнетСертификат
issuer_idstringнетИдентификатор издателя
revocation_timeintegerнетВремя отзыва
revocation_time_rfc3339stringнетВремя отзыва в формате RFC 3339

GET /{pki_mount_path}/certs

ID операции: pki-list-certs

Получите центр сертификации, CRL, цепочку центров сертификации или не отозванный сертификат.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд
liststring (true)queryдаДолжно быть установлено значение true.

Ответы

200: OK

ПараметрТипОбязательныйОписание
keysarrayнетСписок ключей

GET /{pki_mount_path}/certs/revocation-queue

ID операции: pki-list-certs-revocation-queue

Отображает все ожидающие межкластерные отзывы, известные локальному кластеру.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд
liststring (true)queryдаДолжно быть установлено значение true.

Ответы

200: OK

GET /{pki_mount_path}/certs/revoked

ID операции: pki-list-revoked-certs

Список всех отозванных серийных номеров в локальном кластере

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд
liststring (true)queryдаДолжно быть установлено значение true.

Ответы

200: OK

ПараметрТипОбязательныйОписание
keysarrayнетОтображает список Ключей

GET /{pki_mount_path}/certs/unified-revoked

ID операции: pki-list-unified-revoked-certs

Отображает все отозванные серийные номера в области унифицированного хранилища этого кластера.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд
liststring (true)queryдаДолжно быть установлено значение true.

Ответы

200: OK

ПараметрТипОбязательныйОписание
key_infostringнетИнформация о ключе
keysarrayнетОтображает список Ключей

GET /{pki_mount_path}/config/acme

ID операции: pki-read-acme-configuration

Конфигурация конечных точек ACME

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

POST /{pki_mount_path}/config/acme

ID операции: pki-configure-acme

Конфигурация конечных точек ACME

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
allow_role_ext_key_usageboolean (default: False)нетиспользуется ли поле ExtKeyUsage из роли, по умолчанию false означает, что сертификат будет подписан с помощью ServerAuth.
allowed_issuersarray (default: [’*’])неткакие эмитенты разрешены для использования с ACME; по умолчанию это будет только основной (по умолчанию) эмитент
allowed_rolesarray (default: [’*’])неткакие роли разрешены для использования с ACME; по умолчанию через ‘*’ это будут все роли, включая sign-verbatim; когда указаны конкретные имена ролей, должна быть включена роль default_directory_policy, чтобы разрешить использование стандартных каталогов acme в /pki/acme/directory и /pki/issuer/:issuer_id/acme/directory.
default_directory_policystring (default: sign-verbatim)нетполитика, которая будет использоваться для запросов ACME без ролевых квалификаций; по умолчанию выдача ACME будет неограниченной, эквивалентной конечной точке sign-verbatim; можно также указать роль для использования в качестве этой политики, как “role:<role_name>”, указанная роль должна быть разрешена в allowed_roles
dns_resolverstring (default: )нетDNS-резольвер, используемый для разрешения доменов на этом монтировании. По умолчанию используется системный резолвер по умолчанию. Должен иметь формат :, причем обе части должны быть обязательными.
eab_policystring (default: always-required)нетУкажите политику, которая будет использоваться для поведения привязки внешнего аккаунта: “не требуется”, “требуется для нового аккаунта” или “требуется всегда”.
enabledboolean (default: False)нетвключена ли поддержка ACME, по умолчанию false означает, что кластеры по умолчанию не будут получать поддержку ACME
max_ttlinteger (default: 7776000)нетМаксимальный срок действия сертификатов, выпущенных через ACME. Ограничивает срок действия любого сертификата, выпускаемого через ACME, на основе роли, точки монтирования или издателя, и по умолчанию равен 2160h (90 дней).

Ответы

200: OK

GET /{pki_mount_path}/config/auto-tidy

ID операции: pki-read-auto-tidy-configuration

Изменяет текущую конфигурацию для автоматического выполнения tidy.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
acme_account_safety_bufferintegerнетБуфер безопасности после создания, после которого аккаунты, у которых нет заказов, будут отозваны
enabledbooleanнетУказывает, включена ли автоматическая чистка
interval_durationintegerнетУказывает продолжительность между автоматической операцией чистки
issuer_safety_bufferintegerнетБуфер безопасности издателя
maintain_stored_certificate_countsbooleanнет
pause_durationstringнетВремя паузы между упорядочиванием сертификатов
publish_stored_certificate_count_metricsbooleanнет
revocation_queue_safety_bufferintegerнет
safety_bufferintegerнетДлительность временного буфера безопасности
tidy_acmebooleanнетОчистка неиспользуемых аккаунтов и заказов Acme
tidy_cert_storebooleanнетУказывает, следует ли организовать хранилище сертификатов
tidy_cross_cluster_revoked_certsbooleanнет
tidy_expired_issuersbooleanнетУказывает, были ли вычищены истекшие издатели
tidy_move_legacy_ca_bundlebooleanнет
tidy_revocation_queuebooleanнет
tidy_revoked_cert_issuer_associationsbooleanнетУказывает, следует ли связывать отозванные сертификаты с их соответствующими издателями
tidy_revoked_certsbooleanнетУказывает, следует ли удалять из хранилища все недействительные и истекшие сертификаты

POST /{pki_mount_path}/config/auto-tidy

ID операции: pki-configure-auto-tidy

Изменяет текущую конфигурацию для автоматического выполнения tidy.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
acme_account_safety_bufferinteger (default: 2592000)нетКоличество времени, которое должно пройти после создания, чтобы аккаунт, не имеющий заказов, был помечен как отозванный, а также количество времени после того, как он был помечен как отозванный или деактивированный.
enabledbooleanнетУстановите значение true, чтобы включить автоматическое наведение порядка.
interval_durationinteger (default: 43200)нетИнтервал, через который следует выполнять операцию автоочистки. Это время между вызовами автоочистки (после завершения одной до начала следующей). Запуск ручной уборки сбросит эту длительность.
issuer_safety_bufferinteger (default: 31536000)нетКоличество дополнительного времени, которое должно пройти после истечения срока действия эмитента, прежде чем он будет удален из внутреннего хранилища. По умолчанию 8760 часов (1 год).
maintain_stored_certificate_countsboolean (default: False)нетЗдесь настраивается, подсчитываются ли хранящиеся сертификаты при инициализации бэкенда, а также ведется ли текущий подсчет хранящихся сертификатов во время нормальной работы.
pause_durationstring (default: 0s)нетКоличество времени ожидания между сертификатами обработки. Это позволяет операторам изменять профиль выполнения tidy, чтобы он потреблял меньше ресурсов, замедляя время выполнения. Обратите внимание, что весь список сертификатов будет храниться в памяти в течение всей операции tidy, но ресурсы для чтения/обработки/обновления существующих записей будут распределены на больший промежуток времени. По умолчанию это ноль секунд.
publish_stored_certificate_count_metricsboolean (default: False)нетЭто настраивает, будет ли хранимый счетчик сертификатов публиковаться потребителю метрик. Это не влияет на то, поддерживается ли хранимый счетчик сертификатов, и если поддерживается, то он будет доступен на конечной точке tidy-status.
revocation_queue_safety_bufferinteger (default: 172800)нетКоличество времени, которое должно пройти с момента инициирования межкластерного запроса на отзыв до момента, когда он будет отправлен на удаление. Слишком низкое значение этого параметра может привести к удалению действительных запросов на отзыв до того, как кластер-владелец успеет их обработать, особенно если кластер находится в автономном режиме.
safety_bufferinteger (default: 259200)нетКоличество дополнительного времени, которое должно пройти после истечения срока действия сертификата, чтобы он был удален из внутреннего хранилища и/или списка отзыва. По умолчанию 72 часа.
tidy_acmeboolean (default: False)нетУстановите значение true, чтобы включить очистку счетов, заказов и авторизаций ACME. Заказы ACME убираются (удаляются) safety_buffer после истечения срока действия связанного с ними сертификата, или после истечения срока действия заказа и соответствующих авторизаций, если сертификат не был изготовлен. Авторизации удаляются вместе с соответствующим заказом. Когда возраст действующего аккаунта ACME составляет не менее acme_account_safety_buffer, и у него не остается связанных с ним заказов, аккаунт помечается как отозванный. После того как с даты отзыва или деактивации пройдет еще один буфер безопасности acme_account_safety_buffer, отозванный или деактивированный аккаунт ACME удаляется.
tidy_cert_storebooleanнетУстановите значение true, чтобы разрешить очистку хранилища сертификатов
tidy_cross_cluster_revoked_certsbooleanнетУстановите значение true, чтобы включить очистку межкластерного хранилища отозванных сертификатов. Запускается только на активном основном узле.
tidy_expired_issuersbooleanнетУстановите значение true для автоматического удаления истекших эмитентов из буфера issuer_safety_buffer. Никакие ключи не будут удалены в ходе этой операции.
tidy_move_legacy_ca_bundlebooleanнетУстановите значение true, чтобы переместить устаревший ca_bundle из /config/ca_bundle в /config/ca_bundle.bak. Это предотвращает переход на версии до Vault 1.11 (поскольку старые PKI-движки не знают о новой схеме хранения нескольких эмитентов), но улучшает производительность при монтировании PKI с печатью. Это произойдет только в том случае, если после первоначального переноса хранилища прошло не менее issuer_safety_buffer времени. Этот резерв сохраняется на случай возникновения проблем в будущих миграциях. При желании операторы могут удалить ее через sys/raw. Резервная копия будет удалена вызовом DELETE /root, но обратите внимание, что при этом удаляются ВСЕ эмитенты в пределах монтирования (и, следовательно, это нежелательно в большинстве сценариев работы).
tidy_revocation_listbooleanнетУтратил силу; синоним для ’tidy_revoked_certs
tidy_revocation_queueboolean (default: False)нетУстановите значение true, чтобы удалить устаревшие записи очереди отзыва, которые не были подтверждены ни одним активным кластером. Запускается только на активном основном узле
tidy_revoked_cert_issuer_associationsbooleanнетУстановите значение true для проверки ассоциаций эмитентов в записях отзыва. Это помогает повысить производительность создания CRL и ответов OCSP.
tidy_revoked_certsbooleanнетУстановите значение true, чтобы прекратить действие всех отозванных и просроченных сертификатов, удалив их как из CRL, так и из хранилища. CRL будет ротирован, если это приведет к удалению каких-либо значений.

Ответы

200: OK

ПараметрТипОбязательныйОписание
acme_account_safety_bufferintegerнетБуфер безопасности после создания, после которого аккаунты, у которых нет заказов, будут отозваны
enabledbooleanнетУказывает, включена ли автоматическая чистка
interval_durationintegerнетУказывает продолжительность между автоматической операцией чистки
issuer_safety_bufferintegerнетБуфер безопасности издателя
maintain_stored_certificate_countsbooleanнет
pause_durationstringнетВремя паузы между упорядочиванием сертификатов
publish_stored_certificate_count_metricsbooleanнет
revocation_queue_safety_bufferintegerнет
safety_bufferintegerнетДлительность временного буфера безопасности
tidy_acmebooleanнетОчистка неиспользуемых аккаунтов и заказов Acme
tidy_cert_storebooleanнетУказывает, следует ли организовать хранилище сертификатов
tidy_cross_cluster_revoked_certsbooleanнетОчистка кросс-кластерного хранилища отозванных сертификатов
tidy_expired_issuersbooleanнетУказывает, были ли вычищены истекшие издатели
tidy_move_legacy_ca_bundlebooleanнет
tidy_revocation_queuebooleanнет
tidy_revoked_cert_issuer_associationsbooleanнетУказывает, следует ли связывать отозванные сертификаты с их соответствующими издателями
tidy_revoked_certsbooleanнетУказывает, следует ли удалять из хранилища все недействительные и истекшие сертификаты

POST /{pki_mount_path}/config/ca

ID операции: pki-configure-ca

Установите сертификат CA и закрытый ключ, используемые для сгенерированных учетных данных.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
pem_bundlestringнетКонкатенированный незашифрованный секретный ключ и сертификат в формате PEM.

Ответы

200: OK

ПараметрТипОбязательныйОписание
existing_issuersarrayнетСуществующие издатели, указанные как часть импортируемого пакета этого запроса
existing_keysarrayнетСуществующие ключи, указанные как часть импортируемого пакета этого запроса
imported_issuersarrayнетСовсем новые издатели, импортированные в рамках этого запроса
imported_keysarrayнетСовсем новые ключи, импортированные в рамках этого запроса
mappingobjectнетОтображение issuer_id в key_id для всех издателей, включённых в этот запрос

GET /{pki_mount_path}/config/cluster

ID операции: pki-read-cluster-configuration

Настройте конфигурацию локального кластера, включая адрес этого PR-кластера.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
aia_pathstringнетНеобязательный URI точки распространения AIA этого монтирования; может ссылаться на внешний не Vault-ответчик. Предназначен для разрешения AIA URL и предоставления параметра шаблона {{cluster_aia_path}} и не будет использоваться для других целей. В отличие от пути выше, это может быть небезопасный транзитный механизм (например, HTTP без TLS). Например: http://cdn.example.com/pr1/pki
pathstringнетКанонический URI этого монтирования на внешнем адресе кластера репликации производительности. Он используется для разрешения URL-адресов AIA и предоставления параметра шаблона {{cluster_path}}, но в будущем может быть использован для других целей. Этот адрес должен указывать только на данную конкретную реплику PR и никогда не должен указывать на другой кластер PR. Он может указывать на любой узел в реплике PR, включая резервные узлы, и не всегда должен указывать на активный узел. Например: https://pr1.vault.example.com:8200/v1/pki

POST /{pki_mount_path}/config/cluster

ID операции: pki-configure-cluster

Настройте конфигурацию локального кластера, включая адрес этого PR-кластера.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
aia_pathstringнетНеобязательный URI точки распространения AIA этого монтирования; может ссылаться на внешний не Vault-ответчик. Предназначен для разрешения AIA URL и предоставления параметра шаблона {{cluster_aia_path}} и не будет использоваться для других целей. В отличие от пути выше, это может быть небезопасный транзитный механизм (например, HTTP без TLS). Например: http://cdn.example.com/pr1/pki
pathstringнетКанонический URI этого монтирования на внешнем адресе кластера репликации производительности. Он используется для разрешения URL-адресов AIA и предоставления параметра шаблона {{cluster_path}}, но в будущем может быть использован для других целей. Этот адрес должен указывать только на данную конкретную реплику PR и никогда не должен указывать на другой кластер PR. Он может указывать на любой узел в реплике PR, включая резервные узлы, и не всегда должен указывать на активный узел. Например: https://pr1.vault.example.com:8200/v1/pki

Ответы

200: OK

ПараметрТипОбязательныйОписание
aia_pathstringнетНеобязательный URI точки распространения AIA этого монтирования; может ссылаться на внешний не Vault-ответчик. Предназначен для разрешения AIA URL и предоставления параметра шаблона {{cluster_aia_path}} и не будет использоваться для других целей. В отличие от пути выше, это может быть небезопасный транзитный механизм (например, HTTP без TLS). Например: http://cdn.example.com/pr1/pki
pathstringнетКанонический URI этого монтирования на внешнем адресе кластера репликации производительности. Он используется для разрешения URL-адресов AIA и предоставления параметра шаблона {{cluster_path}}, но в будущем может быть использован для других целей. Этот адрес должен указывать только на данную конкретную реплику PR и никогда не должен указывать на другой кластер PR. Он может указывать на любой узел в реплике PR, включая резервные узлы, и не всегда должен указывать на активный узел. Например: https://pr1.vault.example.com:8200/v1/pki

GET /{pki_mount_path}/config/crl

ID операции: pki-read-crl-configuration

Настраивает срок истечения CRL.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
auto_rebuildbooleanнетЕсли установлено значение true, включается автоматическое восстановление CRL
auto_rebuild_grace_periodstringнетВремя до истечения срока действия CRL для его автоматического восстановления, если оно включено. Должно быть меньше, чем срок действия CRL. По умолчанию 12 часов.
cross_cluster_revocationbooleanнетВключать ли глобальную, кросс-кластерную очередь отзыва. Должно использоваться с auto_rebuild=true.
delta_rebuild_intervalstringнетВремя между дельта-перестройками CRL, если произошел новый отзыв. Должно быть меньше, чем срок действия CRL. По умолчанию 15 м.
disablebooleanнетЕсли установлено значение true, генерация CRL полностью отключается.
enable_deltabooleanнетВключать ли дельта CRL между перестройками авторитетных CRL
expirystringнетВремя, в течение которого сгенерированный CRL должен быть действителен; по умолчанию 72 часа
ocsp_disablebooleanнетЕсли установлено значение true, будут возвращаться неавторизованные ответы ocsp.
ocsp_expirystringнетВремя, в течение которого ответ OCSP будет действителен (контролирует поле NextUpdate); по умолчанию - 12 часов
unified_crlbooleanнетЕсли установлено значение true, включается глобальная репликация записей отзыва, а также включается унифицированная версия OCSP и CRL, если соответствующие функции включены. disable для CRL и ocsp_disable для OCSP.
unified_crl_on_existing_pathsbooleanнетЕсли установлено значение true, существующие пути CRL и OCSP будут возвращать унифицированный CRL вместо ответа, основанного на локальных данных кластера.

POST /{pki_mount_path}/config/crl

ID операции: pki-configure-crl

Настраивает срок истечения CRL.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
auto_rebuildbooleanнетЕсли установлено значение true, включается автоматическое восстановление CRL
auto_rebuild_grace_periodstring (default: 12h)нетВремя до истечения срока действия CRL для его автоматического восстановления, если оно включено. Должно быть меньше, чем срок действия CRL. По умолчанию 12 часов.
cross_cluster_revocationbooleanнетВключать ли глобальную, кросс-кластерную очередь отзыва. Должно использоваться с auto_rebuild=true.
delta_rebuild_intervalstring (default: 15m)нетВремя между дельта-перестройками CRL, если произошел новый отзыв. Должно быть меньше, чем срок действия CRL. По умолчанию 15 м.
disablebooleanнетЕсли установлено значение true, генерация CRL полностью отключается.
enable_deltabooleanнетВключать ли дельта CRL между перестройками авторитетных CRL
expirystring (default: 72h)нетВремя, в течение которого сгенерированный CRL должен быть действителен; по умолчанию 72 часа
ocsp_disablebooleanнетЕсли установлено значение true, будут возвращаться неавторизованные ответы ocsp.
ocsp_expirystring (default: 1h)нетВремя, в течение которого ответ OCSP будет действителен (контролирует поле NextUpdate); по умолчанию - 12 часов
unified_crlboolean (default: false)нетЕсли установлено значение true, включается глобальная репликация записей отзыва, а также включается унифицированная версия OCSP и CRL, если соответствующие функции включены. disable для CRL и ocsp_disable для OCSP.
unified_crl_on_existing_pathsboolean (default: false)нетЕсли установлено значение true, существующие пути CRL и OCSP будут возвращать унифицированный CRL вместо ответа, основанного на локальных данных кластера.

Ответы

200: OK

ПараметрТипОбязательныйОписание
auto_rebuildbooleanнетЕсли установлено значение true, включается автоматическое восстановление CRL
auto_rebuild_grace_periodstring (default: 12h)нетВремя до истечения срока действия CRL для его автоматического восстановления, если оно включено. Должно быть меньше, чем срок действия CRL. По умолчанию 12 часов.
cross_cluster_revocationbooleanнетВключать ли глобальную, кросс-кластерную очередь отзыва. Должно использоваться с auto_rebuild=true.
delta_rebuild_intervalstring (default: 15m)нетВремя между дельта-перестройками CRL, если произошел новый отзыв. Должно быть меньше, чем срок действия CRL. По умолчанию 15 м.
disablebooleanнетЕсли установлено значение true, генерация CRL полностью отключается.
enable_deltabooleanнетВключать ли дельта CRL между перестройками авторитетных CRL
expirystring (default: 72h)нетВремя, в течение которого сгенерированный CRL должен быть действителен; по умолчанию 72 часа
ocsp_disablebooleanнетЕсли установлено значение true, будут возвращаться неавторизованные ответы ocsp.
ocsp_expirystring (default: 1h)нетВремя, в течение которого ответ OCSP будет действителен (контролирует поле NextUpdate); по умолчанию - 12 часов
unified_crlbooleanнетЕсли установлено значение true, включается глобальная репликация записей отзыва, а также включается унифицированная версия OCSP и CRL, если соответствующие функции включены. disable для CRL и ocsp_disable для OCSP.
unified_crl_on_existing_pathsbooleanнетЕсли установлено значение true, существующие пути CRL и OCSP будут возвращать унифицированный CRL вместо ответа, основанного на локальных данных кластера.

GET /{pki_mount_path}/config/issuers

ID операции: pki-read-issuers-configuration

Считывание и установка сертификата эмитента по умолчанию для подписи.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
defaultstringнетСсылка (имя или идентификатор) на эмитента по умолчанию.
default_follows_latest_issuerbooleanнетДолжен ли эмитент по умолчанию автоматически следовать последнему сгенерированному или импортированному эмитенту. По умолчанию имеет значение false.

POST /{pki_mount_path}/config/issuers

ID операции: pki-configure-issuers

Считывание и установка сертификата эмитента по умолчанию для подписи.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
defaultstringнетСсылка (имя или идентификатор) на эмитента по умолчанию.
default_follows_latest_issuerboolean (default: False)нетДолжен ли эмитент по умолчанию автоматически следовать последнему сгенерированному или импортированному эмитенту. По умолчанию имеет значение false.

Ответы

200: OK

ПараметрТипОбязательныйОписание
defaultstringнетСсылка (имя или идентификатор) на эмитента по умолчанию.
default_follows_latest_issuerbooleanнетДолжен ли эмитент по умолчанию автоматически следовать последнему сгенерированному или импортированному эмитенту. По умолчанию имеет значение false.

GET /{pki_mount_path}/config/keys

ID операции: pki-read-keys-configuration

Считывание и установка ключа по умолчанию, используемого для подписи

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
defaultstringнетСсылка (имя или идентификатор) на эмитента по умолчанию.

POST /{pki_mount_path}/config/keys

ID операции: pki-configure-keys

Считывание и установка ключа по умолчанию, используемого для подписи

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
defaultstringнетСсылка (имя или идентификатор) на ключ по умолчанию.

Ответы

200: OK

ПараметрТипОбязательныйОписание
defaultstringнетСсылка (имя или идентификатор) на эмитента по умолчанию.

GET /{pki_mount_path}/config/urls

ID операции: pki-read-urls-configuration

Установите URL-адреса для выдачи CA, точек распространения CRL и серверов OCSP.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
crl_distribution_pointsarrayнетСписок URL-адресов, разделенных запятыми, который будет использоваться для атрибута точек распространения CRL. См. также RFC 5280 Раздел 4.2.1.13.
enable_templatingbooleanнетВключить ли шаблонирование вышеуказанных полей AIA. Когда включено шаблонирование, специальные значения ‘{{issuer_id}}’ и ‘{{cluster_path}}’ доступны, но адреса не проверяются на допустимость URI до момента выдачи. Это требует установки пути /config/cluster на всех вторичных кластерах PR.
issuing_certificatesarrayнетРазделенный запятыми список URL-адресов, которые будут использоваться для атрибута выдавшего сертификат. См. также RFC 5280 Раздел 4.2.2.1.
ocsp_serversarrayнетСписок URL-адресов, разделенных запятыми, который будет использоваться для атрибута OCSP-серверов. См. также RFC 5280 Раздел 4.2.2.1.

POST /{pki_mount_path}/config/urls

ID операции: pki-configure-urls

Установите URL-адреса для выдачи CA, точек распространения CRL и серверов OCSP.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
crl_distribution_pointsarrayнетСписок URL-адресов, разделенных запятыми, который будет использоваться для атрибута точек распространения CRL. См. также RFC 5280 Раздел 4.2.1.13.
enable_templatingboolean (default: False)нетВключать или не включать шаблонизацию вышеуказанных полей AIA. Когда шаблонизация включена, специальные значения ‘{{issuer_id}}, ‘{{cluster_path}}’ и ‘{{cluster_aia_path}}’ доступны, но адреса не проверяются на валидность URI до момента выдачи. Использование ‘{{cluster_path}}’ требует, чтобы член /config/cluster ‘path’ был установлен на всех кластерах PR Secondary, а использование ‘{{cluster_aia_path}}’ требует, чтобы член /config/cluster ‘aia_path’ был установлен на всех кластерах PR Secondary.
issuing_certificatesarrayнетРазделенный запятыми список URL-адресов, которые будут использоваться для атрибута выдавшего сертификат. См. также RFC 5280 Раздел 4.2.2.1.
ocsp_serversarrayнетСписок URL-адресов, разделенных запятыми, который будет использоваться для атрибута OCSP-серверов. См. также RFC 5280 Раздел 4.2.2.1.

Ответы

200: OK

ПараметрТипОбязательныйОписание
crl_distribution_pointsarrayнетСписок URL-адресов, разделенных запятыми, который будет использоваться для атрибута точек распространения CRL. См. также RFC 5280 Раздел 4.2.1.13.
enable_templatingboolean (default: False)нетВключить ли шаблонирование упомянутых выше полей AIA. Когда шаблонирование включено, доступны специальные значения ‘{{issuer_id}}’ и ‘{{cluster_path}}’, но адреса не проверяются на допустимость URI до момента выдачи. Для этого необходимо задать путь /config/cluster на всех вторичных кластерах PR.
issuing_certificatesarrayнетРазделенный запятыми список URL-адресов, которые будут использоваться для атрибута выдавшего сертификат. См. также RFC 5280 Раздел 4.2.2.1.
ocsp_serversarrayнетСписок URL-адресов, разделенных запятыми, который будет использоваться для атрибута OCSP-серверов. См. также RFC 5280 Раздел 4.2.2.1.

GET /{pki_mount_path}/crl

ID операции: pki-read-crl-der

Получите центр сертификации, CRL, цепочку центров сертификации или не отозванный сертификат.

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
ca_chainstringнетВыдающая Цепочка CA
certificatestringнетСертификат
issuer_idstringнетИдентификатор издателя
revocation_timeintegerнетВремя отзыва
revocation_time_rfc3339stringнетВремя отзыва в формате RFC 3339

GET /{pki_mount_path}/crl/delta

ID операции: pki-read-crl-delta

Получите центр сертификации, CRL, цепочку центров сертификации или не отозванный сертификат.

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
ca_chainstringнетВыдающая Цепочка CA
certificatestringнетСертификат
issuer_idstringнетИдентификатор издателя
revocation_timeintegerнетВремя отзыва
revocation_time_rfc3339stringнетВремя отзыва в формате RFC 3339

GET /{pki_mount_path}/crl/delta/pem

ID операции: pki-read-crl-delta-pem

Получите центр сертификации, CRL, цепочку центров сертификации или не отозванный сертификат.

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
ca_chainstringнетВыдающая Цепочка CA
certificatestringнетСертификат
issuer_idstringнетИдентификатор издателя
revocation_timeintegerнетВремя отзыва
revocation_time_rfc3339stringнетВремя отзыва в формате RFC 3339

GET /{pki_mount_path}/crl/pem

ID операции: pki-read-crl-pem

Получите центр сертификации, CRL, цепочку центров сертификации или не отозванный сертификат.

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
ca_chainstringнетВыдающая Цепочка CA
certificatestringнетСертификат
issuer_idstringнетИдентификатор издателя
revocation_timeintegerнетВремя отзыва
revocation_time_rfc3339stringнетВремя отзыва в формате RFC 3339

GET /{pki_mount_path}/crl/rotate

ID операции: pki-rotate-crl

Принудительное восстановление CRL.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
successbooleanнетБыла ли успешной ротация

GET /{pki_mount_path}/crl/rotate-delta

ID операции: pki-rotate-delta-crl

Принудительное восстановление дельта CRL.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
successbooleanнетБыла ли успешной ротация

GET /{pki_mount_path}/eab

ID операции: pki-list-eab-keys

список привязок внешних аккаунтов для использования в ACME

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд
liststring (true)queryдаДолжно быть установлено значение true.

Ответы

200: OK

ПараметрТипОбязательныйОписание
key_infoobjectнетПодробности EAB, обозначенные по идентификатору ключа eab
keysarrayнетСписок неиспользованных EAB ключей

DELETE /{pki_mount_path}/eab/{key_id}

ID операции: pki-delete-eab-key

Удаляет внешний идентификатор привязки учетной записи до его использования в учетной записи ACME

Параметры

ПараметрТипРасположениеОбязательныйОписание
key_idstringpathдаКлючевой идентификатор ВЦВ
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

204: пустое тело

POST /{pki_mount_path}/intermediate/cross-sign

ID операции: pki-cross-sign-intermediate

Создает новую CSR и закрытый ключ, используемые для подписи.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
add_basic_constraintsbooleanнетДобавлять ли расширение Basic Constraints с CA: true. Необходимо только в качестве обходного пути в некоторых сценариях совместимости со службами сертификации Active Directory.
alt_namesstringнетЗапрашиваемые альтернативные имена субъектов, если таковые имеются, в виде списка, разделенного запятыми. Может содержать как DNS-имена, так и адреса электронной почты.
common_namestringнетЗапрашиваемое общее имя; если вам нужно несколько, укажите альтернативные имена в карте alt_names. Если не указано при подписании, общее имя будет взято из CSR; другие имена все равно должны быть указаны в alt_names или ip_sans.
countryarrayнетЕсли установлено, то для параметра Страна будет задано это значение.
exclude_cn_from_sansboolean (default: False)нетЕсли установлено значение true, общее имя не будет включаться в альтернативные имена DNS или темы электронной почты. По умолчанию значение false (CN включается).
exportedstring (internal, exported, kms)нетДолжно быть “internal”, “exported” или “kms”. Если установлено значение “exported”, будет возвращен сгенерированный закрытый ключ. Это ваш *единственный* шанс получить закрытый ключ!
formatstring (pem, der, pem_bundle) (default: pem)нетФормат возвращаемых данных. Может быть “pem”, “der” или “pem_bundle”. Если “pem_bundle”, то закрытый ключ и сертификат-эмитент будут добавлены к сертификату pem. Если “der”, то значение будет закодировано в base64. По умолчанию используется значение “pem”.
ip_sansarrayнетЗапрашиваемые IP SAN, если таковые имеются, в виде списка, разделенного запятыми
key_bitsinteger (default: 0)нетКоличество используемых битов. Допустимые значения: 0 (универсальное значение по умолчанию); с rsa key_type: 2048 (по умолчанию), 3072 или 4096; с ec key_type: 224, 256 (по умолчанию), 384 или 521; игнорируется с ed25519.
key_namestringнетУкажите имя сгенерированного или существующего ключа; имя должно быть уникальным для всех ключей и не должно быть зарезервированным значением ‘default’.
key_refstring (default: default)нетСсылка на существующий ключ; либо “default” для настроенного ключа по умолчанию, либо идентификатор или имя, присвоенное ключу.
key_typestring (rsa, ec, ed25519, gost3410-256-paramset-a, gost3410-256-paramset-b, gost3410-256-paramset-c, gost3410-256-paramset-d, gost3410-512-paramset-a, gost3410-512-paramset-b, gost3410-512-paramset-c) (default: rsa)нетТип ключа для использования; по умолчанию RSA. “rsa” “ec”, “ed25519”, “gost3410-256-paramset-a”, “gost3410-256-paramset-b”, “gost3410-256-paramset-c”, “gost3410-256-paramset-d”, “gost3410-512-paramset-a”, “gost3410-512-paramset-b”, “gost3410-512-paramset-c” являются единственными допустимыми значениями.
localityarrayнетЕсли установлено, то значение Locality будет установлено на это значение.
managed_key_idstringнетИмя управляемого ключа, используемого, когда экспортируемый тип - kms. Если тип kms является типом ключа, это поле или managed_key_name является обязательным. Игнорируется для других типов.
managed_key_namestringнетИмя управляемого ключа, используемого, когда экспортируемый тип - kms. Если тип kms является типом ключа, требуется это поле или managed_key_id. Игнорируется для других типов.
not_afterstringнетУстанавливает в поле “Не после” сертификата указанное значение даты. Формат значения должен быть задан в формате UTC YYYY-MM-ddTHH:MM:SSZ
not_before_durationinteger (default: 30)нетСрок, на который необходимо продлить срок действия сертификата.
organizationarrayнетЕсли установлено, для O (Организация) будет использовано это значение.
other_sansarrayнетЗапрошенные другие SAN, в массиве с форматом ;UTF8: для каждой записи.
ouarrayнетЕсли установлено, для OU (OrganizationalUnit) будет использовано это значение.
postal_codearrayнетЕсли установлено, то для почтового индекса будет использовано это значение.
private_key_formatstring (, der, pem, pkcs8) (default: der)нетФормат возвращаемого закрытого ключа. Обычно по умолчанию параметр “format” определяет формат либо base64-кодированного DER, либо PEM-кодированного DER. Однако можно задать значение “pkcs8”, чтобы возвращаемый закрытый ключ содержал base64-кодировку pkcs8 или PEM-кодировку pkcs8. По умолчанию используется значение “der”.
provincearrayнетЕсли установлено, для Province будет использовано это значение.
serial_numberstringнетЗапрашиваемый серийный номер субъекта, если таковой имеется. Описание этого поля см. в RFC 4519 Раздел 2.31 ‘serialNumber’. Если вам нужно более одного, укажите альтернативные имена в карте alt_names, используя OID 2.5.4.5. Это не влияет на поле серийного номера финального сертификата.
signature_bitsinteger (default: 0)нетКоличество бит, используемых в алгоритме подписи; принимается 256 для SHA-2-256, 384 для SHA-2-384 и 512 для SHA-2-512. По умолчанию равно 0 для автоматического определения длины ключа (SHA-2-256 для ключей RSA и соответствие размеру кривой для P-кривых NIST).
street_addressarrayнетЕсли установлено, то для адреса улицы будет задано это значение.
ttlintegerнетЗапрашиваемое время жизни сертификата; устанавливает дату истечения срока действия. Если не указано, используется TTL по умолчанию роли, по умолчанию бэкенда или по умолчанию системы, в этом порядке. Не может быть больше, чем mount max TTL. Примечание: это имеет значение только при генерации сертификата ЦС или подписании сертификата ЦС, но не при генерации CSR для промежуточного ЦС.
uri_sansarrayнетЗапрашиваемые URI SAN, если таковые имеются, в виде списка, разделенного запятыми.

Ответы

200: OK

ПараметрТипОбязательныйОписание
csrstringнетЗапрос на подпись сертификата.
key_idstringнетИдентификатор ключа.
private_keystringнетСгенерированный закрытый ключ.
private_key_typestringнетУказывает формат, используемый для организации закрытого ключа.

POST /{pki_mount_path}/intermediate/generate/{exported}

ID операции: pki-generate-intermediate

Создает новую CSR и закрытый ключ, используемые для подписи.

Параметры

ПараметрТипРасположениеОбязательныйОписание
exportedstring (internal, exported, kms)pathдаДолжно быть “internal”, “exported” или “kms”. Если установлено значение “exported”, будет возвращен сгенерированный закрытый ключ. Это ваш единственный шанс получить закрытый ключ!
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
add_basic_constraintsbooleanнетДобавлять ли расширение Basic Constraints с CA: true. Необходимо только в качестве обходного пути в некоторых сценариях совместимости со службами сертификации Active Directory.
alt_namesstringнетЗапрашиваемые альтернативные имена субъектов, если таковые имеются, в виде списка, разделенного запятыми. Может содержать как DNS-имена, так и адреса электронной почты.
common_namestringнетЗапрашиваемое общее имя; если вам нужно несколько, укажите альтернативные имена в карте alt_names. Если не указано при подписании, общее имя будет взято из CSR; другие имена все равно должны быть указаны в alt_names или ip_sans.
countryarrayнетЕсли установлено, то для параметра Страна будет задано это значение.
exclude_cn_from_sansboolean (default: False)нетЕсли установлено значение true, общее имя не будет включаться в альтернативные имена DNS или темы электронной почты. По умолчанию значение false (CN включается).
formatstring (pem, der, pem_bundle) (default: pem)нетФормат возвращаемых данных. Может быть “pem”, “der” или “pem_bundle”. Если “pem_bundle”, то закрытый ключ и сертификат-эмитент будут добавлены к сертификату pem. Если “der”, то значение будет закодировано в base64. По умолчанию используется значение “pem”.
ip_sansarrayнетЗапрашиваемые IP SAN, если таковые имеются, в виде списка, разделенного запятыми
key_bitsinteger (default: 0)нетКоличество используемых битов. Допустимые значения: 0 (универсальное значение по умолчанию); с rsa key_type: 2048 (по умолчанию), 3072 или 4096; с ec key_type: 224, 256 (по умолчанию), 384 или 521; игнорируется с ed25519.
key_namestringнетУкажите имя сгенерированного или существующего ключа; имя должно быть уникальным для всех ключей и не должно быть зарезервированным значением ‘default’.
key_refstring (default: default)нетСсылка на существующий ключ; либо “default” для настроенного ключа по умолчанию, либо идентификатор или имя, присвоенное ключу.
key_typestring (rsa, ec, ed25519, gost3410-256-paramset-a, gost3410-256-paramset-b, gost3410-256-paramset-c, gost3410-256-paramset-d, gost3410-512-paramset-a, gost3410-512-paramset-b, gost3410-512-paramset-c) (default: rsa)нетТип ключа для использования; по умолчанию RSA. “rsa” “ec”, “ed25519”, “gost3410-256-paramset-a”, “gost3410-256-paramset-b”, “gost3410-256-paramset-c”, “gost3410-256-paramset-d”, “gost3410-512-paramset-a”, “gost3410-512-paramset-b”, “gost3410-512-paramset-c” являются единственными допустимыми значениями.
localityarrayнетЕсли установлено, то значение Locality будет установлено на это значение.
managed_key_idstringнетИмя управляемого ключа, используемого, когда экспортируемый тип - kms. Если тип kms является типом ключа, это поле или managed_key_name является обязательным. Игнорируется для других типов.
managed_key_namestringнетИмя управляемого ключа, используемого, когда экспортируемый тип - kms. Если тип kms является типом ключа, требуется это поле или managed_key_id. Игнорируется для других типов.
not_afterstringнетУстанавливает в поле “Не после” сертификата указанное значение даты. Формат значения должен быть задан в формате UTC YYYY-MM-ddTHH:MM:SSZ
not_before_durationinteger (default: 30)нетСрок, на который необходимо продлить срок действия сертификата.
organizationarrayнетЕсли установлено, для O (Организация) будет использовано это значение.
other_sansarrayнетЗапрошенные другие SAN, в массиве с форматом ;UTF8: для каждой записи.
ouarrayнетЕсли установлено, для OU (OrganizationalUnit) будет использовано это значение.
postal_codearrayнетЕсли установлено, то для почтового индекса будет использовано это значение.
private_key_formatstring (, der, pem, pkcs8) (default: der)нетФормат возвращаемого закрытого ключа. Обычно по умолчанию параметр “format” определяет формат либо base64-кодированного DER, либо PEM-кодированного DER. Однако можно задать значение “pkcs8”, чтобы возвращаемый закрытый ключ содержал base64-кодировку pkcs8 или PEM-кодировку pkcs8. По умолчанию используется значение “der”.
provincearrayнетЕсли установлено, для Province будет использовано это значение.
serial_numberstringнетЗапрашиваемый серийный номер субъекта, если таковой имеется. Описание этого поля см. в RFC 4519 Раздел 2.31 ‘serialNumber’. Если вам нужно более одного, укажите альтернативные имена в карте alt_names, используя OID 2.5.4.5. Это не влияет на поле серийного номера финального сертификата.
signature_bitsinteger (default: 0)нетКоличество бит, используемых в алгоритме подписи; принимается 256 для SHA-2-256, 384 для SHA-2-384 и 512 для SHA-2-512. По умолчанию равно 0 для автоматического определения длины ключа (SHA-2-256 для ключей RSA и соответствие размеру кривой для P-кривых NIST).
street_addressarrayнетЕсли установлено, то для адреса улицы будет задано это значение.
ttlintegerнетЗапрашиваемое время жизни сертификата; устанавливает дату истечения срока действия. Если не указано, используется TTL по умолчанию роли, по умолчанию бэкенда или по умолчанию системы, в этом порядке. Не может быть больше, чем mount max TTL. Примечание: это имеет значение только при генерации сертификата ЦС или подписании сертификата ЦС, но не при генерации CSR для промежуточного ЦС.
uri_sansarrayнетЗапрашиваемые URI SAN, если таковые имеются, в виде списка, разделенного запятыми.

Ответы

200: OK

ПараметрТипОбязательныйОписание
csrstringнетЗапрос на подпись сертификата.
key_idstringнетИдентификатор ключа.
private_keystringнетСгенерированный закрытый ключ.
private_key_typestringнетУказывает формат, используемый для организации закрытого ключа.

POST /{pki_mount_path}/intermediate/set-signed

ID операции: pki-set-signed-intermediate

Предоставляет подписанный промежуточный сертификат CA.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
certificatestringнетСертификат в формате PEM. Это должен быть сертификат ЦС с открытым ключом, совпадающим с ранее сгенерированным ключом с конечной точки генерации. Дополнительные родительские ЦС могут быть добавлены в пакет по желанию.

Ответы

200: OK

ПараметрТипОбязательныйОписание
existing_issuersarrayнетСуществующие издатели, указанные как часть импортируемого пакета этого запроса
existing_keysarrayнетСуществующие ключи, указанные как часть импортируемого пакета этого запроса
imported_issuersarrayнетСовсем новые издатели, импортированные в рамках этого запроса
imported_keysarrayнетСовсем новые ключи, импортированные в рамках этого запроса
mappingobjectнетОтображение issuer_id в key_id для всех издателей, включённых в этот запрос

POST /{pki_mount_path}/issue/{role}

ID операции: pki-issue-with-role

Запросите сертификат, используя определенную роль с указанными данными.

Параметры

ПараметрТипРасположениеОбязательныйОписание
rolestringpathдаЖелаемая роль с конфигурацией для этого запроса
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
alt_namesstringнетЗапрашиваемые альтернативные имена субъектов, если таковые имеются, в виде списка, разделенного запятыми. Если для роли включена защита электронной почты, в этом списке могут содержаться адреса электронной почты.
common_namestringнетЗапрашиваемое общее имя; если вам нужно несколько, укажите альтернативные имена в карте alt_names. Если в роли включена защита электронной почты, это может быть адрес электронной почты.
exclude_cn_from_sansboolean (default: False)нетЕсли установлено значение true, общее имя не будет включаться в альтернативные имена DNS или темы электронной почты. По умолчанию значение false (CN включается).
formatstring (pem, der, pem_bundle) (default: pem)нетФормат возвращаемых данных. Может быть “pem”, “der” или “pem_bundle”. Если “pem_bundle”, то закрытый ключ и сертификат-эмитент будут добавлены к сертификату pem. Если “der”, то значение будет закодировано в base64. По умолчанию используется значение “pem”.
ip_sansarrayнетЗапрашиваемые IP SAN, если таковые имеются, в виде списка, разделенного запятыми
issuer_refstring (default: default)нетСсылка на существующего эмитента; либо “default” для настроенного эмитента по умолчанию, либо идентификатор или имя, присвоенное эмитенту.
not_afterstringнетУстанавливает в поле “Не после” сертификата указанное значение даты. Формат значения должен быть задан в формате UTC YYYY-MM-ddTHH:MM:SSZ
other_sansarrayнетЗапрошенные другие SAN, в массиве с форматом ;UTF8: для каждой записи.
private_key_formatstring (, der, pem, pkcs8) (default: der)нетФормат возвращаемого закрытого ключа. Обычно по умолчанию параметр “format” определяет формат либо base64-кодированного DER, либо PEM-кодированного DER. Однако можно задать значение “pkcs8”, чтобы возвращаемый закрытый ключ содержал base64-кодировку pkcs8 или PEM-кодировку pkcs8. По умолчанию используется значение “der”.
remove_roots_from_chainboolean (default: False)нетУдалять или нет самоподписанные сертификаты ЦС в выводе поля ca_chain.
serial_numberstringнетЗапрашиваемый серийный номер субъекта, если таковой имеется. Описание этого поля см. в RFC 4519 Раздел 2.31 ‘serialNumber’. Если вам нужно более одного, укажите альтернативные имена в карте alt_names, используя OID 2.5.4.5. Это не влияет на поле серийного номера финального сертификата.
ttlintegerнетЗапрашиваемое время жизни сертификата; устанавливает дату истечения срока действия. Если не указано, используется TTL по умолчанию роли, по умолчанию бэкенда или по умолчанию системы, в этом порядке. Не может быть больше, чем максимальный TTL роли.
uri_sansarrayнетЗапрашиваемые URI SAN, если таковые имеются, в виде списка, разделенного запятыми.
user_idsarrayнетЗапрашиваемое значение user_ids для размещения в теме, если таковое имеется, в виде списка, разделенного запятыми. Ограничивается значением allowed_user_ids. Любые значения добавляются с OID 0.9.2342.19200300.100.1.1.

Ответы

200: OK

ПараметрТипОбязательныйОписание
ca_chainarrayнетЦепочка Сертификатов
certificatestringнетСертификат
expirationintegerнетВремя истечения
issuing_castringнетВыдающий Центр Сертификации
private_keystringнетЗакрытый ключ
private_key_typestringнетТип закрытого ключа
serial_numberstringнетСерийный номер

GET /{pki_mount_path}/issuer/{issuer_ref}

ID операции: pki-read-issuer

Получает сертификат одного эмитента.

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующего эмитента; либо “default” для настроенного эмитента по умолчанию, либо идентификатор или имя, присвоенное эмитенту.
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
ca_chainarrayнетЦепочка CA
certificatestringнетСертификат
crl_distribution_pointsarrayнетТочки распространения CRL
enable_aia_url_templatingbooleanнетВключено ли шаблонирование для полей AIA
issuer_idstringнетИдентификатор Издателя
issuer_namestringнетИмя Издателя
issuing_certificatesarrayнетВыдача Сертификатов
key_idstringнетИдентификатор Ключа
leaf_not_after_behaviorstringнетПоведение Leaf Not After
manual_chainarrayнетРучная цепочка
ocsp_serversarrayнетOCSP-серверы
revocation_signature_algorithmstringнетАлгоритм подписи отзыва
revocation_timeintegerнет
revocation_time_rfc3339stringнет
revokedbooleanнетОтменен
usagestringнетИспользование

POST /{pki_mount_path}/issuer/{issuer_ref}

ID операции: pki-write-issuer

Получает сертификат одного эмитента.

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующего эмитента; либо “default” для настроенного эмитента по умолчанию, либо идентификатор или имя, присвоенное эмитенту.
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
crl_distribution_pointsarrayнетСписок URL-адресов, разделенных запятыми, который будет использоваться для атрибута точек распространения CRL. См. также RFC 5280 Раздел 4.2.1.13.
enable_aia_url_templatingboolean (default: False)нетВключать или не включать шаблонизацию вышеуказанных полей AIA. Когда шаблонизация включена, специальные значения ‘{{issuer_id}}, ‘{{cluster_path}}’, ‘{{cluster_aia_path}}’ доступны, но адреса не проверяются на валидность URL до момента выдачи. Использование ‘{{cluster_path}}’ требует, чтобы член /config/cluster ‘path’ был установлен на всех кластерах PR Secondary, а использование ‘{{cluster_aia_path}}’ требует, чтобы член /config/cluster ‘aia_path’ был установлен на всех кластерах PR Secondary.
issuer_namestringнетУкажите имя создаваемого или существующего эмитента; имя должно быть уникальным для всех эмитентов и не должно быть зарезервированным значением ‘default’.
issuing_certificatesarrayнетРазделенный запятыми список URL-адресов, которые будут использоваться для атрибута выдавшего сертификат. См. также RFC 5280 Раздел 4.2.2.1.
leaf_not_after_behaviorstring (default: err)нетПоведение полей NotAfter листа: “err” - ошибка, если вычисленная дата NotAfter превышает дату данного эмитента; “truncate” - молчаливое усечение до даты данного эмитента; или “permit” - разрешение на успешную выдачу (с NotAfter, превышающей дату данного эмитента). Обратите внимание, что не все значения приводят к сертификатам, которые могут быть проверены в течение всего срока действия. Рекомендуется использовать “truncate” для промежуточных ЦС и “permit” только для корневых ЦС.
manual_chainarrayнетЦепочка ссылок на эмитента, используемая для построения вычисляемого поля CAChain этого эмитента, если она не пуста.
ocsp_serversarrayнетСписок URL-адресов, разделенных запятыми, который будет использоваться для атрибута OCSP-серверов. См. также RFC 5280 Раздел 4.2.2.1.
revocation_signature_algorithmstring (default: )нетИмя x509.SignatureAlgorithm, которое будет использоваться для подписания CRL. Этот параметр позволяет различать ключи PKCS#1v1.5 и PSS и выбирать хэш-алгоритм подписи. По умолчанию (пустая строка) Go должен сам выбрать алгоритм подписи. Это может привести к ошибке, если базовый ключ не поддерживает запрашиваемый алгоритм подписи, который может быть неизвестен на момент модификации (например, в случае ключей RSA с управлением PKCS#11).
usagearray (default: [‘read-only’, ‘issuing-certificates’, ‘crl-signing’, ‘ocsp-signing’])нетРазделенный запятыми список (или фрагмент строки) применений для данного эмитента; допустимые значения: “только для чтения”, “выдача сертификатов”, “crl-подписание” и “ocsp-подписание”. Можно указать несколько значений. Значение “только для чтения” является неявным и всегда устанавливается.

Ответы

200: OK

ПараметрТипОбязательныйОписание
ca_chainarrayнетЦепочка CA
certificatestringнетСертификат
crl_distribution_pointsarrayнетТочки распространения CRL
enable_aia_url_templatingbooleanнетВключено ли шаблонирование для полей AIA
issuer_idstringнетИдентификатор Издателя
issuer_namestringнетИмя Издателя
issuing_certificatesarrayнетВыдача Сертификатов
key_idstringнетИдентификатор Ключа
leaf_not_after_behaviorstringнетПоведение Leaf Not After
manual_chainarrayнетРучная цепочка
ocsp_serversarrayнетOCSP-серверы
revocation_signature_algorithmstringнетАлгоритм подписи отзыва
revocation_timeintegerнет
revocation_time_rfc3339stringнет
revokedbooleanнетОтменен
usagestringнетИспользование

DELETE /{pki_mount_path}/issuer/{issuer_ref}

ID операции: pki-delete-issuer

Получает сертификат одного эмитента.

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующего эмитента; либо “default” для настроенного эмитента по умолчанию, либо идентификатор или имя, присвоенное эмитенту.
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

204: No Content

POST /{pki_mount_path}/issuer/{issuer_ref}/acme/account/{kid}

ID операции: pki-write-issuer-issuer_ref-acme-account-kid

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующее имя или идентификатор эмитента
kidstringpathдаИдентификатор ключа, предоставленный центром сертификации
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

POST /{pki_mount_path}/issuer/{issuer_ref}/acme/authorization/{auth_id}

ID операции: pki-write-issuer-issuer_ref-acme-authorization-auth_id

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
auth_idstringpathдаЗначение идентификатора авторизации ACME
issuer_refstringpathдаСсылка на существующее имя или идентификатор эмитента
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

POST /{pki_mount_path}/issuer/{issuer_ref}/acme/challenge/{auth_id}/{challenge_type}

ID операции: pki-write-issuer-issuer_ref-acme-challenge-auth_id-challenge_type

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
auth_idstringpathдаЗначение идентификатора авторизации ACME
challenge_typestringpathдаТип вызова ACME
issuer_refstringpathдаСсылка на существующее имя или идентификатор эмитента
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

GET /{pki_mount_path}/issuer/{issuer_ref}/acme/directory

ID операции: pki-read-issuer-issuer_ref-acme-directory

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующее имя или идентификатор эмитента
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

POST /{pki_mount_path}/issuer/{issuer_ref}/acme/new-account

ID операции: pki-write-issuer-issuer_ref-acme-new-account

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующее имя или идентификатор эмитента
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

POST /{pki_mount_path}/issuer/{issuer_ref}/acme/new-eab

ID операции: pki-generate-eab-key-for-issuer

Создает привязки внешней учетной записи для использования в ACME

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующее имя или идентификатор эмитента
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
acme_directorystringнетКаталог ACME, которому принадлежит ключ
created_onstringнетДата и время в формате RFC3339, когда был создан EAB токен
idstringнетИдентификатор ключа EAB
keystringнетКлюч EAB hmac
key_typestringнетТип ключа EAB

GET /{pki_mount_path}/issuer/{issuer_ref}/acme/new-nonce

ID операции: pki-read-issuer-issuer_ref-acme-new-nonce

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующее имя или идентификатор эмитента
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

POST /{pki_mount_path}/issuer/{issuer_ref}/acme/new-order

ID операции: pki-write-issuer-issuer_ref-acme-new-order

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующее имя или идентификатор эмитента
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

POST /{pki_mount_path}/issuer/{issuer_ref}/acme/order/{order_id}

ID операции: pki-write-issuer-issuer_ref-acme-order-order_id

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующее имя или идентификатор эмитента
order_idstringpathдаИдентификатор заказа ACME для получения
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

POST /{pki_mount_path}/issuer/{issuer_ref}/acme/order/{order_id}/cert

ID операции: pki-write-issuer-issuer_ref-acme-order-order_id-cert

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующее имя или идентификатор эмитента
order_idstringpathдаИдентификатор заказа ACME для получения
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

POST /{pki_mount_path}/issuer/{issuer_ref}/acme/order/{order_id}/finalize

ID операции: pki-write-issuer-issuer_ref-acme-order-order_id-finalize

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующее имя или идентификатор эмитента
order_idstringpathдаИдентификатор заказа ACME для получения
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

POST /{pki_mount_path}/issuer/{issuer_ref}/acme/orders

ID операции: pki-write-issuer-issuer_ref-acme-orders

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующее имя или идентификатор эмитента
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

POST /{pki_mount_path}/issuer/{issuer_ref}/acme/revoke-cert

ID операции: pki-write-issuer-issuer_ref-acme-revoke-cert

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующее имя или идентификатор эмитента
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

GET /{pki_mount_path}/issuer/{issuer_ref}/crl

ID операции: pki-issuer-read-crl

Получите журнал отзыва сертификатов издателя (CRL).

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующего эмитента; либо “default” для настроенного эмитента по умолчанию, либо идентификатор или имя, присвоенное эмитенту.
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
crlstringнет

GET /{pki_mount_path}/issuer/{issuer_ref}/crl/delta

ID операции: pki-issuer-read-crl-delta

Получите журнал отзыва сертификатов издателя (CRL).

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующего эмитента; либо “default” для настроенного эмитента по умолчанию, либо идентификатор или имя, присвоенное эмитенту.
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
crlstringнет

GET /{pki_mount_path}/issuer/{issuer_ref}/crl/delta/der

ID операции: pki-issuer-read-crl-delta-der

Получите журнал отзыва сертификатов издателя (CRL).

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующего эмитента; либо “default” для настроенного эмитента по умолчанию, либо идентификатор или имя, присвоенное эмитенту.
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
crlstringнет

GET /{pki_mount_path}/issuer/{issuer_ref}/crl/delta/pem

ID операции: pki-issuer-read-crl-delta-pem

Получите журнал отзыва сертификатов издателя (CRL).

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующего эмитента; либо “default” для настроенного эмитента по умолчанию, либо идентификатор или имя, присвоенное эмитенту.
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
crlstringнет

GET /{pki_mount_path}/issuer/{issuer_ref}/crl/der

ID операции: pki-issuer-read-crl-der

Получите журнал отзыва сертификатов издателя (CRL).

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующего эмитента; либо “default” для настроенного эмитента по умолчанию, либо идентификатор или имя, присвоенное эмитенту.
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
crlstringнет

GET /{pki_mount_path}/issuer/{issuer_ref}/crl/pem

ID операции: pki-issuer-read-crl-pem

Получите журнал отзыва сертификатов издателя (CRL).

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующего эмитента; либо “default” для настроенного эмитента по умолчанию, либо идентификатор или имя, присвоенное эмитенту.
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
crlstringнет

GET /{pki_mount_path}/issuer/{issuer_ref}/der

ID операции: pki-read-issuer-der

Получает сертификат одного эмитента.

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующего эмитента; либо “default” для настроенного эмитента по умолчанию, либо идентификатор или имя, присвоенное эмитенту.
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
ca_chainarrayнетЦепочка CA
certificatestringнетСертификат
issuer_idstringнетИдентификатор Издателя
issuer_namestringнетИмя Издателя

304: Не изменено

POST /{pki_mount_path}/issuer/{issuer_ref}/issue/{role}

ID операции: pki-issuer-issue-with-role

Запросите сертификат, используя определенную роль с указанными данными.

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующего эмитента; либо “default” для настроенного эмитента по умолчанию, либо идентификатор или имя, присвоенное эмитенту.
rolestringpathдаЖелаемая роль с конфигурацией для этого запроса
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
alt_namesstringнетЗапрашиваемые альтернативные имена субъектов, если таковые имеются, в виде списка, разделенного запятыми. Если для роли включена защита электронной почты, в этом списке могут содержаться адреса электронной почты.
common_namestringнетЗапрашиваемое общее имя; если вам нужно несколько, укажите альтернативные имена в карте alt_names. Если в роли включена защита электронной почты, это может быть адрес электронной почты.
exclude_cn_from_sansboolean (default: False)нетЕсли установлено значение true, общее имя не будет включаться в альтернативные имена DNS или темы электронной почты. По умолчанию значение false (CN включается).
formatstring (pem, der, pem_bundle) (default: pem)нетФормат возвращаемых данных. Может быть “pem”, “der” или “pem_bundle”. Если “pem_bundle”, то закрытый ключ и сертификат-эмитент будут добавлены к сертификату pem. Если “der”, то значение будет закодировано в base64. По умолчанию используется значение “pem”.
ip_sansarrayнетЗапрашиваемые IP SAN, если таковые имеются, в виде списка, разделенного запятыми
not_afterstringнетУстанавливает в поле “Не после” сертификата указанное значение даты. Формат значения должен быть задан в формате UTC YYYY-MM-ddTHH:MM:SSZ
other_sansarrayнетЗапрошенные другие SAN, в массиве с форматом ;UTF8: для каждой записи.
private_key_formatstring (, der, pem, pkcs8) (default: der)нетФормат возвращаемого закрытого ключа. Обычно по умолчанию параметр “format” определяет формат либо base64-кодированного DER, либо PEM-кодированного DER. Однако можно задать значение “pkcs8”, чтобы возвращаемый закрытый ключ содержал base64-кодировку pkcs8 или PEM-кодировку pkcs8. По умолчанию используется значение “der”.
remove_roots_from_chainboolean (default: False)нетУдалять или нет самоподписанные сертификаты ЦС в выводе поля ca_chain.
serial_numberstringнетЗапрашиваемый серийный номер субъекта, если таковой имеется. Описание этого поля см. в RFC 4519 Раздел 2.31 ‘serialNumber’. Если вам нужно более одного, укажите альтернативные имена в карте alt_names, используя OID 2.5.4.5. Это не влияет на поле серийного номера финального сертификата.
ttlintegerнетЗапрашиваемое время жизни сертификата; устанавливает дату истечения срока действия. Если не указано, используется TTL по умолчанию роли, по умолчанию бэкенда или по умолчанию системы, в этом порядке. Не может быть больше, чем максимальный TTL роли.
uri_sansarrayнетЗапрашиваемые URI SAN, если таковые имеются, в виде списка, разделенного запятыми.
user_idsarrayнетЗапрашиваемое значение user_ids для размещения в теме, если таковое имеется, в виде списка, разделенного запятыми. Ограничивается значением allowed_user_ids. Любые значения добавляются с OID 0.9.2342.19200300.100.1.1.

Ответы

200: OK

ПараметрТипОбязательныйОписание
ca_chainarrayнетЦепочка Сертификатов
certificatestringнетСертификат
expirationintegerнетВремя истечения
issuing_castringнетВыдающий Центр Сертификации
private_keystringнетЗакрытый ключ
private_key_typestringнетТип закрытого ключа
serial_numberstringнетСерийный номер

GET /{pki_mount_path}/issuer/{issuer_ref}/json

ID операции: pki-read-issuer-json

Получает сертификат одного эмитента.

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующего эмитента; либо “default” для настроенного эмитента по умолчанию, либо идентификатор или имя, присвоенное эмитенту.
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
ca_chainarrayнетЦепочка CA
certificatestringнетСертификат
issuer_idstringнетИдентификатор Издателя
issuer_namestringнетИмя Издателя

304: Не изменено

GET /{pki_mount_path}/issuer/{issuer_ref}/pem

ID операции: pki-read-issuer-pem

Получает сертификат одного эмитента.

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующего эмитента; либо “default” для настроенного эмитента по умолчанию, либо идентификатор или имя, присвоенное эмитенту.
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
ca_chainarrayнетЦепочка CA
certificatestringнетСертификат
issuer_idstringнетИдентификатор Издателя
issuer_namestringнетИмя Издателя

304: Не изменено

POST /{pki_mount_path}/issuer/{issuer_ref}/resign-crls

ID операции: pki-issuer-resign-crls

Объедините и подпишите с предоставленным издателем разные CRL

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующего эмитента; либо “default” для настроенного эмитента по умолчанию, либо идентификатор или имя, присвоенное эмитенту.
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
crl_numberintegerнетПорядковый номер, который будет записан в расширении CRL Number.
crlsarrayнетСписок СОС в кодировке PEM для объединения, первоначально подписанных запрашиваемым эмитентом.
delta_crl_base_numberinteger (default: -1)нетИспользование нуля или большего значения определяет базовый номер ревизии CRL для кодирования в расширении индикатора Delta CRL, иначе расширение не будет добавлено.
formatstring (default: pem)нетФормат комбинированного CRL, может быть “pem” или “der”. Если “der”, значение будет закодировано в base64. По умолчанию - “pem”.
next_updatestring (default: 72h)нетВремя, в течение которого сгенерированный CRL должен быть действителен; по умолчанию 72 часа.

Ответы

200: OK

ПараметрТипОбязательныйОписание
crlstringнетСписок отзыва

POST /{pki_mount_path}/issuer/{issuer_ref}/revoke

ID операции: pki-revoke-issuer

Отзывает указанный сертификат эмитента.

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующего эмитента; либо “default” для настроенного эмитента по умолчанию, либо идентификатор или имя, присвоенное эмитенту.
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
ca_chainarrayнетЦепочка Центра Сертификации
certificatestringнетСертификат
crl_distribution_pointsarrayнетУказывает значения URL для поля Точки распространения CRL
issuer_idstringнетИдентификатор издателя
issuer_namestringнетИмя издателя
issuing_certificatesarrayнетУказывает значения URL для поля Выдающий сертификат
key_idstringнетИдентификатор ключа
leaf_not_after_behaviorstringнет
manual_chainarrayнетРучная цепочка
ocsp_serversarrayнетУказывает значения URL для поля Серверы OCSP
revocation_signature_algorithmstringнетКакой алгоритм подписи использовать при создании CRL
revocation_timeintegerнетВремя отзыва
revocation_time_rfc3339stringнетВремя отзыва в формате RFC
revokedbooleanнетБыл ли издатель отозван
usagestringнетДопустимое использование

POST /{pki_mount_path}/issuer/{issuer_ref}/roles/{role}/acme/account/{kid}

ID операции: pki-write-issuer-issuer_ref-roles-role-acme-account-kid

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующее имя или идентификатор эмитента
kidstringpathдаИдентификатор ключа, предоставленный центром сертификации
rolestringpathдаЖелаемая роль для запроса acme
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

POST /{pki_mount_path}/issuer/{issuer_ref}/roles/{role}/acme/authorization/{auth_id}

ID операции: pki-write-issuer-issuer_ref-roles-role-acme-authorization-auth_id

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
auth_idstringpathдаЗначение идентификатора авторизации ACME
issuer_refstringpathдаСсылка на существующее имя или идентификатор эмитента
rolestringpathдаЖелаемая роль для запроса acme
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

POST /{pki_mount_path}/issuer/{issuer_ref}/roles/{role}/acme/challenge/{auth_id}/{challenge_type}

ID операции: pki-write-issuer-issuer_ref-roles-role-acme-challenge-auth_id-challenge_type

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
auth_idstringpathдаЗначение идентификатора авторизации ACME
challenge_typestringpathдаТип вызова ACME
issuer_refstringpathдаСсылка на существующее имя или идентификатор эмитента
rolestringpathдаЖелаемая роль для запроса acme
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

GET /{pki_mount_path}/issuer/{issuer_ref}/roles/{role}/acme/directory

ID операции: pki-read-issuer-issuer_ref-roles-role-acme-directory

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующее имя или идентификатор эмитента
rolestringpathдаЖелаемая роль для запроса acme
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

POST /{pki_mount_path}/issuer/{issuer_ref}/roles/{role}/acme/new-account

ID операции: pki-write-issuer-issuer_ref-roles-role-acme-new-account

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующее имя или идентификатор эмитента
rolestringpathдаЖелаемая роль для запроса acme
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

POST /{pki_mount_path}/issuer/{issuer_ref}/roles/{role}/acme/new-eab

ID операции: pki-generate-eab-key-for-issuer-and-role

Создает привязки внешней учетной записи для использования в ACME

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующее имя или идентификатор эмитента
rolestringpathдаЖелаемая роль для запроса acme
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
acme_directorystringнетКаталог ACME, которому принадлежит ключ
created_onstringнетДата и время в формате RFC3339, когда был создан EAB токен
idstringнетИдентификатор ключа EAB
keystringнетКлюч EAB hmac
key_typestringнетТип ключа EAB

GET /{pki_mount_path}/issuer/{issuer_ref}/roles/{role}/acme/new-nonce

ID операции: pki-read-issuer-issuer_ref-roles-role-acme-new-nonce

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующее имя или идентификатор эмитента
rolestringpathдаЖелаемая роль для запроса acme
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

POST /{pki_mount_path}/issuer/{issuer_ref}/roles/{role}/acme/new-order

ID операции: pki-write-issuer-issuer_ref-roles-role-acme-new-order

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующее имя или идентификатор эмитента
rolestringpathдаЖелаемая роль для запроса acme
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

POST /{pki_mount_path}/issuer/{issuer_ref}/roles/{role}/acme/order/{order_id}

ID операции: pki-write-issuer-issuer_ref-roles-role-acme-order-order_id

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующее имя или идентификатор эмитента
order_idstringpathдаИдентификатор заказа ACME для получения
rolestringpathдаЖелаемая роль для запроса acme
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

POST /{pki_mount_path}/issuer/{issuer_ref}/roles/{role}/acme/order/{order_id}/cert

ID операции: pki-write-issuer-issuer_ref-roles-role-acme-order-order_id-cert

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующее имя или идентификатор эмитента
order_idstringpathдаИдентификатор заказа ACME для получения
rolestringpathдаЖелаемая роль для запроса acme
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

POST /{pki_mount_path}/issuer/{issuer_ref}/roles/{role}/acme/order/{order_id}/finalize

ID операции: pki-write-issuer-issuer_ref-roles-role-acme-order-order_id-finalize

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующее имя или идентификатор эмитента
order_idstringpathдаИдентификатор заказа ACME для получения
rolestringpathдаЖелаемая роль для запроса acme
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

POST /{pki_mount_path}/issuer/{issuer_ref}/roles/{role}/acme/orders

ID операции: pki-write-issuer-issuer_ref-roles-role-acme-orders

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующее имя или идентификатор эмитента
rolestringpathдаЖелаемая роль для запроса acme
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

POST /{pki_mount_path}/issuer/{issuer_ref}/roles/{role}/acme/revoke-cert

ID операции: pki-write-issuer-issuer_ref-roles-role-acme-revoke-cert

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующее имя или идентификатор эмитента
rolestringpathдаЖелаемая роль для запроса acme
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

POST /{pki_mount_path}/issuer/{issuer_ref}/sign-intermediate

ID операции: pki-issuer-sign-intermediate

Выпустить промежуточный сертификат CA на основе предоставленного CSR.

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующего эмитента; либо “default” для настроенного эмитента по умолчанию, либо идентификатор или имя, присвоенное эмитенту.
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
alt_namesstringнетЗапрашиваемые альтернативные имена субъектов, если таковые имеются, в виде списка, разделенного запятыми. Может содержать как DNS-имена, так и адреса электронной почты.
common_namestringнетЗапрашиваемое общее имя; если вам нужно несколько, укажите альтернативные имена в карте alt_names. Если не указано при подписании, общее имя будет взято из CSR; другие имена все равно должны быть указаны в alt_names или ip_sans.
countryarrayнетЕсли установлено, то для параметра Страна будет задано это значение.
csrstring (default: )нетПодписываемый CSR в формате PEM.
exclude_cn_from_sansboolean (default: False)нетЕсли установлено значение true, общее имя не будет включаться в альтернативные имена DNS или темы электронной почты. По умолчанию значение false (CN включается).
formatstring (pem, der, pem_bundle) (default: pem)нетФормат возвращаемых данных. Может быть “pem”, “der” или “pem_bundle”. Если “pem_bundle”, то закрытый ключ и сертификат-эмитент будут добавлены к сертификату pem. Если “der”, то значение будет закодировано в base64. По умолчанию используется значение “pem”.
ip_sansarrayнетЗапрашиваемые IP SAN, если таковые имеются, в виде списка, разделенного запятыми
issuer_namestringнетУкажите имя создаваемого или существующего эмитента; имя должно быть уникальным для всех эмитентов и не должно быть зарезервированным значением ‘default’.
localityarrayнетЕсли установлено, то значение Locality будет установлено на это значение.
max_path_lengthinteger (default: -1)нетМаксимально допустимая длина пути
not_afterstringнетУстанавливает в поле “Не после” сертификата указанное значение даты. Формат значения должен быть задан в формате UTC YYYY-MM-ddTHH:MM:SSZ
not_before_durationinteger (default: 30)нетСрок, на который необходимо продлить срок действия сертификата.
organizationarrayнетЕсли установлено, для O (Организация) будет использовано это значение.
other_sansarrayнетЗапрошенные другие SAN, в массиве с форматом ;UTF8: для каждой записи.
ouarrayнетЕсли установлено, для OU (OrganizationalUnit) будет использовано это значение.
permitted_dns_domainsarrayнетДомены, для которых данному сертификату разрешено подписывать или выпускать дочерние сертификаты. Если установлено, все DNS-имена (subject и alt) в дочерних сертификатах должны быть точными совпадениями или подмножествами указанных доменов (см. https://tools.ietf.org/html/rfc5280#section-4.2.1.10).
postal_codearrayнетЕсли установлено, то для почтового индекса будет использовано это значение.
private_key_formatstring (, der, pem, pkcs8) (default: der)нетФормат возвращаемого закрытого ключа. Обычно по умолчанию параметр “format” определяет формат либо base64-кодированного DER, либо PEM-кодированного DER. Однако можно задать значение “pkcs8”, чтобы возвращаемый закрытый ключ содержал base64-кодировку pkcs8 или PEM-кодировку pkcs8. По умолчанию используется значение “der”.
provincearrayнетЕсли установлено, для Province будет использовано это значение.
serial_numberstringнетЗапрашиваемый серийный номер субъекта, если таковой имеется. Описание этого поля см. в RFC 4519 Раздел 2.31 ‘serialNumber’. Если вам нужно более одного, укажите альтернативные имена в карте alt_names, используя OID 2.5.4.5. Это не влияет на поле серийного номера финального сертификата.
signature_bitsinteger (default: 0)нетКоличество бит, используемых в алгоритме подписи; принимается 256 для SHA-2-256, 384 для SHA-2-384 и 512 для SHA-2-512. По умолчанию равно 0 для автоматического определения длины ключа (SHA-2-256 для ключей RSA и соответствие размеру кривой для P-кривых NIST).
skidstring (default: )нетЗначение для поля Subject Key Identifier (RFC 5280 Раздел 4.2.1.2). Это значение должно использоваться ТОЛЬКО при перекрестной подписи для имитации значения SKID существующего сертификата; это необходимо для того, чтобы некоторые реализации TLS (например, OpenSSL), использующие совпадения SKID/AKID при построении цепочек, могли ограничивать возможные допустимые цепочки. Указывается в виде строки в шестнадцатеричном формате. По умолчанию пусто, что позволяет Vault автоматически вычислять SKID в соответствии с первым методом в приведенном выше разделе RFC.
street_addressarrayнетЕсли установлено, то для адреса улицы будет задано это значение.
ttlintegerнетЗапрашиваемое время жизни сертификата; устанавливает дату истечения срока действия. Если не указано, используется TTL по умолчанию роли, по умолчанию бэкенда или по умолчанию системы, в этом порядке. Не может быть больше, чем mount max TTL. Примечание: это имеет значение только при генерации сертификата ЦС или подписании сертификата ЦС, но не при генерации CSR для промежуточного ЦС.
uri_sansarrayнетЗапрашиваемые URI SAN, если таковые имеются, в виде списка, разделенного запятыми.
use_csr_valuesboolean (default: False)нетЕсли верно, то: 1) Информация о субъекте, включая имена и альтернативные имена, будет сохранена из CSR, а не использована в других параметрах этого пути; 2) Любые ключевые использования, запрошенные в CSR, будут добавлены к базовому набору ключевых использований, используемых для сертификатов CA, подписанных этим путем; например, флаг неотрицания; 3) Расширения, запрошенные в CSR, будут скопированы в выпущенный сертификат.
use_pssboolean (default: False)нетИспользовать или нет подписи PSS при использовании эмитента ключа типа RSA. По умолчанию имеет значение false.

Ответы

200: OK

ПараметрТипОбязательныйОписание
ca_chainarrayнетЦепочка CA
certificatestringнетСертификат
expirationintegerнетВремя истечения
issuing_castringнетВыдающий CA
serial_numberstringнетСерийный номер

POST /{pki_mount_path}/issuer/{issuer_ref}/sign-revocation-list

ID операции: pki-issuer-sign-revocation-list

Сгенерируйте и подпишите CRL на основе предоставленных параметров.

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующего эмитента; либо “default” для настроенного эмитента по умолчанию, либо идентификатор или имя, присвоенное эмитенту.
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
crl_numberintegerнетПорядковый номер, который будет записан в расширении CRL Number.
delta_crl_base_numberinteger (default: -1)нетИспользование нуля или большего значения определяет базовый номер ревизии CRL для кодирования в расширении индикатора Delta CRL, иначе расширение не будет добавлено.
extensionsarrayнетСписок карт, содержащих расширения с ключами id (строка), critical (bool), value (строка).
formatstring (default: pem)нетФормат комбинированного CRL, может быть “pem” или “der”. Если “der”, значение будет закодировано в base64. По умолчанию - “pem”.
next_updatestring (default: 72h)нетВремя, в течение которого сгенерированный CRL должен быть действителен; по умолчанию 72 часа.
revoked_certsarrayнетСписок карт, содержащих ключи serial_number (строка), revocation_time (строка) и extensions (карта с ключами id (строка), critical (bool), value (строка)).

Ответы

200: OK

ПараметрТипОбязательныйОписание
crlstringнетСписок отзыва

POST /{pki_mount_path}/issuer/{issuer_ref}/sign-self-issued

ID операции: pki-issuer-sign-self-issued

Повторный выпуск самоподписанного сертификата на основе предоставленного сертификата.

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующего эмитента; либо “default” для настроенного эмитента по умолчанию, либо идентификатор или имя, присвоенное эмитенту.
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
certificatestringнетПодписываемый самовыпущенный сертификат в формате PEM.
require_matching_certificate_algorithmsboolean (default: False)нетЕсли true, то требуется, чтобы алгоритм открытого ключа подписывающего лица совпадал с алгоритмом собственного сертификата.

Ответы

200: OK

ПараметрТипОбязательныйОписание
certificatestringнетСертификат
issuing_castringнетВыдающий CA

POST /{pki_mount_path}/issuer/{issuer_ref}/sign-verbatim

ID операции: pki-issuer-sign-verbatim

Выпустить сертификат напрямую на основе предоставленного CSR.

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующего эмитента; либо “default” для настроенного эмитента по умолчанию, либо идентификатор или имя, присвоенное эмитенту.
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
alt_namesstringнетЗапрашиваемые альтернативные имена субъектов, если таковые имеются, в виде списка, разделенного запятыми. Если для роли включена защита электронной почты, в этом списке могут содержаться адреса электронной почты.
common_namestringнетЗапрашиваемое общее имя; если вам нужно несколько, укажите альтернативные имена в карте alt_names. Если в роли включена защита электронной почты, это может быть адрес электронной почты.
csrstring (default: )нетПодписываемый CSR в формате PEM. Значения будут взяты дословно из CSR, за исключением основных ограничений.
exclude_cn_from_sansboolean (default: False)нетЕсли установлено значение true, общее имя не будет включаться в альтернативные имена DNS или темы электронной почты. По умолчанию значение false (CN включается).
ext_key_usagearray (default: [])нетСтрока или список расширенных применений ключей, разделенных запятыми. Допустимые значения можно найти по адресу https://golang.org/pkg/crypto/x509/#ExtKeyUsage - просто опустите часть имени “ExtKeyUsage”. Чтобы исключить установку всех ключевых использований, установите это значение в пустой список.
ext_key_usage_oidsarrayнетСтрока или список расширенных идентификаторов использования ключей, разделенных запятыми.
formatstring (pem, der, pem_bundle) (default: pem)нетФормат возвращаемых данных. Может быть “pem”, “der” или “pem_bundle”. Если “pem_bundle”, то закрытый ключ и сертификат-эмитент будут добавлены к сертификату pem. Если “der”, то значение будет закодировано в base64. По умолчанию используется значение “pem”.
ip_sansarrayнетЗапрашиваемые IP SAN, если таковые имеются, в виде списка, разделенного запятыми
key_usagearray (default: [‘DigitalSignature’, ‘KeyAgreement’, ‘KeyEncipherment’])нетРазделенная запятыми строка или список использований ключа (не расширенных использований ключа). Допустимые значения можно найти на https://golang.org/pkg/crypto/x509/#KeyUsage - просто опустите часть имени “KeyUsage”. Чтобы исключить установку всех ключевых использований, установите это значение в пустой список.
not_afterstringнетУстанавливает в поле “Не после” сертификата указанное значение даты. Формат значения должен быть задан в формате UTC YYYY-MM-ddTHH:MM:SSZ
other_sansarrayнетЗапрошенные другие SAN, в массиве с форматом ;UTF8: для каждой записи.
private_key_formatstring (, der, pem, pkcs8) (default: der)нетФормат возвращаемого закрытого ключа. Обычно по умолчанию параметр “format” определяет формат либо base64-кодированного DER, либо PEM-кодированного DER. Однако можно задать значение “pkcs8”, чтобы возвращаемый закрытый ключ содержал base64-кодировку pkcs8 или PEM-кодировку pkcs8. По умолчанию используется значение “der”.
remove_roots_from_chainboolean (default: False)нетУдалять или нет самоподписанные сертификаты ЦС в выводе поля ca_chain.
rolestringнетЖелаемая роль с конфигурацией для этого запроса
serial_numberstringнетЗапрашиваемый серийный номер субъекта, если таковой имеется. Описание этого поля см. в RFC 4519 Раздел 2.31 ‘serialNumber’. Если вам нужно более одного, укажите альтернативные имена в карте alt_names, используя OID 2.5.4.5. Это не влияет на поле серийного номера финального сертификата.
signature_bitsinteger (default: 0)нетКоличество бит, используемых в алгоритме подписи; принимается 256 для SHA-2-256, 384 для SHA-2-384 и 512 для SHA-2-512. По умолчанию равно 0 для автоматического определения длины ключа (SHA-2-256 для ключей RSA и соответствие размеру кривой для P-кривых NIST).
ttlintegerнетЗапрашиваемое время жизни сертификата; устанавливает дату истечения срока действия. Если не указано, используется TTL по умолчанию роли, по умолчанию бэкенда или по умолчанию системы, в этом порядке. Не может быть больше, чем максимальный TTL роли.
uri_sansarrayнетЗапрашиваемые URI SAN, если таковые имеются, в виде списка, разделенного запятыми.
use_pssboolean (default: False)нетИспользовать или нет подписи PSS при использовании эмитента ключа типа RSA. По умолчанию имеет значение false.
user_idsarrayнетЗапрашиваемое значение user_ids для размещения в теме, если таковое имеется, в виде списка, разделенного запятыми. Ограничивается значением allowed_user_ids. Любые значения добавляются с OID 0.9.2342.19200300.100.1.1.

Ответы

200: OK

ПараметрТипОбязательныйОписание
ca_chainarrayнетЦепочка Сертификатов
certificatestringнетСертификат
expirationintegerнетВремя истечения
issuing_castringнетВыдающий Центр Сертификации
private_keystringнетЗакрытый ключ
private_key_typestringнетТип закрытого ключа
serial_numberstringнетСерийный номер

POST /{pki_mount_path}/issuer/{issuer_ref}/sign-verbatim/{role}

ID операции: pki-issuer-sign-verbatim-with-role

Выпустить сертификат напрямую на основе предоставленного CSR.

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующего эмитента; либо “default” для настроенного эмитента по умолчанию, либо идентификатор или имя, присвоенное эмитенту.
rolestringpathдаЖелаемая роль с конфигурацией для этого запроса
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
alt_namesstringнетЗапрашиваемые альтернативные имена субъектов, если таковые имеются, в виде списка, разделенного запятыми. Если для роли включена защита электронной почты, в этом списке могут содержаться адреса электронной почты.
common_namestringнетЗапрашиваемое общее имя; если вам нужно несколько, укажите альтернативные имена в карте alt_names. Если в роли включена защита электронной почты, это может быть адрес электронной почты.
csrstring (default: )нетПодписываемый CSR в формате PEM. Значения будут взяты дословно из CSR, за исключением основных ограничений.
exclude_cn_from_sansboolean (default: False)нетЕсли установлено значение true, общее имя не будет включаться в альтернативные имена DNS или темы электронной почты. По умолчанию значение false (CN включается).
ext_key_usagearray (default: [])нетСтрока или список расширенных применений ключей, разделенных запятыми. Допустимые значения можно найти по адресу https://golang.org/pkg/crypto/x509/#ExtKeyUsage - просто опустите часть имени “ExtKeyUsage”. Чтобы исключить установку всех ключевых использований, установите это значение в пустой список.
ext_key_usage_oidsarrayнетСтрока или список расширенных идентификаторов использования ключей, разделенных запятыми.
formatstring (pem, der, pem_bundle) (default: pem)нетФормат возвращаемых данных. Может быть “pem”, “der” или “pem_bundle”. Если “pem_bundle”, то закрытый ключ и сертификат-эмитент будут добавлены к сертификату pem. Если “der”, то значение будет закодировано в base64. По умолчанию используется значение “pem”.
ip_sansarrayнетЗапрашиваемые IP SAN, если таковые имеются, в виде списка, разделенного запятыми
key_usagearray (default: [‘DigitalSignature’, ‘KeyAgreement’, ‘KeyEncipherment’])нетРазделенная запятыми строка или список использований ключа (не расширенных использований ключа). Допустимые значения можно найти на https://golang.org/pkg/crypto/x509/#KeyUsage - просто опустите часть имени “KeyUsage”. Чтобы исключить установку всех ключевых использований, установите это значение в пустой список.
not_afterstringнетУстанавливает в поле “Не после” сертификата указанное значение даты. Формат значения должен быть задан в формате UTC YYYY-MM-ddTHH:MM:SSZ
other_sansarrayнетЗапрошенные другие SAN, в массиве с форматом ;UTF8: для каждой записи.
private_key_formatstring (, der, pem, pkcs8) (default: der)нетФормат возвращаемого закрытого ключа. Обычно по умолчанию параметр “format” определяет формат либо base64-кодированного DER, либо PEM-кодированного DER. Однако можно задать значение “pkcs8”, чтобы возвращаемый закрытый ключ содержал base64-кодировку pkcs8 или PEM-кодировку pkcs8. По умолчанию используется значение “der”.
remove_roots_from_chainboolean (default: False)нетУдалять или нет самоподписанные сертификаты ЦС в выводе поля ca_chain.
serial_numberstringнетЗапрашиваемый серийный номер субъекта, если таковой имеется. Описание этого поля см. в RFC 4519 Раздел 2.31 ‘serialNumber’. Если вам нужно более одного, укажите альтернативные имена в карте alt_names, используя OID 2.5.4.5. Это не влияет на поле серийного номера финального сертификата.
signature_bitsinteger (default: 0)нетКоличество бит, используемых в алгоритме подписи; принимается 256 для SHA-2-256, 384 для SHA-2-384 и 512 для SHA-2-512. По умолчанию равно 0 для автоматического определения длины ключа (SHA-2-256 для ключей RSA и соответствие размеру кривой для P-кривых NIST).
ttlintegerнетЗапрашиваемое время жизни сертификата; устанавливает дату истечения срока действия. Если не указано, используется TTL по умолчанию роли, по умолчанию бэкенда или по умолчанию системы, в этом порядке. Не может быть больше, чем максимальный TTL роли.
uri_sansarrayнетЗапрашиваемые URI SAN, если таковые имеются, в виде списка, разделенного запятыми.
use_pssboolean (default: False)нетИспользовать или нет подписи PSS при использовании эмитента ключа типа RSA. По умолчанию имеет значение false.
user_idsarrayнетЗапрашиваемое значение user_ids для размещения в теме, если таковое имеется, в виде списка, разделенного запятыми. Ограничивается значением allowed_user_ids. Любые значения добавляются с OID 0.9.2342.19200300.100.1.1.

Ответы

200: OK

ПараметрТипОбязательныйОписание
ca_chainarrayнетЦепочка Сертификатов
certificatestringнетСертификат
expirationintegerнетВремя истечения
issuing_castringнетВыдающий Центр Сертификации
private_keystringнетЗакрытый ключ
private_key_typestringнетТип закрытого ключа
serial_numberstringнетСерийный номер

POST /{pki_mount_path}/issuer/{issuer_ref}/sign/{role}

ID операции: pki-issuer-sign-with-role

Запросите сертификаты, используя определенную роль с указанными данными.

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующего эмитента; либо “default” для настроенного эмитента по умолчанию, либо идентификатор или имя, присвоенное эмитенту.
rolestringpathдаЖелаемая роль с конфигурацией для этого запроса
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
alt_namesstringнетЗапрашиваемые альтернативные имена субъектов, если таковые имеются, в виде списка, разделенного запятыми. Если для роли включена защита электронной почты, в этом списке могут содержаться адреса электронной почты.
common_namestringнетЗапрашиваемое общее имя; если вам нужно несколько, укажите альтернативные имена в карте alt_names. Если в роли включена защита электронной почты, это может быть адрес электронной почты.
csrstring (default: )нетПодписываемый CSR в формате PEM.
exclude_cn_from_sansboolean (default: False)нетЕсли установлено значение true, общее имя не будет включаться в альтернативные имена DNS или темы электронной почты. По умолчанию значение false (CN включается).
formatstring (pem, der, pem_bundle) (default: pem)нетФормат возвращаемых данных. Может быть “pem”, “der” или “pem_bundle”. Если “pem_bundle”, то закрытый ключ и сертификат-эмитент будут добавлены к сертификату pem. Если “der”, то значение будет закодировано в base64. По умолчанию используется значение “pem”.
ip_sansarrayнетЗапрашиваемые IP SAN, если таковые имеются, в виде списка, разделенного запятыми
not_afterstringнетУстанавливает в поле “Не после” сертификата указанное значение даты. Формат значения должен быть задан в формате UTC YYYY-MM-ddTHH:MM:SSZ
other_sansarrayнетЗапрошенные другие SAN, в массиве с форматом ;UTF8: для каждой записи.
private_key_formatstring (, der, pem, pkcs8) (default: der)нетФормат возвращаемого закрытого ключа. Обычно по умолчанию параметр “format” определяет формат либо base64-кодированного DER, либо PEM-кодированного DER. Однако можно задать значение “pkcs8”, чтобы возвращаемый закрытый ключ содержал base64-кодировку pkcs8 или PEM-кодировку pkcs8. По умолчанию используется значение “der”.
remove_roots_from_chainboolean (default: False)нетУдалять или нет самоподписанные сертификаты ЦС в выводе поля ca_chain.
serial_numberstringнетЗапрашиваемый серийный номер субъекта, если таковой имеется. Описание этого поля см. в RFC 4519 Раздел 2.31 ‘serialNumber’. Если вам нужно более одного, укажите альтернативные имена в карте alt_names, используя OID 2.5.4.5. Это не влияет на поле серийного номера финального сертификата.
ttlintegerнетЗапрашиваемое время жизни сертификата; устанавливает дату истечения срока действия. Если не указано, используется TTL по умолчанию роли, по умолчанию бэкенда или по умолчанию системы, в этом порядке. Не может быть больше, чем максимальный TTL роли.
uri_sansarrayнетЗапрашиваемые URI SAN, если таковые имеются, в виде списка, разделенного запятыми.
user_idsarrayнетЗапрашиваемое значение user_ids для размещения в теме, если таковое имеется, в виде списка, разделенного запятыми. Ограничивается значением allowed_user_ids. Любые значения добавляются с OID 0.9.2342.19200300.100.1.1.

Ответы

200: OK

ПараметрТипОбязательныйОписание
ca_chainarrayнетЦепочка Сертификатов
certificatestringнетСертификат
expirationintegerнетВремя истечения
issuing_castringнетВыдающий Центр Сертификации
private_keystringнетЗакрытый ключ
private_key_typestringнетТип закрытого ключа
serial_numberstringнетСерийный номер

GET /{pki_mount_path}/issuer/{issuer_ref}/unified-crl

ID операции: pki-issuer-read-unified-crl

Получите журнал отзыва сертификатов издателя (CRL).

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующего эмитента; либо “default” для настроенного эмитента по умолчанию, либо идентификатор или имя, присвоенное эмитенту.
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
crlstringнет

GET /{pki_mount_path}/issuer/{issuer_ref}/unified-crl/delta

ID операции: pki-issuer-read-unified-crl-delta

Получите журнал отзыва сертификатов издателя (CRL).

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующего эмитента; либо “default” для настроенного эмитента по умолчанию, либо идентификатор или имя, присвоенное эмитенту.
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
crlstringнет

GET /{pki_mount_path}/issuer/{issuer_ref}/unified-crl/delta/der

ID операции: pki-issuer-read-unified-crl-delta-der

Получите журнал отзыва сертификатов издателя (CRL).

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующего эмитента; либо “default” для настроенного эмитента по умолчанию, либо идентификатор или имя, присвоенное эмитенту.
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
crlstringнет

GET /{pki_mount_path}/issuer/{issuer_ref}/unified-crl/delta/pem

ID операции: pki-issuer-read-unified-crl-delta-pem

Получите журнал отзыва сертификатов издателя (CRL).

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующего эмитента; либо “default” для настроенного эмитента по умолчанию, либо идентификатор или имя, присвоенное эмитенту.
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
crlstringнет

GET /{pki_mount_path}/issuer/{issuer_ref}/unified-crl/der

ID операции: pki-issuer-read-unified-crl-der

Получите журнал отзыва сертификатов издателя (CRL).

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующего эмитента; либо “default” для настроенного эмитента по умолчанию, либо идентификатор или имя, присвоенное эмитенту.
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
crlstringнет

GET /{pki_mount_path}/issuer/{issuer_ref}/unified-crl/pem

ID операции: pki-issuer-read-unified-crl-pem

Получите журнал отзыва сертификатов издателя (CRL).

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
issuer_refstringpathдаСсылка на существующего эмитента; либо “default” для настроенного эмитента по умолчанию, либо идентификатор или имя, присвоенное эмитенту.
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
crlstringнет

GET /{pki_mount_path}/issuers

ID операции: pki-list-issuers

Получите список сертификатов CA.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд
liststring (true)queryдаДолжно быть установлено значение true.

Ответы

200: OK

ПараметрТипОбязательныйОписание
key_infoobjectнетИнформация о ключе с именем издателя
keysarrayнетСписок ключей

POST /{pki_mount_path}/issuers/generate/intermediate/{exported}

ID операции: pki-issuers-generate-intermediate

Создает новую CSR и закрытый ключ, используемые для подписи.

Параметры

ПараметрТипРасположениеОбязательныйОписание
exportedstring (internal, exported, kms)pathдаДолжно быть “internal”, “exported” или “kms”. Если установлено значение “exported”, будет возвращен сгенерированный закрытый ключ. Это ваш единственный шанс получить закрытый ключ!
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
add_basic_constraintsbooleanнетДобавлять ли расширение Basic Constraints с CA: true. Необходимо только в качестве обходного пути в некоторых сценариях совместимости со службами сертификации Active Directory.
alt_namesstringнетЗапрашиваемые альтернативные имена субъектов, если таковые имеются, в виде списка, разделенного запятыми. Может содержать как DNS-имена, так и адреса электронной почты.
common_namestringнетЗапрашиваемое общее имя; если вам нужно несколько, укажите альтернативные имена в карте alt_names. Если не указано при подписании, общее имя будет взято из CSR; другие имена все равно должны быть указаны в alt_names или ip_sans.
countryarrayнетЕсли установлено, то для параметра Страна будет задано это значение.
exclude_cn_from_sansboolean (default: False)нетЕсли установлено значение true, общее имя не будет включаться в альтернативные имена DNS или темы электронной почты. По умолчанию значение false (CN включается).
formatstring (pem, der, pem_bundle) (default: pem)нетФормат возвращаемых данных. Может быть “pem”, “der” или “pem_bundle”. Если “pem_bundle”, то закрытый ключ и сертификат-эмитент будут добавлены к сертификату pem. Если “der”, то значение будет закодировано в base64. По умолчанию используется значение “pem”.
ip_sansarrayнетЗапрашиваемые IP SAN, если таковые имеются, в виде списка, разделенного запятыми
key_bitsinteger (default: 0)нетКоличество используемых битов. Допустимые значения: 0 (универсальное значение по умолчанию); с rsa key_type: 2048 (по умолчанию), 3072 или 4096; с ec key_type: 224, 256 (по умолчанию), 384 или 521; игнорируется с ed25519.
key_namestringнетУкажите имя сгенерированного или существующего ключа; имя должно быть уникальным для всех ключей и не должно быть зарезервированным значением ‘default’.
key_refstring (default: default)нетСсылка на существующий ключ; либо “default” для настроенного ключа по умолчанию, либо идентификатор или имя, присвоенное ключу.
key_typestring (rsa, ec, ed25519, gost3410-256-paramset-a, gost3410-256-paramset-b, gost3410-256-paramset-c, gost3410-256-paramset-d, gost3410-512-paramset-a, gost3410-512-paramset-b, gost3410-512-paramset-c) (default: rsa)нетТип ключа для использования; по умолчанию RSA. “rsa” “ec”, “ed25519”, “gost3410-256-paramset-a”, “gost3410-256-paramset-b”, “gost3410-256-paramset-c”, “gost3410-256-paramset-d”, “gost3410-512-paramset-a”, “gost3410-512-paramset-b”, “gost3410-512-paramset-c” являются единственными допустимыми значениями.
localityarrayнетЕсли установлено, то значение Locality будет установлено на это значение.
managed_key_idstringнетИмя управляемого ключа, используемого, когда экспортируемый тип - kms. Если тип kms является типом ключа, это поле или managed_key_name является обязательным. Игнорируется для других типов.
managed_key_namestringнетИмя управляемого ключа, используемого, когда экспортируемый тип - kms. Если тип kms является типом ключа, требуется это поле или managed_key_id. Игнорируется для других типов.
not_afterstringнетУстанавливает в поле “Не после” сертификата указанное значение даты. Формат значения должен быть задан в формате UTC YYYY-MM-ddTHH:MM:SSZ
not_before_durationinteger (default: 30)нетСрок, на который необходимо продлить срок действия сертификата.
organizationarrayнетЕсли установлено, для O (Организация) будет использовано это значение.
other_sansarrayнетЗапрошенные другие SAN, в массиве с форматом ;UTF8: для каждой записи.
ouarrayнетЕсли установлено, для OU (OrganizationalUnit) будет использовано это значение.
postal_codearrayнетЕсли установлено, то для почтового индекса будет использовано это значение.
private_key_formatstring (, der, pem, pkcs8) (default: der)нетФормат возвращаемого закрытого ключа. Обычно по умолчанию параметр “format” определяет формат либо base64-кодированного DER, либо PEM-кодированного DER. Однако можно задать значение “pkcs8”, чтобы возвращаемый закрытый ключ содержал base64-кодировку pkcs8 или PEM-кодировку pkcs8. По умолчанию используется значение “der”.
provincearrayнетЕсли установлено, для Province будет использовано это значение.
serial_numberstringнетЗапрашиваемый серийный номер субъекта, если таковой имеется. Описание этого поля см. в RFC 4519 Раздел 2.31 ‘serialNumber’. Если вам нужно более одного, укажите альтернативные имена в карте alt_names, используя OID 2.5.4.5. Это не влияет на поле серийного номера финального сертификата.
signature_bitsinteger (default: 0)нетКоличество бит, используемых в алгоритме подписи; принимается 256 для SHA-2-256, 384 для SHA-2-384 и 512 для SHA-2-512. По умолчанию равно 0 для автоматического определения длины ключа (SHA-2-256 для ключей RSA и соответствие размеру кривой для P-кривых NIST).
street_addressarrayнетЕсли установлено, то для адреса улицы будет задано это значение.
ttlintegerнетЗапрашиваемое время жизни сертификата; устанавливает дату истечения срока действия. Если не указано, используется TTL по умолчанию роли, по умолчанию бэкенда или по умолчанию системы, в этом порядке. Не может быть больше, чем mount max TTL. Примечание: это имеет значение только при генерации сертификата ЦС или подписании сертификата ЦС, но не при генерации CSR для промежуточного ЦС.
uri_sansarrayнетЗапрашиваемые URI SAN, если таковые имеются, в виде списка, разделенного запятыми.

Ответы

200: OK

ПараметрТипОбязательныйОписание
csrstringнетЗапрос на подпись сертификата.
key_idstringнетИдентификатор ключа.
private_keystringнетСгенерированный закрытый ключ.
private_key_typestringнетУказывает формат, используемый для организации закрытого ключа.

POST /{pki_mount_path}/issuers/generate/root/{exported}

ID операции: pki-issuers-generate-root

Создает новый сертификат CA и закрытый ключ, используемые для подписи.

Параметры

ПараметрТипРасположениеОбязательныйОписание
exportedstring (internal, exported, kms)pathдаДолжно быть “internal”, “exported” или “kms”. Если установлено значение “exported”, будет возвращен сгенерированный закрытый ключ. Это ваш единственный шанс получить закрытый ключ!
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
alt_namesstringнетЗапрашиваемые альтернативные имена субъектов, если таковые имеются, в виде списка, разделенного запятыми. Может содержать как DNS-имена, так и адреса электронной почты.
common_namestringнетЗапрашиваемое общее имя; если вам нужно несколько, укажите альтернативные имена в карте alt_names. Если не указано при подписании, общее имя будет взято из CSR; другие имена все равно должны быть указаны в alt_names или ip_sans.
countryarrayнетЕсли установлено, то для параметра Страна будет задано это значение.
exclude_cn_from_sansboolean (default: False)нетЕсли установлено значение true, общее имя не будет включаться в альтернативные имена DNS или темы электронной почты. По умолчанию значение false (CN включается).
formatstring (pem, der, pem_bundle) (default: pem)нетФормат возвращаемых данных. Может быть “pem”, “der” или “pem_bundle”. Если “pem_bundle”, то закрытый ключ и сертификат-эмитент будут добавлены к сертификату pem. Если “der”, то значение будет закодировано в base64. По умолчанию используется значение “pem”.
ip_sansarrayнетЗапрашиваемые IP SAN, если таковые имеются, в виде списка, разделенного запятыми
issuer_namestringнетУкажите имя создаваемого или существующего эмитента; имя должно быть уникальным для всех эмитентов и не должно быть зарезервированным значением ‘default’.
key_bitsinteger (default: 0)нетКоличество используемых битов. Допустимые значения: 0 (универсальное значение по умолчанию); с rsa key_type: 2048 (по умолчанию), 3072 или 4096; с ec key_type: 224, 256 (по умолчанию), 384 или 521; игнорируется с ed25519.
key_namestringнетУкажите имя сгенерированного или существующего ключа; имя должно быть уникальным для всех ключей и не должно быть зарезервированным значением ‘default’.
key_refstring (default: default)нетСсылка на существующий ключ; либо “default” для настроенного ключа по умолчанию, либо идентификатор или имя, присвоенное ключу.
key_typestring (rsa, ec, ed25519, gost3410-256-paramset-a, gost3410-256-paramset-b, gost3410-256-paramset-c, gost3410-256-paramset-d, gost3410-512-paramset-a, gost3410-512-paramset-b, gost3410-512-paramset-c) (default: rsa)нетТип ключа для использования; по умолчанию RSA. “rsa” “ec”, “ed25519”, “gost3410-256-paramset-a”, “gost3410-256-paramset-b”, “gost3410-256-paramset-c”, “gost3410-256-paramset-d”, “gost3410-512-paramset-a”, “gost3410-512-paramset-b”, “gost3410-512-paramset-c” являются единственными допустимыми значениями.
localityarrayнетЕсли установлено, то значение Locality будет установлено на это значение.
managed_key_idstringнетИмя управляемого ключа, используемого, когда экспортируемый тип - kms. Если тип kms является типом ключа, это поле или managed_key_name является обязательным. Игнорируется для других типов.
managed_key_namestringнетИмя управляемого ключа, используемого, когда экспортируемый тип - kms. Если тип kms является типом ключа, требуется это поле или managed_key_id. Игнорируется для других типов.
max_path_lengthinteger (default: -1)нетМаксимально допустимая длина пути
not_afterstringнетУстанавливает в поле “Не после” сертификата указанное значение даты. Формат значения должен быть задан в формате UTC YYYY-MM-ddTHH:MM:SSZ
not_before_durationinteger (default: 30)нетСрок, на который необходимо продлить срок действия сертификата.
organizationarrayнетЕсли установлено, для O (Организация) будет использовано это значение.
other_sansarrayнетЗапрошенные другие SAN, в массиве с форматом ;UTF8: для каждой записи.
ouarrayнетЕсли установлено, для OU (OrganizationalUnit) будет использовано это значение.
permitted_dns_domainsarrayнетДомены, для которых данному сертификату разрешено подписывать или выпускать дочерние сертификаты. Если установлено, все DNS-имена (subject и alt) в дочерних сертификатах должны быть точными совпадениями или подмножествами указанных доменов (см. https://tools.ietf.org/html/rfc5280#section-4.2.1.10).
postal_codearrayнетЕсли установлено, то для почтового индекса будет использовано это значение.
private_key_formatstring (, der, pem, pkcs8) (default: der)нетФормат возвращаемого закрытого ключа. Обычно по умолчанию параметр “format” определяет формат либо base64-кодированного DER, либо PEM-кодированного DER. Однако можно задать значение “pkcs8”, чтобы возвращаемый закрытый ключ содержал base64-кодировку pkcs8 или PEM-кодировку pkcs8. По умолчанию используется значение “der”.
provincearrayнетЕсли установлено, для Province будет использовано это значение.
serial_numberstringнетЗапрашиваемый серийный номер субъекта, если таковой имеется. Описание этого поля см. в RFC 4519 Раздел 2.31 ‘serialNumber’. Если вам нужно более одного, укажите альтернативные имена в карте alt_names, используя OID 2.5.4.5. Это не влияет на поле серийного номера финального сертификата.
signature_bitsinteger (default: 0)нетКоличество бит, используемых в алгоритме подписи; принимается 256 для SHA-2-256, 384 для SHA-2-384 и 512 для SHA-2-512. По умолчанию равно 0 для автоматического определения длины ключа (SHA-2-256 для ключей RSA и соответствие размеру кривой для P-кривых NIST).
street_addressarrayнетЕсли установлено, то для адреса улицы будет задано это значение.
ttlintegerнетЗапрашиваемое время жизни сертификата; устанавливает дату истечения срока действия. Если не указано, используется TTL по умолчанию роли, по умолчанию бэкенда или по умолчанию системы, в этом порядке. Не может быть больше, чем mount max TTL. Примечание: это имеет значение только при генерации сертификата ЦС или подписании сертификата ЦС, но не при генерации CSR для промежуточного ЦС.
uri_sansarrayнетЗапрашиваемые URI SAN, если таковые имеются, в виде списка, разделенного запятыми.
use_pssboolean (default: False)нетИспользовать или нет подписи PSS при использовании эмитента ключа типа RSA. По умолчанию имеет значение false.

Ответы

200: OK

ПараметрТипОбязательныйОписание
certificatestringнетСгенерированный самозаверенный сертификат CA.
expirationintegerнетИстечение срока действия указанного издателя.
issuer_idstringнетИдентификатор издателя
issuer_namestringнетИмя издателя.
issuing_castringнетВыдающий центр сертификации.
key_idstringнетИдентификатор ключа.
key_namestringнетИмя ключа, если указано.
private_keystringнетЗакрытый ключ, если экспортируется, был указан.
serial_numberstringнетЗапрошенный серийный номер именованного субъекта.

POST /{pki_mount_path}/issuers/import/bundle

ID операции: pki-issuers-import-bundle

Импортируйте указанные сертификаты выдачи.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
pem_bundlestringнетPEM-формат, конкатенированный незашифрованный секретный ключ (необязательно) и сертификаты.

Ответы

200: OK

ПараметрТипОбязательныйОписание
existing_issuersarrayнетСуществующие издатели, указанные как часть импортируемого пакета этого запроса
existing_keysarrayнетСуществующие ключи, указанные как часть импортируемого пакета этого запроса
imported_issuersarrayнетСовсем новые издатели, импортированные в рамках этого запроса
imported_keysarrayнетСовсем новые ключи, импортированные в рамках этого запроса
mappingobjectнетОтображение issuer_id в key_id для всех издателей, включённых в этот запрос

POST /{pki_mount_path}/issuers/import/cert

ID операции: pki-issuers-import-cert

Импортируйте указанные сертификаты выдачи.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
pem_bundlestringнетPEM-формат, конкатенированный незашифрованный секретный ключ (необязательно) и сертификаты.

Ответы

200: OK

ПараметрТипОбязательныйОписание
existing_issuersarrayнетСуществующие издатели, указанные как часть импортируемого пакета этого запроса
existing_keysarrayнетСуществующие ключи, указанные как часть импортируемого пакета этого запроса
imported_issuersarrayнетСовсем новые издатели, импортированные в рамках этого запроса
imported_keysarrayнетСовсем новые ключи, импортированные в рамках этого запроса
mappingobjectнетОтображение issuer_id в key_id для всех издателей, включённых в этот запрос

GET /{pki_mount_path}/key/{key_ref}

ID операции: pki-read-key

Получение одного ключа эмитента

Параметры

ПараметрТипРасположениеОбязательныйОписание
key_refstringpathдаСсылка на ключ; либо “default” для настроенного ключа по умолчанию, либо идентификатор ключа, либо имя, присвоенное ключу.
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
key_idstringнетИдентификатор Ключа
key_namestringнетИмя Ключа
key_typestringнетТип Ключа
managed_key_idstringнетИдентификатор управляемого ключа
managed_key_namestringнетИмя управляемого ключа
subject_key_idstringнетИдентификатор ключа субъекта RFC 5280 публичного контрагента

POST /{pki_mount_path}/key/{key_ref}

ID операции: pki-write-key

Получение одного ключа эмитента

Параметры

ПараметрТипРасположениеОбязательныйОписание
key_refstringpathдаСсылка на ключ; либо “default” для настроенного ключа по умолчанию, либо идентификатор ключа, либо имя, присвоенное ключу.
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
key_namestringнетЧеловекочитаемое имя для этого ключа.

Ответы

204: OK

ПараметрТипОбязательныйОписание
key_idstringнетИдентификатор Ключа
key_namestringнетИмя Ключа
key_typestringнетТип Ключа

DELETE /{pki_mount_path}/key/{key_ref}

ID операции: pki-delete-key

Получение одного ключа эмитента

Параметры

ПараметрТипРасположениеОбязательныйОписание
key_refstringpathдаСсылка на ключ; либо “default” для настроенного ключа по умолчанию, либо идентификатор ключа, либо имя, присвоенное ключу.
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

204: No Content

GET /{pki_mount_path}/keys

ID операции: pki-list-keys

Получение списка всех ключей эмитентов

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд
liststring (true)queryдаДолжно быть установлено значение true.

Ответы

200: OK

ПараметрТипОбязательныйОписание
key_infoobjectнетИнформация о ключе с именем издателя
keysarrayнетСписок ключей

POST /{pki_mount_path}/keys/generate/exported

ID операции: pki-generate-exported-key

Сгенерируйте новый закрытый ключ, используемый для подписи.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
key_bitsinteger (default: 0)нетКоличество используемых битов. Допустимые значения: 0 (универсальное значение по умолчанию); с rsa key_type: 2048 (по умолчанию), 3072 или 4096; с ec key_type: 224, 256 (по умолчанию), 384 или 521; игнорируется с ed25519.
key_namestringнетНеобязательное имя, которое будет использоваться для этого ключа
key_typestring (rsa, ec, ed25519, gost3410-256-paramset-a, gost3410-256-paramset-b, gost3410-256-paramset-c, gost3410-256-paramset-d, gost3410-512-paramset-a, gost3410-512-paramset-b, gost3410-512-paramset-c) (default: rsa)нетТип ключа для использования; по умолчанию RSA. “rsa” “ec”, “ed25519”, “gost3410-256-paramset-a”, “gost3410-256-paramset-b”, “gost3410-256-paramset-c”, “gost3410-256-paramset-d”, “gost3410-512-paramset-a”, “gost3410-512-paramset-b”, “gost3410-512-paramset-c” являются единственными допустимыми значениями.
managed_key_idstringнетИмя управляемого ключа, используемого, когда экспортируемый тип - kms. Если тип kms является типом ключа, это поле или managed_key_name является обязательным. Игнорируется для других типов.
managed_key_namestringнетИмя управляемого ключа, используемого, когда экспортируемый тип - kms. Если тип kms является типом ключа, требуется это поле или managed_key_id. Игнорируется для других типов.

Ответы

200: OK

ПараметрТипОбязательныйОписание
key_idstringнетИдентификатор, присвоенный этому ключу.
key_namestringнетИмя, назначенное этому ключу.
key_typestringнетТип ключа для использования; по умолчанию RSA. “rsa” “ec”, “ed25519”, “gost3410-256-paramset-a”, “gost3410-256-paramset-b”, “gost3410-256-paramset-c”, “gost3410-256-paramset-d”, “gost3410-512-paramset-a”, “gost3410-512-paramset-b”, “gost3410-512-paramset-c” являются единственными допустимыми значениями.
private_keystringнетСтрока закрытого ключа

POST /{pki_mount_path}/keys/generate/internal

ID операции: pki-generate-internal-key

Сгенерируйте новый закрытый ключ, используемый для подписи.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
key_bitsinteger (default: 0)нетКоличество используемых битов. Допустимые значения: 0 (универсальное значение по умолчанию); с rsa key_type: 2048 (по умолчанию), 3072 или 4096; с ec key_type: 224, 256 (по умолчанию), 384 или 521; игнорируется с ed25519.
key_namestringнетНеобязательное имя, которое будет использоваться для этого ключа
key_typestring (rsa, ec, ed25519, gost3410-256-paramset-a, gost3410-256-paramset-b, gost3410-256-paramset-c, gost3410-256-paramset-d, gost3410-512-paramset-a, gost3410-512-paramset-b, gost3410-512-paramset-c) (default: rsa)нетТип ключа для использования; по умолчанию RSA. “rsa” “ec”, “ed25519”, “gost3410-256-paramset-a”, “gost3410-256-paramset-b”, “gost3410-256-paramset-c”, “gost3410-256-paramset-d”, “gost3410-512-paramset-a”, “gost3410-512-paramset-b”, “gost3410-512-paramset-c” являются единственными допустимыми значениями.
managed_key_idstringнетИмя управляемого ключа, используемого, когда экспортируемый тип - kms. Если тип kms является типом ключа, это поле или managed_key_name является обязательным. Игнорируется для других типов.
managed_key_namestringнетИмя управляемого ключа, используемого, когда экспортируемый тип - kms. Если тип kms является типом ключа, требуется это поле или managed_key_id. Игнорируется для других типов.

Ответы

200: OK

ПараметрТипОбязательныйОписание
key_idstringнетИдентификатор, присвоенный этому ключу.
key_namestringнетИмя, назначенное этому ключу.
key_typestringнетТип ключа для использования; по умолчанию RSA. “rsa” “ec”, “ed25519”, “gost3410-256-paramset-a”, “gost3410-256-paramset-b”, “gost3410-256-paramset-c”, “gost3410-256-paramset-d”, “gost3410-512-paramset-a”, “gost3410-512-paramset-b”, “gost3410-512-paramset-c” являются единственными допустимыми значениями.
private_keystringнетСтрока закрытого ключа

POST /{pki_mount_path}/keys/generate/kms

ID операции: pki-generate-kms-key

Сгенерируйте новый закрытый ключ, используемый для подписи.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
key_bitsinteger (default: 0)нетКоличество используемых битов. Допустимые значения: 0 (универсальное значение по умолчанию); с rsa key_type: 2048 (по умолчанию), 3072 или 4096; с ec key_type: 224, 256 (по умолчанию), 384 или 521; игнорируется с ed25519.
key_namestringнетНеобязательное имя, которое будет использоваться для этого ключа
key_typestring (rsa, ec, ed25519, gost3410-256-paramset-a, gost3410-256-paramset-b, gost3410-256-paramset-c, gost3410-256-paramset-d, gost3410-512-paramset-a, gost3410-512-paramset-b, gost3410-512-paramset-c) (default: rsa)нетТип ключа для использования; по умолчанию RSA. “rsa” “ec”, “ed25519”, “gost3410-256-paramset-a”, “gost3410-256-paramset-b”, “gost3410-256-paramset-c”, “gost3410-256-paramset-d”, “gost3410-512-paramset-a”, “gost3410-512-paramset-b”, “gost3410-512-paramset-c” являются единственными допустимыми значениями.
managed_key_idstringнетИмя управляемого ключа, используемого, когда экспортируемый тип - kms. Если тип kms является типом ключа, это поле или managed_key_name является обязательным. Игнорируется для других типов.
managed_key_namestringнетИмя управляемого ключа, используемого, когда экспортируемый тип - kms. Если тип kms является типом ключа, требуется это поле или managed_key_id. Игнорируется для других типов.

Ответы

200: OK

ПараметрТипОбязательныйОписание
key_idstringнетИдентификатор, присвоенный этому ключу.
key_namestringнетИмя, назначенное этому ключу.
key_typestringнетТип ключа для использования; по умолчанию RSA. “rsa” “ec”, “ed25519”, “gost3410-256-paramset-a”, “gost3410-256-paramset-b”, “gost3410-256-paramset-c”, “gost3410-256-paramset-d”, “gost3410-512-paramset-a”, “gost3410-512-paramset-b”, “gost3410-512-paramset-c” являются единственными допустимыми значениями.
private_keystringнетСтрока закрытого ключа

POST /{pki_mount_path}/keys/import

ID операции: pki-import-key

Импортируйте указанный ключ.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
key_namestringнетНеобязательное имя, которое будет использоваться для этого ключа
pem_bundlestringнетНезашифрованный секретный ключ в формате PEM

Ответы

200: OK

ПараметрТипОбязательныйОписание
key_idstringнетИдентификатор, присвоенный этому ключу.
key_namestringнетИмя, назначенное этому ключу.
key_typestringнетТип ключа для использования; по умолчанию RSA. “rsa” “ec”, “ed25519”, “gost3410-256-paramset-a”, “gost3410-256-paramset-b”, “gost3410-256-paramset-c”, “gost3410-256-paramset-d”, “gost3410-512-paramset-a”, “gost3410-512-paramset-b”, “gost3410-512-paramset-c” являются единственными допустимыми значениями.

POST /{pki_mount_path}/ocsp

ID операции: pki-query-ocsp

Запрос статуса отзыва сертификата через OCSP’

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

GET /{pki_mount_path}/ocsp/{req}

ID операции: pki-query-ocsp-with-get-req

Запрос статуса отзыва сертификата через OCSP’

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
reqstringpathдазапрос ocsp в кодировке base-64
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

POST /{pki_mount_path}/revoke

ID операции: pki-revoke

Отмените сертификат по серийному номеру или с явным сертификатом. При вызове /revoke-with-key необходимо предоставить закрытый ключ, соответствующий сертификату, для аутентификации запроса.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
certificatestringнетСертификат для отзыва в формате PEM; должен быть подписан эмитентом в этом монтировании.
serial_numberstringнетСерийный номер сертификата, в восьмеричной системе с разделителем двоеточия или дефиса

Ответы

200: OK

ПараметрТипОбязательныйОписание
revocation_timeintegerнетВремя отзыва
revocation_time_rfc3339stringнетВремя отзыва
statestringнетСостояние отзыва

POST /{pki_mount_path}/revoke-with-key

ID операции: pki-revoke-with-key

Отмените сертификат по серийному номеру или с явным сертификатом. При вызове /revoke-with-key необходимо предоставить закрытый ключ, соответствующий сертификату, для аутентификации запроса.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
certificatestringнетСертификат для отзыва в формате PEM; должен быть подписан эмитентом в этом монтировании.
private_keystringнетКлюч, используемый для проверки разрешения на отзыв; должен быть в формате PEM.
serial_numberstringнетСерийный номер сертификата, в восьмеричной системе с разделителем двоеточия или дефиса

Ответы

200: OK

ПараметрТипОбязательныйОписание
revocation_timeintegerнетВремя отзыва
revocation_time_rfc3339stringнетВремя отзыва
statestringнетСостояние отзыва

GET /{pki_mount_path}/roles

ID операции: pki-list-roles

Список существующих ролей в этом бэкенде

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд
liststring (true)queryдаДолжно быть установлено значение true.

Ответы

200: OK

ПараметрТипОбязательныйОписание
keysarrayнетОтображает список ролей

GET /{pki_mount_path}/roles/{name}

ID операции: pki-read-role

Управление ролями, которые могут быть созданы с помощью этого бэкэнда.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаНазвание роли
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
allow_any_namebooleanнетЕсли установлено, клиенты могут запрашивать сертификаты для любого домена, независимо от ограничений allowed_domains. Дополнительные сведения см. в документации.
allow_bare_domainsbooleanнетЕсли установлено, клиенты могут запрашивать сертификаты для самих базовых доменов, например “example.com” из доменов, перечисленных в allowed_domains. Это отдельная опция, поскольку в некоторых случаях это может рассматриваться как угроза безопасности. Дополнительную информацию см. в документации.
allow_glob_domainsbooleanнетЕсли установлено, домены, указанные в allowed_domains, могут включать шаблоны glob в стиле shell, например, “ftp*.example.com”. Дополнительные сведения см. в документации.
allow_ip_sansbooleanнетЕсли установлено, разрешены альтернативные имена субъектов IP. Принимается любой действительный IP, проверка авторизации не производится.
allow_localhostbooleanнетРазрешать ли “localhost” и “localdomain” в качестве допустимого общего имени в запросе, независимо от значения allowed_domains.
allow_subdomainsbooleanнетЕсли установлено, клиенты могут запрашивать сертификаты для поддоменов доменов, перечисленных в allowed_domains, включая поддомены с подстановочными знаками. Дополнительную информацию см. в документации.
allow_token_displaynamebooleanнетРазрешать ли “localhost” и “localdomain” в качестве допустимого общего имени в запросе, независимо от значения allowed_domains.
allow_wildcard_certificatesbooleanнетЕсли установлено, разрешается выдавать сертификаты с подстановочными знаками в общем имени, в соответствии с разделом 6.4.3 документа RFC 6125; например, “.example.net” или “bz.example.net”. Дополнительные сведения см. в документации.
allowed_domainsarrayнетУказывает домены, для которых этой роли разрешено выдавать сертификаты. Используется вместе с параметрами allow_bare_domains, allow_subdomains и allow_glob_domains для определения соответствия общего имени, записей SAN, типизированных для DNS, и записей SAN, типизированных для электронной почты, в сертификатах. Дополнительные сведения см. в документации. Этот параметр принимает строку или список доменов, разделенных запятыми.
allowed_domains_templatebooleanнетЕсли установлено, разрешенные домены могут быть указаны с помощью политик шаблонов идентификации. Домены без шаблонов также разрешены.
allowed_other_sansarrayнетЕсли установлено, то массив разрешенных других имен, которые можно поместить в SAN. Эти значения поддерживают globbing и должны быть в формате ;:. В настоящее время допустимым типом является только “utf8”. Все значения, включая globbing-значения, должны использовать этот синтаксис, за исключением одиночного “*”, который позволяет использовать любой OID и любое значение (но тип должен быть utf8).
allowed_serial_numbersarrayнетЕсли установлено, массив разрешенных серийных номеров, которые можно поместить в Subject. Эти значения поддерживают глобальный поиск.
allowed_uri_sansarrayнетЕсли задано, массив допустимых URI для альтернативных имен субъектов URI. Принимается любой допустимый URI, эти значения поддерживают глобализацию.
allowed_uri_sans_templatebooleanнетЕсли установлено, разрешенные URI SAN могут быть указаны с помощью политик шаблонов идентификации. Сети URI без шаблонов также разрешены.
allowed_user_idsarrayнетЕсли задано, то массив разрешенных идентификаторов пользователей, которые следует поместить в системный логин пользователя, указан здесь: https://www.rfc-editor.org/rfc/rfc1274#section-9.3.1
basic_constraints_valid_for_non_cabooleanнетОтметьте основные ограничения, действующие при выдаче сертификатов не-CA.
client_flagbooleanнетЕсли установлено, сертификаты будут помечены для использования в качестве клиентского аутентификатора. По умолчанию установлено значение true. См. также RFC 5280, раздел 4.2.1.12.
cn_validationsarrayнетСписок разрешенных проверок для поля Common Name. Значения могут включать ’email’ для проверки того, что CN является адресом электронной почты, ‘hostname’ для проверки того, что CN является действительным именем хоста (потенциально включая подстановочные знаки). Если указано несколько проверок, они принимают семантику OR (разрешены либо email, либо hostname). Специальное значение ‘disabled’ позволяет отключить все проверки имени CN, что позволяет использовать произвольные CN без имени хоста и адреса электронной почты.
code_signing_flagbooleanнетЕсли установлено, сертификаты будут помечены для использования в качестве подписи кода. По умолчанию установлено значение false. См. также RFC 5280, раздел 4.2.1.12.
countryarrayнетЕсли установлено, то в сертификатах, выданных этой ролью, значение Country будет равно этому значению.
email_protection_flagbooleanнетЕсли установлено, сертификаты будут отмечены для использования в целях защиты электронной почты. По умолчанию установлено значение false. См. также RFC 5280, раздел 4.2.1.12.
enforce_hostnamesbooleanнетЕсли установлено, то для CN и DNS SAN разрешены только действительные имена хостов, а также часть хоста в адресах электронной почты. По умолчанию установлено значение true.
ext_key_usagearrayнетСтрока или список расширенных применений ключей, разделенных запятыми. Допустимые значения можно найти по адресу https://golang.org/pkg/crypto/x509/#ExtKeyUsage - просто опустите часть имени “ExtKeyUsage”. Чтобы исключить установку всех ключевых использований, установите это значение в пустой список. См. также RFC 5280 Раздел 4.2.1.12.
ext_key_usage_oidsarrayнетСтрока или список расширенных идентификаторов использования ключей, разделенных запятыми.
generate_leasebooleanнетЕсли установлено, сертификаты, выпущенные/подписанные под этой ролью, будут иметь привязку к аренде Vault. По умолчанию установлено значение “false”. Сертификаты могут быть добавлены в CRL командой “vault revoke <lease_id>”, если сертификаты связаны с арендами. Это также можно сделать с помощью конечной точки “pki/revoke”. Однако, когда генерация аренд отключена, вызов “pki/revoke” будет единственным способом добавить сертификаты в CRL. Если генерируется большое количество сертификатов с длительным сроком действия, рекомендуется отключить генерацию аренды, так как большое количество аренд негативно влияет на время запуска Vault.
issuer_refstringнетСсылка на эмитента, используемого для подписи запросов, обслуживаемых этой ролью.
key_bitsintegerнетКоличество используемых битов. Допустимые значения: 0 (универсальное значение по умолчанию); с rsa key_type: 2048 (по умолчанию), 3072 или 4096; с ec key_type: 224, 256 (по умолчанию), 384 или 521; игнорируется с ed25519.
key_typestringнетТип ключа для использования; по умолчанию RSA. “rsa” “ec”, “ed25519”, “gost3410-256-paramset-a”, “gost3410-256-paramset-b”, “gost3410-256-paramset-c”, “gost3410-256-paramset-d”, “gost3410-512-paramset-a”, “gost3410-512-paramset-b”, “gost3410-512-paramset-c” и “any” являются единственными допустимыми значениями.
key_usagearrayнетРазделенная запятыми строка или список использований ключа (не расширенных использований ключа). Допустимые значения можно найти на https://golang.org/pkg/crypto/x509/#KeyUsage - просто опустите часть имени “KeyUsage”. Чтобы исключить установку всех ключевых использований, установите это значение в пустой список. См. также RFC 5280 Раздел 4.2.1.3.
localityarrayнетЕсли установлено, Locality будет иметь это значение в сертификатах, выданных этой ролью.
max_ttlintegerнетМаксимально допустимая продолжительность аренды. Если не задано, по умолчанию используется системный максимальный TTL аренды.
no_storebooleanнетЕсли установлено, сертификаты, выпущенные/подписанные для этой роли, не будут храниться в бэкенде хранилища. Это может повысить производительность при выпуске большого количества сертификатов. Однако сертификаты, выпущенные таким образом, не могут быть перечислены или отозваны, поэтому эта опция рекомендуется только для сертификатов, которые не являются чувствительными или очень недолговечными. Эта опция подразумевает значение “false” для “generate_lease”.
not_afterstringнетУстанавливает в поле “Не после” сертификата указанное значение даты. Формат значения должен быть задан в формате UTC YYYY-MM-ddTHH:MM:SSZ.
not_before_durationintegerнетДлительность в секундах до настоящего момента, на которую требуется аннулировать сертификат.
organizationarrayнетЕсли установлено, O (Organization) будет иметь это значение в сертификатах, выданных этой ролью.
ouarrayнетЕсли установлено, OU (OrganizationalUnit) будет иметь это значение в сертификатах, выданных этой ролью.
policy_identifiersarrayнетСтрока или список OID политики, разделенные запятыми, или JSON-список квалифицированной информации о политике, который должен включать oid и может включать notice и/или cps url, используя форму [{“oid”=“1.3.6.1.4.1.7.8”, “notice”=“Я пользователь Notice”}, {“oid”=“1.3.6.1.4.1.44947.1.2.4 “, “cps”=“https://example.com”}].
postal_codearrayнетЕсли установлено, то в сертификатах, выданных этой ролью, почтовый индекс будет иметь это значение.
provincearrayнетЕсли установлено, то в сертификатах, выданных этой ролью, значение Province будет равно этому значению.
require_cnbooleanнетЕсли установлено значение false, поле ‘common_name’ становится необязательным при генерации сертификата.
server_flagboolean (default: True)нетЕсли установлено, сертификаты будут отмечены для использования серверного аутентификатора. По умолчанию установлено значение true. См. также RFC 5280, раздел 4.2.1.12.
signature_bitsintegerнетКоличество бит, используемых в алгоритме подписи; принимается 256 для SHA-2-256, 384 для SHA-2-384 и 512 для SHA-2-512. По умолчанию равно 0 для автоматического определения длины ключа (SHA-2-256 для ключей RSA и соответствие размеру кривой для P-кривых NIST).
single_valued_rdnsboolean (default: False)нетЕсли установлено значение true, каждое значение атрибута субъекта (Country, Organization, OU и т. д.) кодируется в сертификате как отдельный однозначный RDN. Это соответствует распространенной практике большинства центров сертификации (OpenSSL, Microsoft CA). Если false, все значения одного и того же типа атрибута группируются в один многозначный RDN.
street_addressarrayнетЕсли установлено, то в сертификатах, выданных этой ролью, будет установлено значение Street Address.
ttlintegerнетПродолжительность аренды (срок действия сертификата), если не запрашивается конкретная продолжительность аренды. Продолжительность аренды контролирует срок действия сертификатов, выпущенных этим бэкендом. По умолчанию соответствует системному значению по умолчанию или значению max_ttl, в зависимости от того, что меньше.
use_csr_common_namebooleanнетЕсли установлено, то при использовании с профилем подписи будет использоваться общее имя в CSR. Это *не* включает любые запрошенные альтернативные имена субъектов; для этого используйте use_csr_sans. По умолчанию установлено значение true.
use_csr_sansbooleanнетЕсли установлено, то при использовании с профилем подписи будут использоваться SAN в CSR. Это *не* включает общее имя (cn); для этого используйте use_csr_common_name. По умолчанию установлено значение true.
use_pssbooleanнетИспользовать или нет подписи PSS при использовании эмитента ключа типа RSA. По умолчанию имеет значение false.

POST /{pki_mount_path}/roles/{name}

ID операции: pki-write-role

Управление ролями, которые могут быть созданы с помощью этого бэкэнда.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаНазвание роли
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
allow_any_namebooleanнетЕсли установлено, клиенты могут запрашивать сертификаты для любого домена, независимо от ограничений allowed_domains. Дополнительные сведения см. в документации.
allow_bare_domainsbooleanнетЕсли установлено, клиенты могут запрашивать сертификаты для самих базовых доменов, например “example.com” из доменов, перечисленных в allowed_domains. Это отдельная опция, поскольку в некоторых случаях это может рассматриваться как угроза безопасности. Дополнительную информацию см. в документации.
allow_glob_domainsbooleanнетЕсли установлено, домены, указанные в allowed_domains, могут включать шаблоны glob в стиле shell, например, “ftp*.example.com”. Дополнительные сведения см. в документации.
allow_ip_sansboolean (default: True)нетЕсли установлено, разрешены альтернативные имена субъектов IP. Принимается любой действительный IP, проверка авторизации не производится.
allow_localhostboolean (default: True)нетРазрешать ли “localhost” и “localdomain” в качестве допустимого общего имени в запросе, независимо от значения allowed_domains.
allow_subdomainsbooleanнетЕсли установлено, клиенты могут запрашивать сертификаты для поддоменов доменов, перечисленных в allowed_domains, включая поддомены с подстановочными знаками. Дополнительную информацию см. в документации.
allow_wildcard_certificatesboolean (default: True)нетЕсли установлено, разрешается выдавать сертификаты с подстановочными знаками в общем имени, в соответствии с разделом 6.4.3 документа RFC 6125; например, “.example.net” или “bz.example.net”. Дополнительные сведения см. в документации.
allowed_domainsarrayнетУказывает домены, для которых этой роли разрешено выдавать сертификаты. Используется вместе с параметрами allow_bare_domains, allow_subdomains и allow_glob_domains для определения соответствия общего имени, записей SAN, типизированных для DNS, и записей SAN, типизированных для электронной почты, в сертификатах. Дополнительные сведения см. в документации. Этот параметр принимает строку или список доменов, разделенных запятыми.
allowed_domains_templateboolean (default: False)нетЕсли установлено, разрешенные домены могут быть указаны с помощью политик шаблонов идентификации. Домены без шаблонов также разрешены.
allowed_other_sansarrayнетЕсли установлено, то массив разрешенных других имен, которые можно поместить в SAN. Эти значения поддерживают globbing и должны быть в формате ;:. В настоящее время допустимым типом является только “utf8”. Все значения, включая globbing-значения, должны использовать этот синтаксис, за исключением одиночного “*”, который позволяет использовать любой OID и любое значение (но тип должен быть utf8).
allowed_serial_numbersarrayнетЕсли установлено, массив разрешенных серийных номеров, которые можно поместить в Subject. Эти значения поддерживают глобальный поиск.
allowed_uri_sansarrayнетЕсли задано, массив допустимых URI для альтернативных имен субъектов URI. Принимается любой допустимый URI, эти значения поддерживают глобализацию.
allowed_uri_sans_templateboolean (default: False)нетЕсли установлено, разрешенные URI SAN могут быть указаны с помощью политик шаблонов идентификации. Сети URI без шаблонов также разрешены.
allowed_user_idsarrayнетЕсли задано, то массив разрешенных идентификаторов пользователей, которые следует поместить в системный логин пользователя, указан здесь: https://www.rfc-editor.org/rfc/rfc1274#section-9.3.1
backendstringнетТип бэкэнда
basic_constraints_valid_for_non_cabooleanнетОтметьте основные ограничения, действующие при выдаче сертификатов не-CA.
client_flagboolean (default: True)нетЕсли установлено, сертификаты будут помечены для использования в качестве клиентского аутентификатора. По умолчанию установлено значение true. См. также RFC 5280, раздел 4.2.1.12.
cn_validationsarray (default: [’email’, ‘hostname’])нетСписок разрешенных проверок для поля Common Name. Значения могут включать ’email’ для проверки того, что CN является адресом электронной почты, ‘hostname’ для проверки того, что CN является действительным именем хоста (потенциально включая подстановочные знаки). Если указано несколько проверок, они принимают семантику OR (разрешены либо email, либо hostname). Специальное значение ‘disabled’ позволяет отключить все проверки имени CN, что позволяет использовать произвольные CN без имени хоста и адреса электронной почты.
code_signing_flagbooleanнетЕсли установлено, сертификаты будут помечены для использования в качестве подписи кода. По умолчанию установлено значение false. См. также RFC 5280, раздел 4.2.1.12.
countryarrayнетЕсли установлено, то в сертификатах, выданных этой ролью, значение Country будет равно этому значению.
email_protection_flagbooleanнетЕсли установлено, сертификаты будут отмечены для использования в целях защиты электронной почты. По умолчанию установлено значение false. См. также RFC 5280, раздел 4.2.1.12.
enforce_hostnamesboolean (default: True)нетЕсли установлено, то для CN и DNS SAN разрешены только действительные имена хостов, а также часть хоста в адресах электронной почты. По умолчанию установлено значение true.
ext_key_usagearray (default: [])нетСтрока или список расширенных применений ключей, разделенных запятыми. Допустимые значения можно найти по адресу https://golang.org/pkg/crypto/x509/#ExtKeyUsage - просто опустите часть имени “ExtKeyUsage”. Чтобы исключить установку всех ключевых использований, установите это значение в пустой список. См. также RFC 5280 Раздел 4.2.1.12.
ext_key_usage_oidsarrayнетСтрока или список расширенных идентификаторов использования ключей, разделенных запятыми.
generate_leasebooleanнетЕсли установлено, сертификаты, выпущенные/подписанные под этой ролью, будут иметь привязку к аренде Vault. По умолчанию установлено значение “false”. Сертификаты могут быть добавлены в CRL командой “vault revoke <lease_id>”, если сертификаты связаны с арендами. Это также можно сделать с помощью конечной точки “pki/revoke”. Однако, когда генерация аренд отключена, вызов “pki/revoke” будет единственным способом добавить сертификаты в CRL. Если генерируется большое количество сертификатов с длительным сроком действия, рекомендуется отключить генерацию аренды, так как большое количество аренд негативно влияет на время запуска Vault.
issuer_refstring (default: default)нетСсылка на эмитента, используемого для подписи запросов, обслуживаемых этой ролью.
key_bitsinteger (default: 0)нетКоличество используемых битов. Допустимые значения: 0 (универсальное значение по умолчанию); с rsa key_type: 2048 (по умолчанию), 3072 или 4096; с ec key_type: 224, 256 (по умолчанию), 384 или 521; игнорируется с ed25519.
key_typestring (rsa, ec, ed25519, gost3410-256-paramset-a, gost3410-256-paramset-b, gost3410-256-paramset-c, gost3410-256-paramset-d, gost3410-512-paramset-a, gost3410-512-paramset-b, gost3410-512-paramset-c, any) (default: rsa)нетТип ключа для использования; по умолчанию RSA. “rsa” “ec”, “ed25519”, “gost3410-256-paramset-a”, “gost3410-256-paramset-b”, “gost3410-256-paramset-c”, “gost3410-256-paramset-d”, “gost3410-512-paramset-a”, “gost3410-512-paramset-b”, “gost3410-512-paramset-c” и “any” являются единственными допустимыми значениями.
key_usagearray (default: [‘DigitalSignature’, ‘KeyAgreement’, ‘KeyEncipherment’])нетРазделенная запятыми строка или список использований ключа (не расширенных использований ключа). Допустимые значения можно найти на https://golang.org/pkg/crypto/x509/#KeyUsage - просто опустите часть имени “KeyUsage”. Чтобы исключить установку всех ключевых использований, установите это значение в пустой список. См. также RFC 5280 Раздел 4.2.1.3.
localityarrayнетЕсли установлено, Locality будет иметь это значение в сертификатах, выданных этой ролью.
max_ttlintegerнетМаксимально допустимая продолжительность аренды. Если не задано, по умолчанию используется системный максимальный TTL аренды.
no_storebooleanнетЕсли установлено, сертификаты, выпущенные/подписанные для этой роли, не будут храниться в бэкенде хранилища. Это может повысить производительность при выпуске большого количества сертификатов. Однако сертификаты, выпущенные таким образом, не могут быть перечислены или отозваны, поэтому эта опция рекомендуется только для сертификатов, которые не являются чувствительными или очень недолговечными. Эта опция подразумевает значение “false” для “generate_lease”.
not_afterstringнетУстанавливает в поле “Не после” сертификата указанное значение даты. Формат значения должен быть задан в формате UTC YYYY-MM-ddTHH:MM:SSZ.
not_before_durationinteger (default: 30)нетСрок, на который необходимо продлить срок действия сертификата.
organizationarrayнетЕсли установлено, O (Organization) будет иметь это значение в сертификатах, выданных этой ролью.
ouarrayнетЕсли установлено, OU (OrganizationalUnit) будет иметь это значение в сертификатах, выданных этой ролью.
policy_identifiersarrayнетСтрока или список OID политики, разделенные запятыми, или JSON-список квалифицированной информации о политике, который должен включать oid и может включать notice и/или cps url, используя форму [{“oid”=“1.3.6.1.4.1.7.8”, “notice”=“Я пользователь Notice”}, {“oid”=“1.3.6.1.4.1.44947.1.2.4 “, “cps”=“https://example.com”}].
postal_codearrayнетЕсли установлено, то в сертификатах, выданных этой ролью, почтовый индекс будет иметь это значение.
provincearrayнетЕсли установлено, то в сертификатах, выданных этой ролью, значение Province будет равно этому значению.
require_cnboolean (default: True)нетЕсли установлено значение false, поле ‘common_name’ становится необязательным при генерации сертификата.
server_flagboolean (default: True)нетЕсли установлено, сертификаты будут отмечены для использования серверного аутентификатора. По умолчанию установлено значение true. См. также RFC 5280, раздел 4.2.1.12.
signature_bitsinteger (default: 0)нетКоличество бит, используемых в алгоритме подписи; принимается 256 для SHA-2-256, 384 для SHA-2-384 и 512 для SHA-2-512. По умолчанию равно 0 для автоматического определения длины ключа (SHA-2-256 для ключей RSA и соответствие размеру кривой для P-кривых NIST).
single_valued_rdnsboolean (default: False)нетЕсли установлено значение true, каждое значение атрибута субъекта (Country, Organization, OU и т. д.) кодируется в сертификате как отдельный однозначный RDN. Это соответствует распространенной практике большинства центров сертификации (OpenSSL, Microsoft CA). Если false, все значения одного и того же типа атрибута группируются в один многозначный RDN.
street_addressarrayнетЕсли установлено, то в сертификатах, выданных этой ролью, будет установлено значение Street Address.
ttlintegerнетПродолжительность аренды (срок действия сертификата), если не запрашивается конкретная продолжительность аренды. Продолжительность аренды контролирует срок действия сертификатов, выпущенных этим бэкендом. По умолчанию соответствует системному значению по умолчанию или значению max_ttl, в зависимости от того, что меньше.
use_csr_common_nameboolean (default: True)нетЕсли установлено, то при использовании с профилем подписи будет использоваться общее имя в CSR. Это *не* включает любые запрошенные альтернативные имена субъектов; для этого используйте use_csr_sans. По умолчанию установлено значение true.
use_csr_sansboolean (default: True)нетЕсли установлено, то при использовании с профилем подписи будут использоваться SAN в CSR. Это *не* включает общее имя (cn); для этого используйте use_csr_common_name. По умолчанию установлено значение true.
use_pssboolean (default: False)нетИспользовать или нет подписи PSS при использовании эмитента ключа типа RSA. По умолчанию имеет значение false.

Ответы

200: OK

ПараметрТипОбязательныйОписание
allow_any_namebooleanнетЕсли установлено, клиенты могут запрашивать сертификаты для любого домена, независимо от ограничений allowed_domains. Дополнительные сведения см. в документации.
allow_bare_domainsbooleanнетЕсли установлено, клиенты могут запрашивать сертификаты для самих базовых доменов, например “example.com” из доменов, перечисленных в allowed_domains. Это отдельная опция, поскольку в некоторых случаях это может рассматриваться как угроза безопасности. Дополнительную информацию см. в документации.
allow_glob_domainsbooleanнетЕсли установлено, домены, указанные в allowed_domains, могут включать шаблоны glob в стиле shell, например, “ftp*.example.com”. Дополнительные сведения см. в документации.
allow_ip_sansbooleanнетЕсли установлено, разрешены альтернативные имена субъектов IP. Принимается любой действительный IP, проверка авторизации не производится.
allow_localhostbooleanнетРазрешать ли “localhost” и “localdomain” в качестве допустимого общего имени в запросе, независимо от значения allowed_domains.
allow_subdomainsbooleanнетЕсли установлено, клиенты могут запрашивать сертификаты для поддоменов доменов, перечисленных в allowed_domains, включая поддомены с подстановочными знаками. Дополнительную информацию см. в документации.
allow_token_displaynamebooleanнетРазрешать ли “localhost” и “localdomain” в качестве допустимого общего имени в запросе, независимо от значения allowed_domains.
allow_wildcard_certificatesbooleanнетЕсли установлено, разрешается выдавать сертификаты с подстановочными знаками в общем имени, в соответствии с разделом 6.4.3 документа RFC 6125; например, “.example.net” или “bz.example.net”. Дополнительные сведения см. в документации.
allowed_domainsarrayнетУказывает домены, для которых этой роли разрешено выдавать сертификаты. Используется вместе с параметрами allow_bare_domains, allow_subdomains и allow_glob_domains для определения соответствия общего имени, записей SAN, типизированных для DNS, и записей SAN, типизированных для электронной почты, в сертификатах. Дополнительные сведения см. в документации. Этот параметр принимает строку или список доменов, разделенных запятыми.
allowed_domains_templatebooleanнетЕсли установлено, разрешенные домены могут быть указаны с помощью политик шаблонов идентификации. Домены без шаблонов также разрешены.
allowed_other_sansarrayнетЕсли установлено, то массив разрешенных других имен, которые можно поместить в SAN. Эти значения поддерживают globbing и должны быть в формате ;:. В настоящее время допустимым типом является только “utf8”. Все значения, включая globbing-значения, должны использовать этот синтаксис, за исключением одиночного “*”, который позволяет использовать любой OID и любое значение (но тип должен быть utf8).
allowed_serial_numbersarrayнетЕсли установлено, массив разрешенных серийных номеров, которые можно поместить в Subject. Эти значения поддерживают глобальный поиск.
allowed_uri_sansarrayнетЕсли задано, массив допустимых URI для альтернативных имен субъектов URI. Принимается любой допустимый URI, эти значения поддерживают глобализацию.
allowed_uri_sans_templatebooleanнетЕсли установлено, разрешенные URI SAN могут быть указаны с помощью политик шаблонов идентификации. Сети URI без шаблонов также разрешены.
allowed_user_idsarrayнетЕсли задано, то массив разрешенных идентификаторов пользователей, которые следует поместить в системный логин пользователя, указан здесь: https://www.rfc-editor.org/rfc/rfc1274#section-9.3.1
basic_constraints_valid_for_non_cabooleanнетОтметьте основные ограничения, действующие при выдаче сертификатов не-CA.
client_flagbooleanнетЕсли установлено, сертификаты будут помечены для использования в качестве клиентского аутентификатора. По умолчанию установлено значение true. См. также RFC 5280, раздел 4.2.1.12.
cn_validationsarrayнетСписок разрешенных проверок для поля Common Name. Значения могут включать ’email’ для проверки того, что CN является адресом электронной почты, ‘hostname’ для проверки того, что CN является действительным именем хоста (потенциально включая подстановочные знаки). Если указано несколько проверок, они принимают семантику OR (разрешены либо email, либо hostname). Специальное значение ‘disabled’ позволяет отключить все проверки имени CN, что позволяет использовать произвольные CN без имени хоста и адреса электронной почты.
code_signing_flagbooleanнетЕсли установлено, сертификаты будут помечены для использования в качестве подписи кода. По умолчанию установлено значение false. См. также RFC 5280, раздел 4.2.1.12.
countryarrayнетЕсли установлено, то в сертификатах, выданных этой ролью, значение Country будет равно этому значению.
email_protection_flagbooleanнетЕсли установлено, сертификаты будут отмечены для использования в целях защиты электронной почты. По умолчанию установлено значение false. См. также RFC 5280, раздел 4.2.1.12.
enforce_hostnamesbooleanнетЕсли установлено, то для CN и DNS SAN разрешены только действительные имена хостов, а также часть хоста в адресах электронной почты. По умолчанию установлено значение true.
ext_key_usagearrayнетСтрока или список расширенных применений ключей, разделенных запятыми. Допустимые значения можно найти по адресу https://golang.org/pkg/crypto/x509/#ExtKeyUsage - просто опустите часть имени “ExtKeyUsage”. Чтобы исключить установку всех ключевых использований, установите это значение в пустой список. См. также RFC 5280 Раздел 4.2.1.12.
ext_key_usage_oidsarrayнетСтрока или список расширенных идентификаторов использования ключей, разделенных запятыми.
generate_leasebooleanнетЕсли установлено, сертификаты, выпущенные/подписанные под этой ролью, будут иметь привязку к аренде Vault. По умолчанию установлено значение “false”. Сертификаты могут быть добавлены в CRL командой “vault revoke <lease_id>”, если сертификаты связаны с арендами. Это также можно сделать с помощью конечной точки “pki/revoke”. Однако, когда генерация аренд отключена, вызов “pki/revoke” будет единственным способом добавить сертификаты в CRL. Если генерируется большое количество сертификатов с длительным сроком действия, рекомендуется отключить генерацию аренды, так как большое количество аренд негативно влияет на время запуска Vault.
issuer_refstringнетСсылка на эмитента, используемого для подписи запросов, обслуживаемых этой ролью.
key_bitsintegerнетКоличество используемых битов. Допустимые значения: 0 (универсальное значение по умолчанию); с rsa key_type: 2048 (по умолчанию), 3072 или 4096; с ec key_type: 224, 256 (по умолчанию), 384 или 521; игнорируется с ed25519.
key_typestringнетТип ключа для использования; по умолчанию RSA. “rsa” “ec”, “ed25519”, “gost3410-256-paramset-a”, “gost3410-256-paramset-b”, “gost3410-256-paramset-c”, “gost3410-256-paramset-d”, “gost3410-512-paramset-a”, “gost3410-512-paramset-b”, “gost3410-512-paramset-c” и “any” являются единственными допустимыми значениями.
key_usagearrayнетРазделенная запятыми строка или список использований ключа (не расширенных использований ключа). Допустимые значения можно найти на https://golang.org/pkg/crypto/x509/#KeyUsage - просто опустите часть имени “KeyUsage”. Чтобы исключить установку всех ключевых использований, установите это значение в пустой список. См. также RFC 5280 Раздел 4.2.1.3.
localityarrayнетЕсли установлено, Locality будет иметь это значение в сертификатах, выданных этой ролью.
max_ttlintegerнетМаксимально допустимая продолжительность аренды. Если не задано, по умолчанию используется системный максимальный TTL аренды.
no_storebooleanнетЕсли установлено, сертификаты, выпущенные/подписанные для этой роли, не будут храниться в бэкенде хранилища. Это может повысить производительность при выпуске большого количества сертификатов. Однако сертификаты, выпущенные таким образом, не могут быть перечислены или отозваны, поэтому эта опция рекомендуется только для сертификатов, которые не являются чувствительными или очень недолговечными. Эта опция подразумевает значение “false” для “generate_lease”.
not_afterstringнетУстанавливает в поле “Не после” сертификата указанное значение даты. Формат значения должен быть задан в формате UTC YYYY-MM-ddTHH:MM:SSZ.
not_before_durationintegerнетДлительность в секундах до настоящего момента, на которую требуется аннулировать сертификат.
organizationarrayнетЕсли установлено, O (Organization) будет иметь это значение в сертификатах, выданных этой ролью.
ouarrayнетЕсли установлено, OU (OrganizationalUnit) будет иметь это значение в сертификатах, выданных этой ролью.
policy_identifiersarrayнетСтрока или список OID политики, разделенные запятыми, или JSON-список квалифицированной информации о политике, который должен включать oid и может включать notice и/или cps url, используя форму [{“oid”=“1.3.6.1.4.1.7.8”, “notice”=“Я пользователь Notice”}, {“oid”=“1.3.6.1.4.1.44947.1.2.4 “, “cps”=“https://example.com”}].
postal_codearrayнетЕсли установлено, то в сертификатах, выданных этой ролью, почтовый индекс будет иметь это значение.
provincearrayнетЕсли установлено, то в сертификатах, выданных этой ролью, значение Province будет равно этому значению.
require_cnbooleanнетЕсли установлено значение false, поле ‘common_name’ становится необязательным при генерации сертификата.
server_flagboolean (default: True)нетЕсли установлено, сертификаты будут отмечены для использования серверного аутентификатора. По умолчанию установлено значение true. См. также RFC 5280, раздел 4.2.1.12.
signature_bitsintegerнетКоличество бит, используемых в алгоритме подписи; принимается 256 для SHA-2-256, 384 для SHA-2-384 и 512 для SHA-2-512. По умолчанию равно 0 для автоматического определения длины ключа (SHA-2-256 для ключей RSA и соответствие размеру кривой для P-кривых NIST).
single_valued_rdnsboolean (default: False)нетЕсли установлено значение true, каждое значение атрибута субъекта (Country, Organization, OU и т. д.) кодируется в сертификате как отдельный однозначный RDN. Это соответствует распространенной практике большинства центров сертификации (OpenSSL, Microsoft CA). Если false, все значения одного и того же типа атрибута группируются в один многозначный RDN.
street_addressarrayнетЕсли установлено, то в сертификатах, выданных этой ролью, будет установлено значение Street Address.
ttlintegerнетПродолжительность аренды (срок действия сертификата), если не запрашивается конкретная продолжительность аренды. Продолжительность аренды контролирует срок действия сертификатов, выпущенных этим бэкендом. По умолчанию соответствует системному значению по умолчанию или значению max_ttl, в зависимости от того, что меньше.
use_csr_common_namebooleanнетЕсли установлено, то при использовании с профилем подписи будет использоваться общее имя в CSR. Это *не* включает любые запрошенные альтернативные имена субъектов; для этого используйте use_csr_sans. По умолчанию установлено значение true.
use_csr_sansbooleanнетЕсли установлено, то при использовании с профилем подписи будут использоваться SAN в CSR. Это *не* включает общее имя (cn); для этого используйте use_csr_common_name. По умолчанию установлено значение true.
use_pssbooleanнетИспользовать или нет подписи PSS при использовании эмитента ключа типа RSA. По умолчанию имеет значение false.

DELETE /{pki_mount_path}/roles/{name}

ID операции: pki-delete-role

Управление ролями, которые могут быть созданы с помощью этого бэкэнда.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаНазвание роли
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

204: No Content

POST /{pki_mount_path}/roles/{role}/acme/account/{kid}

ID операции: pki-write-roles-role-acme-account-kid

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
kidstringpathдаИдентификатор ключа, предоставленный центром сертификации
rolestringpathдаЖелаемая роль для запроса acme
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

POST /{pki_mount_path}/roles/{role}/acme/authorization/{auth_id}

ID операции: pki-write-roles-role-acme-authorization-auth_id

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
auth_idstringpathдаЗначение идентификатора авторизации ACME
rolestringpathдаЖелаемая роль для запроса acme
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

POST /{pki_mount_path}/roles/{role}/acme/challenge/{auth_id}/{challenge_type}

ID операции: pki-write-roles-role-acme-challenge-auth_id-challenge_type

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
auth_idstringpathдаЗначение идентификатора авторизации ACME
challenge_typestringpathдаТип вызова ACME
rolestringpathдаЖелаемая роль для запроса acme
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

GET /{pki_mount_path}/roles/{role}/acme/directory

ID операции: pki-read-roles-role-acme-directory

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
rolestringpathдаЖелаемая роль для запроса acme
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

POST /{pki_mount_path}/roles/{role}/acme/new-account

ID операции: pki-write-roles-role-acme-new-account

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
rolestringpathдаЖелаемая роль для запроса acme
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

POST /{pki_mount_path}/roles/{role}/acme/new-eab

ID операции: pki-generate-eab-key-for-role

Создает привязки внешней учетной записи для использования в ACME

Параметры

ПараметрТипРасположениеОбязательныйОписание
rolestringpathдаЖелаемая роль для запроса acme
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
acme_directorystringнетКаталог ACME, которому принадлежит ключ
created_onstringнетДата и время в формате RFC3339, когда был создан EAB токен
idstringнетИдентификатор ключа EAB
keystringнетКлюч EAB hmac
key_typestringнетТип ключа EAB

GET /{pki_mount_path}/roles/{role}/acme/new-nonce

ID операции: pki-read-roles-role-acme-new-nonce

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
rolestringpathдаЖелаемая роль для запроса acme
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

POST /{pki_mount_path}/roles/{role}/acme/new-order

ID операции: pki-write-roles-role-acme-new-order

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
rolestringpathдаЖелаемая роль для запроса acme
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

POST /{pki_mount_path}/roles/{role}/acme/order/{order_id}

ID операции: pki-write-roles-role-acme-order-order_id

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
order_idstringpathдаИдентификатор заказа ACME для получения
rolestringpathдаЖелаемая роль для запроса acme
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

POST /{pki_mount_path}/roles/{role}/acme/order/{order_id}/cert

ID операции: pki-write-roles-role-acme-order-order_id-cert

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
order_idstringpathдаИдентификатор заказа ACME для получения
rolestringpathдаЖелаемая роль для запроса acme
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

POST /{pki_mount_path}/roles/{role}/acme/order/{order_id}/finalize

ID операции: pki-write-roles-role-acme-order-order_id-finalize

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
order_idstringpathдаИдентификатор заказа ACME для получения
rolestringpathдаЖелаемая роль для запроса acme
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

POST /{pki_mount_path}/roles/{role}/acme/orders

ID операции: pki-write-roles-role-acme-orders

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
rolestringpathдаЖелаемая роль для запроса acme
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

POST /{pki_mount_path}/roles/{role}/acme/revoke-cert

ID операции: pki-write-roles-role-acme-revoke-cert

Конечная точка, реализующая стандартный протокол ACME

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
rolestringpathдаЖелаемая роль для запроса acme
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
payloadstringнетЗначение ‘полезной нагрузки’ запроса ACME
protectedstringнетACME запрос ‘защищенного’ значения
signaturestringнетЗначение “подписи” запроса ACME

Ответы

200: OK

DELETE /{pki_mount_path}/root

ID операции: pki-delete-root

Удаляет ключ корневого центра сертификации, чтобы можно было создать новый.

Требует sudo: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

POST /{pki_mount_path}/root/generate/{exported}

ID операции: pki-generate-root

Создает новый сертификат CA и закрытый ключ, используемые для подписи.

Параметры

ПараметрТипРасположениеОбязательныйОписание
exportedstring (internal, exported, kms)pathдаДолжно быть “internal”, “exported” или “kms”. Если установлено значение “exported”, будет возвращен сгенерированный закрытый ключ. Это ваш единственный шанс получить закрытый ключ!
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
alt_namesstringнетЗапрашиваемые альтернативные имена субъектов, если таковые имеются, в виде списка, разделенного запятыми. Может содержать как DNS-имена, так и адреса электронной почты.
common_namestringнетЗапрашиваемое общее имя; если вам нужно несколько, укажите альтернативные имена в карте alt_names. Если не указано при подписании, общее имя будет взято из CSR; другие имена все равно должны быть указаны в alt_names или ip_sans.
countryarrayнетЕсли установлено, то для параметра Страна будет задано это значение.
exclude_cn_from_sansboolean (default: False)нетЕсли установлено значение true, общее имя не будет включаться в альтернативные имена DNS или темы электронной почты. По умолчанию значение false (CN включается).
formatstring (pem, der, pem_bundle) (default: pem)нетФормат возвращаемых данных. Может быть “pem”, “der” или “pem_bundle”. Если “pem_bundle”, то закрытый ключ и сертификат-эмитент будут добавлены к сертификату pem. Если “der”, то значение будет закодировано в base64. По умолчанию используется значение “pem”.
ip_sansarrayнетЗапрашиваемые IP SAN, если таковые имеются, в виде списка, разделенного запятыми
issuer_namestringнетУкажите имя создаваемого или существующего эмитента; имя должно быть уникальным для всех эмитентов и не должно быть зарезервированным значением ‘default’.
key_bitsinteger (default: 0)нетКоличество используемых битов. Допустимые значения: 0 (универсальное значение по умолчанию); с rsa key_type: 2048 (по умолчанию), 3072 или 4096; с ec key_type: 224, 256 (по умолчанию), 384 или 521; игнорируется с ed25519.
key_namestringнетУкажите имя сгенерированного или существующего ключа; имя должно быть уникальным для всех ключей и не должно быть зарезервированным значением ‘default’.
key_refstring (default: default)нетСсылка на существующий ключ; либо “default” для настроенного ключа по умолчанию, либо идентификатор или имя, присвоенное ключу.
key_typestring (rsa, ec, ed25519, gost3410-256-paramset-a, gost3410-256-paramset-b, gost3410-256-paramset-c, gost3410-256-paramset-d, gost3410-512-paramset-a, gost3410-512-paramset-b, gost3410-512-paramset-c) (default: rsa)нетТип ключа для использования; по умолчанию RSA. “rsa” “ec”, “ed25519”, “gost3410-256-paramset-a”, “gost3410-256-paramset-b”, “gost3410-256-paramset-c”, “gost3410-256-paramset-d”, “gost3410-512-paramset-a”, “gost3410-512-paramset-b”, “gost3410-512-paramset-c” являются единственными допустимыми значениями.
localityarrayнетЕсли установлено, то значение Locality будет установлено на это значение.
managed_key_idstringнетИмя управляемого ключа, используемого, когда экспортируемый тип - kms. Если тип kms является типом ключа, это поле или managed_key_name является обязательным. Игнорируется для других типов.
managed_key_namestringнетИмя управляемого ключа, используемого, когда экспортируемый тип - kms. Если тип kms является типом ключа, требуется это поле или managed_key_id. Игнорируется для других типов.
max_path_lengthinteger (default: -1)нетМаксимально допустимая длина пути
not_afterstringнетУстанавливает в поле “Не после” сертификата указанное значение даты. Формат значения должен быть задан в формате UTC YYYY-MM-ddTHH:MM:SSZ
not_before_durationinteger (default: 30)нетСрок, на который необходимо продлить срок действия сертификата.
organizationarrayнетЕсли установлено, для O (Организация) будет использовано это значение.
other_sansarrayнетЗапрошенные другие SAN, в массиве с форматом ;UTF8: для каждой записи.
ouarrayнетЕсли установлено, для OU (OrganizationalUnit) будет использовано это значение.
permitted_dns_domainsarrayнетДомены, для которых данному сертификату разрешено подписывать или выпускать дочерние сертификаты. Если установлено, все DNS-имена (subject и alt) в дочерних сертификатах должны быть точными совпадениями или подмножествами указанных доменов (см. https://tools.ietf.org/html/rfc5280#section-4.2.1.10).
postal_codearrayнетЕсли установлено, то для почтового индекса будет использовано это значение.
private_key_formatstring (, der, pem, pkcs8) (default: der)нетФормат возвращаемого закрытого ключа. Обычно по умолчанию параметр “format” определяет формат либо base64-кодированного DER, либо PEM-кодированного DER. Однако можно задать значение “pkcs8”, чтобы возвращаемый закрытый ключ содержал base64-кодировку pkcs8 или PEM-кодировку pkcs8. По умолчанию используется значение “der”.
provincearrayнетЕсли установлено, для Province будет использовано это значение.
serial_numberstringнетЗапрашиваемый серийный номер субъекта, если таковой имеется. Описание этого поля см. в RFC 4519 Раздел 2.31 ‘serialNumber’. Если вам нужно более одного, укажите альтернативные имена в карте alt_names, используя OID 2.5.4.5. Это не влияет на поле серийного номера финального сертификата.
signature_bitsinteger (default: 0)нетКоличество бит, используемых в алгоритме подписи; принимается 256 для SHA-2-256, 384 для SHA-2-384 и 512 для SHA-2-512. По умолчанию равно 0 для автоматического определения длины ключа (SHA-2-256 для ключей RSA и соответствие размеру кривой для P-кривых NIST).
street_addressarrayнетЕсли установлено, то для адреса улицы будет задано это значение.
ttlintegerнетЗапрашиваемое время жизни сертификата; устанавливает дату истечения срока действия. Если не указано, используется TTL по умолчанию роли, по умолчанию бэкенда или по умолчанию системы, в этом порядке. Не может быть больше, чем mount max TTL. Примечание: это имеет значение только при генерации сертификата ЦС или подписании сертификата ЦС, но не при генерации CSR для промежуточного ЦС.
uri_sansarrayнетЗапрашиваемые URI SAN, если таковые имеются, в виде списка, разделенного запятыми.
use_pssboolean (default: False)нетИспользовать или нет подписи PSS при использовании эмитента ключа типа RSA. По умолчанию имеет значение false.

Ответы

200: OK

ПараметрТипОбязательныйОписание
certificatestringнетСгенерированный самозаверенный сертификат CA.
expirationintegerнетИстечение срока действия указанного издателя.
issuer_idstringнетИдентификатор издателя
issuer_namestringнетИмя издателя.
issuing_castringнетВыдающий центр сертификации.
key_idstringнетИдентификатор ключа.
key_namestringнетИмя ключа, если указано.
private_keystringнетЗакрытый ключ, если экспортируется, был указан.
serial_numberstringнетЗапрошенный серийный номер именованного субъекта.

POST /{pki_mount_path}/root/replace

ID операции: pki-replace-root

Считывание и установка сертификата эмитента по умолчанию для подписи.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
defaultstring (default: next)нетСсылка (имя или идентификатор) на эмитента по умолчанию.

Ответы

200: OK

ПараметрТипОбязательныйОписание
defaultstringнетСсылка (имя или идентификатор) на эмитента по умолчанию.
default_follows_latest_issuerbooleanнетДолжен ли эмитент по умолчанию автоматически следовать последнему сгенерированному или импортированному эмитенту. По умолчанию имеет значение false.

POST /{pki_mount_path}/root/rotate/{exported}

ID операции: pki-rotate-root

Создает новый сертификат CA и закрытый ключ, используемые для подписи.

Параметры

ПараметрТипРасположениеОбязательныйОписание
exportedstring (internal, exported, kms)pathдаДолжно быть “internal”, “exported” или “kms”. Если установлено значение “exported”, будет возвращен сгенерированный закрытый ключ. Это ваш единственный шанс получить закрытый ключ!
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
alt_namesstringнетЗапрашиваемые альтернативные имена субъектов, если таковые имеются, в виде списка, разделенного запятыми. Может содержать как DNS-имена, так и адреса электронной почты.
common_namestringнетЗапрашиваемое общее имя; если вам нужно несколько, укажите альтернативные имена в карте alt_names. Если не указано при подписании, общее имя будет взято из CSR; другие имена все равно должны быть указаны в alt_names или ip_sans.
countryarrayнетЕсли установлено, то для параметра Страна будет задано это значение.
exclude_cn_from_sansboolean (default: False)нетЕсли установлено значение true, общее имя не будет включаться в альтернативные имена DNS или темы электронной почты. По умолчанию значение false (CN включается).
formatstring (pem, der, pem_bundle) (default: pem)нетФормат возвращаемых данных. Может быть “pem”, “der” или “pem_bundle”. Если “pem_bundle”, то закрытый ключ и сертификат-эмитент будут добавлены к сертификату pem. Если “der”, то значение будет закодировано в base64. По умолчанию используется значение “pem”.
ip_sansarrayнетЗапрашиваемые IP SAN, если таковые имеются, в виде списка, разделенного запятыми
issuer_namestringнетУкажите имя создаваемого или существующего эмитента; имя должно быть уникальным для всех эмитентов и не должно быть зарезервированным значением ‘default’.
key_bitsinteger (default: 0)нетКоличество используемых битов. Допустимые значения: 0 (универсальное значение по умолчанию); с rsa key_type: 2048 (по умолчанию), 3072 или 4096; с ec key_type: 224, 256 (по умолчанию), 384 или 521; игнорируется с ed25519.
key_namestringнетУкажите имя сгенерированного или существующего ключа; имя должно быть уникальным для всех ключей и не должно быть зарезервированным значением ‘default’.
key_refstring (default: default)нетСсылка на существующий ключ; либо “default” для настроенного ключа по умолчанию, либо идентификатор или имя, присвоенное ключу.
key_typestring (rsa, ec, ed25519, gost3410-256-paramset-a, gost3410-256-paramset-b, gost3410-256-paramset-c, gost3410-256-paramset-d, gost3410-512-paramset-a, gost3410-512-paramset-b, gost3410-512-paramset-c) (default: rsa)нетТип ключа для использования; по умолчанию RSA. “rsa” “ec”, “ed25519”, “gost3410-256-paramset-a”, “gost3410-256-paramset-b”, “gost3410-256-paramset-c”, “gost3410-256-paramset-d”, “gost3410-512-paramset-a”, “gost3410-512-paramset-b”, “gost3410-512-paramset-c” являются единственными допустимыми значениями.
localityarrayнетЕсли установлено, то значение Locality будет установлено на это значение.
managed_key_idstringнетИмя управляемого ключа, используемого, когда экспортируемый тип - kms. Если тип kms является типом ключа, это поле или managed_key_name является обязательным. Игнорируется для других типов.
managed_key_namestringнетИмя управляемого ключа, используемого, когда экспортируемый тип - kms. Если тип kms является типом ключа, требуется это поле или managed_key_id. Игнорируется для других типов.
max_path_lengthinteger (default: -1)нетМаксимально допустимая длина пути
not_afterstringнетУстанавливает в поле “Не после” сертификата указанное значение даты. Формат значения должен быть задан в формате UTC YYYY-MM-ddTHH:MM:SSZ
not_before_durationinteger (default: 30)нетСрок, на который необходимо продлить срок действия сертификата.
organizationarrayнетЕсли установлено, для O (Организация) будет использовано это значение.
other_sansarrayнетЗапрошенные другие SAN, в массиве с форматом ;UTF8: для каждой записи.
ouarrayнетЕсли установлено, для OU (OrganizationalUnit) будет использовано это значение.
permitted_dns_domainsarrayнетДомены, для которых данному сертификату разрешено подписывать или выпускать дочерние сертификаты. Если установлено, все DNS-имена (subject и alt) в дочерних сертификатах должны быть точными совпадениями или подмножествами указанных доменов (см. https://tools.ietf.org/html/rfc5280#section-4.2.1.10).
postal_codearrayнетЕсли установлено, то для почтового индекса будет использовано это значение.
private_key_formatstring (, der, pem, pkcs8) (default: der)нетФормат возвращаемого закрытого ключа. Обычно по умолчанию параметр “format” определяет формат либо base64-кодированного DER, либо PEM-кодированного DER. Однако можно задать значение “pkcs8”, чтобы возвращаемый закрытый ключ содержал base64-кодировку pkcs8 или PEM-кодировку pkcs8. По умолчанию используется значение “der”.
provincearrayнетЕсли установлено, для Province будет использовано это значение.
serial_numberstringнетЗапрашиваемый серийный номер субъекта, если таковой имеется. Описание этого поля см. в RFC 4519 Раздел 2.31 ‘serialNumber’. Если вам нужно более одного, укажите альтернативные имена в карте alt_names, используя OID 2.5.4.5. Это не влияет на поле серийного номера финального сертификата.
signature_bitsinteger (default: 0)нетКоличество бит, используемых в алгоритме подписи; принимается 256 для SHA-2-256, 384 для SHA-2-384 и 512 для SHA-2-512. По умолчанию равно 0 для автоматического определения длины ключа (SHA-2-256 для ключей RSA и соответствие размеру кривой для P-кривых NIST).
street_addressarrayнетЕсли установлено, то для адреса улицы будет задано это значение.
ttlintegerнетЗапрашиваемое время жизни сертификата; устанавливает дату истечения срока действия. Если не указано, используется TTL по умолчанию роли, по умолчанию бэкенда или по умолчанию системы, в этом порядке. Не может быть больше, чем mount max TTL. Примечание: это имеет значение только при генерации сертификата ЦС или подписании сертификата ЦС, но не при генерации CSR для промежуточного ЦС.
uri_sansarrayнетЗапрашиваемые URI SAN, если таковые имеются, в виде списка, разделенного запятыми.
use_pssboolean (default: False)нетИспользовать или нет подписи PSS при использовании эмитента ключа типа RSA. По умолчанию имеет значение false.

Ответы

200: OK

ПараметрТипОбязательныйОписание
certificatestringнетСгенерированный самозаверенный сертификат CA.
expirationintegerнетИстечение срока действия указанного издателя.
issuer_idstringнетИдентификатор издателя
issuer_namestringнетИмя издателя.
issuing_castringнетВыдающий центр сертификации.
key_idstringнетИдентификатор ключа.
key_namestringнетИмя ключа, если указано.
private_keystringнетЗакрытый ключ, если экспортируется, был указан.
serial_numberstringнетЗапрошенный серийный номер именованного субъекта.

POST /{pki_mount_path}/root/sign-intermediate

ID операции: pki-root-sign-intermediate

Выпустить промежуточный сертификат CA на основе предоставленного CSR.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
alt_namesstringнетЗапрашиваемые альтернативные имена субъектов, если таковые имеются, в виде списка, разделенного запятыми. Может содержать как DNS-имена, так и адреса электронной почты.
common_namestringнетЗапрашиваемое общее имя; если вам нужно несколько, укажите альтернативные имена в карте alt_names. Если не указано при подписании, общее имя будет взято из CSR; другие имена все равно должны быть указаны в alt_names или ip_sans.
countryarrayнетЕсли установлено, то для параметра Страна будет задано это значение.
csrstring (default: )нетПодписываемый CSR в формате PEM.
exclude_cn_from_sansboolean (default: False)нетЕсли установлено значение true, общее имя не будет включаться в альтернативные имена DNS или темы электронной почты. По умолчанию значение false (CN включается).
formatstring (pem, der, pem_bundle) (default: pem)нетФормат возвращаемых данных. Может быть “pem”, “der” или “pem_bundle”. Если “pem_bundle”, то закрытый ключ и сертификат-эмитент будут добавлены к сертификату pem. Если “der”, то значение будет закодировано в base64. По умолчанию используется значение “pem”.
ip_sansarrayнетЗапрашиваемые IP SAN, если таковые имеются, в виде списка, разделенного запятыми
issuer_namestringнетУкажите имя создаваемого или существующего эмитента; имя должно быть уникальным для всех эмитентов и не должно быть зарезервированным значением ‘default’.
issuer_refstring (default: default)нетСсылка на существующего эмитента; либо “default” для настроенного эмитента по умолчанию, либо идентификатор или имя, присвоенное эмитенту.
localityarrayнетЕсли установлено, то значение Locality будет установлено на это значение.
max_path_lengthinteger (default: -1)нетМаксимально допустимая длина пути
not_afterstringнетУстанавливает в поле “Не после” сертификата указанное значение даты. Формат значения должен быть задан в формате UTC YYYY-MM-ddTHH:MM:SSZ
not_before_durationinteger (default: 30)нетСрок, на который необходимо продлить срок действия сертификата.
organizationarrayнетЕсли установлено, для O (Организация) будет использовано это значение.
other_sansarrayнетЗапрошенные другие SAN, в массиве с форматом ;UTF8: для каждой записи.
ouarrayнетЕсли установлено, для OU (OrganizationalUnit) будет использовано это значение.
permitted_dns_domainsarrayнетДомены, для которых данному сертификату разрешено подписывать или выпускать дочерние сертификаты. Если установлено, все DNS-имена (subject и alt) в дочерних сертификатах должны быть точными совпадениями или подмножествами указанных доменов (см. https://tools.ietf.org/html/rfc5280#section-4.2.1.10).
postal_codearrayнетЕсли установлено, то для почтового индекса будет использовано это значение.
private_key_formatstring (, der, pem, pkcs8) (default: der)нетФормат возвращаемого закрытого ключа. Обычно по умолчанию параметр “format” определяет формат либо base64-кодированного DER, либо PEM-кодированного DER. Однако можно задать значение “pkcs8”, чтобы возвращаемый закрытый ключ содержал base64-кодировку pkcs8 или PEM-кодировку pkcs8. По умолчанию используется значение “der”.
provincearrayнетЕсли установлено, для Province будет использовано это значение.
serial_numberstringнетЗапрашиваемый серийный номер субъекта, если таковой имеется. Описание этого поля см. в RFC 4519 Раздел 2.31 ‘serialNumber’. Если вам нужно более одного, укажите альтернативные имена в карте alt_names, используя OID 2.5.4.5. Это не влияет на поле серийного номера финального сертификата.
signature_bitsinteger (default: 0)нетКоличество бит, используемых в алгоритме подписи; принимается 256 для SHA-2-256, 384 для SHA-2-384 и 512 для SHA-2-512. По умолчанию равно 0 для автоматического определения длины ключа (SHA-2-256 для ключей RSA и соответствие размеру кривой для P-кривых NIST).
skidstring (default: )нетЗначение для поля Subject Key Identifier (RFC 5280 Раздел 4.2.1.2). Это значение должно использоваться ТОЛЬКО при перекрестной подписи для имитации значения SKID существующего сертификата; это необходимо для того, чтобы некоторые реализации TLS (например, OpenSSL), использующие совпадения SKID/AKID при построении цепочек, могли ограничивать возможные допустимые цепочки. Указывается в виде строки в шестнадцатеричном формате. По умолчанию пусто, что позволяет Vault автоматически вычислять SKID в соответствии с первым методом в приведенном выше разделе RFC.
street_addressarrayнетЕсли установлено, то для адреса улицы будет задано это значение.
ttlintegerнетЗапрашиваемое время жизни сертификата; устанавливает дату истечения срока действия. Если не указано, используется TTL по умолчанию роли, по умолчанию бэкенда или по умолчанию системы, в этом порядке. Не может быть больше, чем mount max TTL. Примечание: это имеет значение только при генерации сертификата ЦС или подписании сертификата ЦС, но не при генерации CSR для промежуточного ЦС.
uri_sansarrayнетЗапрашиваемые URI SAN, если таковые имеются, в виде списка, разделенного запятыми.
use_csr_valuesboolean (default: False)нетЕсли верно, то: 1) Информация о субъекте, включая имена и альтернативные имена, будет сохранена из CSR, а не использована в других параметрах этого пути; 2) Любые ключевые использования, запрошенные в CSR, будут добавлены к базовому набору ключевых использований, используемых для сертификатов CA, подписанных этим путем; например, флаг неотрицания; 3) Расширения, запрошенные в CSR, будут скопированы в выпущенный сертификат.
use_pssboolean (default: False)нетИспользовать или нет подписи PSS при использовании эмитента ключа типа RSA. По умолчанию имеет значение false.

Ответы

200: OK

ПараметрТипОбязательныйОписание
ca_chainarrayнетЦепочка CA
certificatestringнетСертификат
expirationintegerнетВремя истечения
issuing_castringнетВыдающий CA
serial_numberstringнетСерийный номер

POST /{pki_mount_path}/root/sign-self-issued

ID операции: pki-root-sign-self-issued

Повторный выпуск самоподписанного сертификата на основе предоставленного сертификата.

Требует sudo: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
certificatestringнетПодписываемый самовыпущенный сертификат в формате PEM.
issuer_refstring (default: default)нетСсылка на существующего эмитента; либо “default” для настроенного эмитента по умолчанию, либо идентификатор или имя, присвоенное эмитенту.
require_matching_certificate_algorithmsboolean (default: False)нетЕсли true, то требуется, чтобы алгоритм открытого ключа подписывающего лица совпадал с алгоритмом собственного сертификата.

Ответы

200: OK

ПараметрТипОбязательныйОписание
certificatestringнетСертификат
issuing_castringнетВыдающий CA

POST /{pki_mount_path}/sign-verbatim

ID операции: pki-sign-verbatim

Выпустить сертификат напрямую на основе предоставленного CSR.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
alt_namesstringнетЗапрашиваемые альтернативные имена субъектов, если таковые имеются, в виде списка, разделенного запятыми. Если для роли включена защита электронной почты, в этом списке могут содержаться адреса электронной почты.
common_namestringнетЗапрашиваемое общее имя; если вам нужно несколько, укажите альтернативные имена в карте alt_names. Если в роли включена защита электронной почты, это может быть адрес электронной почты.
csrstring (default: )нетПодписываемый CSR в формате PEM. Значения будут взяты дословно из CSR, за исключением основных ограничений.
exclude_cn_from_sansboolean (default: False)нетЕсли установлено значение true, общее имя не будет включаться в альтернативные имена DNS или темы электронной почты. По умолчанию значение false (CN включается).
ext_key_usagearray (default: [])нетСтрока или список расширенных применений ключей, разделенных запятыми. Допустимые значения можно найти по адресу https://golang.org/pkg/crypto/x509/#ExtKeyUsage - просто опустите часть имени “ExtKeyUsage”. Чтобы исключить установку всех ключевых использований, установите это значение в пустой список.
ext_key_usage_oidsarrayнетСтрока или список расширенных идентификаторов использования ключей, разделенных запятыми.
formatstring (pem, der, pem_bundle) (default: pem)нетФормат возвращаемых данных. Может быть “pem”, “der” или “pem_bundle”. Если “pem_bundle”, то закрытый ключ и сертификат-эмитент будут добавлены к сертификату pem. Если “der”, то значение будет закодировано в base64. По умолчанию используется значение “pem”.
ip_sansarrayнетЗапрашиваемые IP SAN, если таковые имеются, в виде списка, разделенного запятыми
issuer_refstring (default: default)нетСсылка на существующего эмитента; либо “default” для настроенного эмитента по умолчанию, либо идентификатор или имя, присвоенное эмитенту.
key_usagearray (default: [‘DigitalSignature’, ‘KeyAgreement’, ‘KeyEncipherment’])нетРазделенная запятыми строка или список использований ключа (не расширенных использований ключа). Допустимые значения можно найти на https://golang.org/pkg/crypto/x509/#KeyUsage - просто опустите часть имени “KeyUsage”. Чтобы исключить установку всех ключевых использований, установите это значение в пустой список.
not_afterstringнетУстанавливает в поле “Не после” сертификата указанное значение даты. Формат значения должен быть задан в формате UTC YYYY-MM-ddTHH:MM:SSZ
other_sansarrayнетЗапрошенные другие SAN, в массиве с форматом ;UTF8: для каждой записи.
private_key_formatstring (, der, pem, pkcs8) (default: der)нетФормат возвращаемого закрытого ключа. Обычно по умолчанию параметр “format” определяет формат либо base64-кодированного DER, либо PEM-кодированного DER. Однако можно задать значение “pkcs8”, чтобы возвращаемый закрытый ключ содержал base64-кодировку pkcs8 или PEM-кодировку pkcs8. По умолчанию используется значение “der”.
remove_roots_from_chainboolean (default: False)нетУдалять или нет самоподписанные сертификаты ЦС в выводе поля ca_chain.
rolestringнетЖелаемая роль с конфигурацией для этого запроса
serial_numberstringнетЗапрашиваемый серийный номер субъекта, если таковой имеется. Описание этого поля см. в RFC 4519 Раздел 2.31 ‘serialNumber’. Если вам нужно более одного, укажите альтернативные имена в карте alt_names, используя OID 2.5.4.5. Это не влияет на поле серийного номера финального сертификата.
signature_bitsinteger (default: 0)нетКоличество бит, используемых в алгоритме подписи; принимается 256 для SHA-2-256, 384 для SHA-2-384 и 512 для SHA-2-512. По умолчанию равно 0 для автоматического определения длины ключа (SHA-2-256 для ключей RSA и соответствие размеру кривой для P-кривых NIST).
ttlintegerнетЗапрашиваемое время жизни сертификата; устанавливает дату истечения срока действия. Если не указано, используется TTL по умолчанию роли, по умолчанию бэкенда или по умолчанию системы, в этом порядке. Не может быть больше, чем максимальный TTL роли.
uri_sansarrayнетЗапрашиваемые URI SAN, если таковые имеются, в виде списка, разделенного запятыми.
use_pssboolean (default: False)нетИспользовать или нет подписи PSS при использовании эмитента ключа типа RSA. По умолчанию имеет значение false.
user_idsarrayнетЗапрашиваемое значение user_ids для размещения в теме, если таковое имеется, в виде списка, разделенного запятыми. Ограничивается значением allowed_user_ids. Любые значения добавляются с OID 0.9.2342.19200300.100.1.1.

Ответы

200: OK

ПараметрТипОбязательныйОписание
ca_chainarrayнетЦепочка Сертификатов
certificatestringнетСертификат
expirationintegerнетВремя истечения
issuing_castringнетВыдающий Центр Сертификации
private_keystringнетЗакрытый ключ
private_key_typestringнетТип закрытого ключа
serial_numberstringнетСерийный номер

POST /{pki_mount_path}/sign-verbatim/{role}

ID операции: pki-sign-verbatim-with-role

Выпустить сертификат напрямую на основе предоставленного CSR.

Параметры

ПараметрТипРасположениеОбязательныйОписание
rolestringpathдаЖелаемая роль с конфигурацией для этого запроса
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
alt_namesstringнетЗапрашиваемые альтернативные имена субъектов, если таковые имеются, в виде списка, разделенного запятыми. Если для роли включена защита электронной почты, в этом списке могут содержаться адреса электронной почты.
common_namestringнетЗапрашиваемое общее имя; если вам нужно несколько, укажите альтернативные имена в карте alt_names. Если в роли включена защита электронной почты, это может быть адрес электронной почты.
csrstring (default: )нетПодписываемый CSR в формате PEM. Значения будут взяты дословно из CSR, за исключением основных ограничений.
exclude_cn_from_sansboolean (default: False)нетЕсли установлено значение true, общее имя не будет включаться в альтернативные имена DNS или темы электронной почты. По умолчанию значение false (CN включается).
ext_key_usagearray (default: [])нетСтрока или список расширенных применений ключей, разделенных запятыми. Допустимые значения можно найти по адресу https://golang.org/pkg/crypto/x509/#ExtKeyUsage - просто опустите часть имени “ExtKeyUsage”. Чтобы исключить установку всех ключевых использований, установите это значение в пустой список.
ext_key_usage_oidsarrayнетСтрока или список расширенных идентификаторов использования ключей, разделенных запятыми.
formatstring (pem, der, pem_bundle) (default: pem)нетФормат возвращаемых данных. Может быть “pem”, “der” или “pem_bundle”. Если “pem_bundle”, то закрытый ключ и сертификат-эмитент будут добавлены к сертификату pem. Если “der”, то значение будет закодировано в base64. По умолчанию используется значение “pem”.
ip_sansarrayнетЗапрашиваемые IP SAN, если таковые имеются, в виде списка, разделенного запятыми
issuer_refstring (default: default)нетСсылка на существующего эмитента; либо “default” для настроенного эмитента по умолчанию, либо идентификатор или имя, присвоенное эмитенту.
key_usagearray (default: [‘DigitalSignature’, ‘KeyAgreement’, ‘KeyEncipherment’])нетРазделенная запятыми строка или список использований ключа (не расширенных использований ключа). Допустимые значения можно найти на https://golang.org/pkg/crypto/x509/#KeyUsage - просто опустите часть имени “KeyUsage”. Чтобы исключить установку всех ключевых использований, установите это значение в пустой список.
not_afterstringнетУстанавливает в поле “Не после” сертификата указанное значение даты. Формат значения должен быть задан в формате UTC YYYY-MM-ddTHH:MM:SSZ
other_sansarrayнетЗапрошенные другие SAN, в массиве с форматом ;UTF8: для каждой записи.
private_key_formatstring (, der, pem, pkcs8) (default: der)нетФормат возвращаемого закрытого ключа. Обычно по умолчанию параметр “format” определяет формат либо base64-кодированного DER, либо PEM-кодированного DER. Однако можно задать значение “pkcs8”, чтобы возвращаемый закрытый ключ содержал base64-кодировку pkcs8 или PEM-кодировку pkcs8. По умолчанию используется значение “der”.
remove_roots_from_chainboolean (default: False)нетУдалять или нет самоподписанные сертификаты ЦС в выводе поля ca_chain.
serial_numberstringнетЗапрашиваемый серийный номер субъекта, если таковой имеется. Описание этого поля см. в RFC 4519 Раздел 2.31 ‘serialNumber’. Если вам нужно более одного, укажите альтернативные имена в карте alt_names, используя OID 2.5.4.5. Это не влияет на поле серийного номера финального сертификата.
signature_bitsinteger (default: 0)нетКоличество бит, используемых в алгоритме подписи; принимается 256 для SHA-2-256, 384 для SHA-2-384 и 512 для SHA-2-512. По умолчанию равно 0 для автоматического определения длины ключа (SHA-2-256 для ключей RSA и соответствие размеру кривой для P-кривых NIST).
ttlintegerнетЗапрашиваемое время жизни сертификата; устанавливает дату истечения срока действия. Если не указано, используется TTL по умолчанию роли, по умолчанию бэкенда или по умолчанию системы, в этом порядке. Не может быть больше, чем максимальный TTL роли.
uri_sansarrayнетЗапрашиваемые URI SAN, если таковые имеются, в виде списка, разделенного запятыми.
use_pssboolean (default: False)нетИспользовать или нет подписи PSS при использовании эмитента ключа типа RSA. По умолчанию имеет значение false.
user_idsarrayнетЗапрашиваемое значение user_ids для размещения в теме, если таковое имеется, в виде списка, разделенного запятыми. Ограничивается значением allowed_user_ids. Любые значения добавляются с OID 0.9.2342.19200300.100.1.1.

Ответы

200: OK

ПараметрТипОбязательныйОписание
ca_chainarrayнетЦепочка Сертификатов
certificatestringнетСертификат
expirationintegerнетВремя истечения
issuing_castringнетВыдающий Центр Сертификации
private_keystringнетЗакрытый ключ
private_key_typestringнетТип закрытого ключа
serial_numberstringнетСерийный номер

POST /{pki_mount_path}/sign/{role}

ID операции: pki-sign-with-role

Запросите сертификаты, используя определенную роль с указанными данными.

Параметры

ПараметрТипРасположениеОбязательныйОписание
rolestringpathдаЖелаемая роль с конфигурацией для этого запроса
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
alt_namesstringнетЗапрашиваемые альтернативные имена субъектов, если таковые имеются, в виде списка, разделенного запятыми. Если для роли включена защита электронной почты, в этом списке могут содержаться адреса электронной почты.
common_namestringнетЗапрашиваемое общее имя; если вам нужно несколько, укажите альтернативные имена в карте alt_names. Если в роли включена защита электронной почты, это может быть адрес электронной почты.
csrstring (default: )нетПодписываемый CSR в формате PEM.
exclude_cn_from_sansboolean (default: False)нетЕсли установлено значение true, общее имя не будет включаться в альтернативные имена DNS или темы электронной почты. По умолчанию значение false (CN включается).
formatstring (pem, der, pem_bundle) (default: pem)нетФормат возвращаемых данных. Может быть “pem”, “der” или “pem_bundle”. Если “pem_bundle”, то закрытый ключ и сертификат-эмитент будут добавлены к сертификату pem. Если “der”, то значение будет закодировано в base64. По умолчанию используется значение “pem”.
ip_sansarrayнетЗапрашиваемые IP SAN, если таковые имеются, в виде списка, разделенного запятыми
issuer_refstring (default: default)нетСсылка на существующего эмитента; либо “default” для настроенного эмитента по умолчанию, либо идентификатор или имя, присвоенное эмитенту.
not_afterstringнетУстанавливает в поле “Не после” сертификата указанное значение даты. Формат значения должен быть задан в формате UTC YYYY-MM-ddTHH:MM:SSZ
other_sansarrayнетЗапрошенные другие SAN, в массиве с форматом ;UTF8: для каждой записи.
private_key_formatstring (, der, pem, pkcs8) (default: der)нетФормат возвращаемого закрытого ключа. Обычно по умолчанию параметр “format” определяет формат либо base64-кодированного DER, либо PEM-кодированного DER. Однако можно задать значение “pkcs8”, чтобы возвращаемый закрытый ключ содержал base64-кодировку pkcs8 или PEM-кодировку pkcs8. По умолчанию используется значение “der”.
remove_roots_from_chainboolean (default: False)нетУдалять или нет самоподписанные сертификаты ЦС в выводе поля ca_chain.
serial_numberstringнетЗапрашиваемый серийный номер субъекта, если таковой имеется. Описание этого поля см. в RFC 4519 Раздел 2.31 ‘serialNumber’. Если вам нужно более одного, укажите альтернативные имена в карте alt_names, используя OID 2.5.4.5. Это не влияет на поле серийного номера финального сертификата.
ttlintegerнетЗапрашиваемое время жизни сертификата; устанавливает дату истечения срока действия. Если не указано, используется TTL по умолчанию роли, по умолчанию бэкенда или по умолчанию системы, в этом порядке. Не может быть больше, чем максимальный TTL роли.
uri_sansarrayнетЗапрашиваемые URI SAN, если таковые имеются, в виде списка, разделенного запятыми.
user_idsarrayнетЗапрашиваемое значение user_ids для размещения в теме, если таковое имеется, в виде списка, разделенного запятыми. Ограничивается значением allowed_user_ids. Любые значения добавляются с OID 0.9.2342.19200300.100.1.1.

Ответы

200: OK

ПараметрТипОбязательныйОписание
ca_chainarrayнетЦепочка Сертификатов
certificatestringнетСертификат
expirationintegerнетВремя истечения
issuing_castringнетВыдающий Центр Сертификации
private_keystringнетЗакрытый ключ
private_key_typestringнетТип закрытого ключа
serial_numberstringнетСерийный номер

POST /{pki_mount_path}/tidy

ID операции: pki-tidy

Наведите порядок в бэкенде, удалив просроченные сертификаты, информацию об отзыве или и то, и другое.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
acme_account_safety_bufferinteger (default: 2592000)нетКоличество времени, которое должно пройти после создания, чтобы аккаунт, не имеющий заказов, был помечен как отозванный, а также количество времени после того, как он был помечен как отозванный или деактивированный.
issuer_safety_bufferinteger (default: 31536000)нетКоличество дополнительного времени, которое должно пройти после истечения срока действия эмитента, прежде чем он будет удален из внутреннего хранилища. По умолчанию 8760 часов (1 год).
pause_durationstring (default: 0s)нетКоличество времени ожидания между сертификатами обработки. Это позволяет операторам изменять профиль выполнения tidy, чтобы он потреблял меньше ресурсов, замедляя время выполнения. Обратите внимание, что весь список сертификатов будет храниться в памяти в течение всей операции tidy, но ресурсы для чтения/обработки/обновления существующих записей будут распределены на больший промежуток времени. По умолчанию это ноль секунд.
revocation_queue_safety_bufferinteger (default: 172800)нетКоличество времени, которое должно пройти с момента инициирования межкластерного запроса на отзыв до момента, когда он будет отправлен на удаление. Слишком низкое значение этого параметра может привести к удалению действительных запросов на отзыв до того, как кластер-владелец успеет их обработать, особенно если кластер находится в автономном режиме.
safety_bufferinteger (default: 259200)нетКоличество дополнительного времени, которое должно пройти после истечения срока действия сертификата, чтобы он был удален из внутреннего хранилища и/или списка отзыва. По умолчанию 72 часа.
tidy_acmeboolean (default: False)нетУстановите значение true, чтобы включить очистку счетов, заказов и авторизаций ACME. Заказы ACME убираются (удаляются) safety_buffer после истечения срока действия связанного с ними сертификата, или после истечения срока действия заказа и соответствующих авторизаций, если сертификат не был изготовлен. Авторизации удаляются вместе с соответствующим заказом. Когда возраст действующего аккаунта ACME составляет не менее acme_account_safety_buffer, и у него не остается связанных с ним заказов, аккаунт помечается как отозванный. После того как с даты отзыва или деактивации пройдет еще один буфер безопасности acme_account_safety_buffer, отозванный или деактивированный аккаунт ACME удаляется.
tidy_cert_storebooleanнетУстановите значение true, чтобы разрешить очистку хранилища сертификатов
tidy_cross_cluster_revoked_certsbooleanнетУстановите значение true, чтобы включить очистку межкластерного хранилища отозванных сертификатов. Запускается только на активном основном узле.
tidy_expired_issuersbooleanнетУстановите значение true для автоматического удаления истекших эмитентов из буфера issuer_safety_buffer. Никакие ключи не будут удалены в ходе этой операции.
tidy_move_legacy_ca_bundlebooleanнетУстановите значение true, чтобы переместить устаревший ca_bundle из /config/ca_bundle в /config/ca_bundle.bak. Это предотвращает переход на версии до Vault 1.11 (поскольку старые PKI-движки не знают о новой схеме хранения нескольких эмитентов), но улучшает производительность при монтировании PKI с печатью. Это произойдет только в том случае, если после первоначального переноса хранилища прошло не менее issuer_safety_buffer времени. Этот резерв сохраняется на случай возникновения проблем в будущих миграциях. При желании операторы могут удалить ее через sys/raw. Резервная копия будет удалена вызовом DELETE /root, но обратите внимание, что при этом удаляются ВСЕ эмитенты в пределах монтирования (и, следовательно, это нежелательно в большинстве сценариев работы).
tidy_revocation_listbooleanнетУтратил силу; синоним для ’tidy_revoked_certs
tidy_revocation_queueboolean (default: False)нетУстановите значение true, чтобы удалить устаревшие записи очереди отзыва, которые не были подтверждены ни одним активным кластером. Запускается только на активном основном узле
tidy_revoked_cert_issuer_associationsbooleanнетУстановите значение true для проверки ассоциаций эмитентов в записях отзыва. Это помогает повысить производительность создания CRL и ответов OCSP.
tidy_revoked_certsbooleanнетУстановите значение true, чтобы прекратить действие всех отозванных и просроченных сертификатов, удалив их как из CRL, так и из хранилища. CRL будет ротирован, если это приведет к удалению каких-либо значений.

Ответы

202: Принято

POST /{pki_mount_path}/tidy-cancel

ID операции: pki-tidy-cancel

Отменяет текущую операцию tidy.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
acme_account_deleted_countintegerнетКоличество удалённых отозванных аккаунтов acme
acme_account_revoked_countintegerнетКоличество отозванных неиспользуемых аккаунтов acme
acme_account_safety_bufferintegerнетБуфер безопасности после создания, после которого аккаунты, у которых нет заказов, будут отозваны
acme_orders_deleted_countintegerнетКоличество удалённых просроченных, неиспользованных заказов acme
cert_store_deleted_countintegerнетКоличество удаленных записей хранилища сертификатов
cross_revoked_cert_deleted_countintegerнет
current_cert_store_countintegerнетКоличество удалённых записей отзыва сертификатов
current_revoked_cert_countintegerнетКоличество удалённых записей отзыва сертификатов
errorstringнетСообщение об ошибке
internal_backend_uuidstringнет
issuer_safety_bufferintegerнетБуфер безопасности издателя
last_auto_tidy_finishedstringнетВремя завершения последней автоматической операции очистки
messagestringнетСообщение операции
missing_issuer_cert_countintegerнет
pause_durationstringнетВремя паузы между упорядочиванием сертификатов
revocation_queue_deleted_countintegerнет
revocation_queue_safety_bufferintegerнетБуфер безопасности очереди отзыва
revoked_cert_deleted_countintegerнетКоличество удалённых записей отзыва сертификатов
safety_bufferintegerнетДлительность временного буфера безопасности
statestringнетОдно из: неактивен, работает, завершен или ошибка
tidy_acmebooleanнетОчистка неиспользуемых аккаунтов и заказов Acme
tidy_cert_storebooleanнетЗапускает очистку хранилища сертификатов
tidy_cross_cluster_revoked_certsbooleanнетОчистка кросс-кластерного хранилища отозванных сертификатов
tidy_expired_issuersbooleanнетОчистка истекших издателей
tidy_move_legacy_ca_bundlebooleanнет
tidy_revocation_queuebooleanнет
tidy_revoked_cert_issuer_associationsbooleanнетОчистка ассоциаций отозванных сертификатов и их издателей
tidy_revoked_certsbooleanнетОчистка отозванных сертификатов
time_finishedstringнетВремя завершения операции
time_startedstringнетВремя начала операции
total_acme_account_countintegerнетОбщее количество пройденных аккаунтов acme

GET /{pki_mount_path}/tidy-status

ID операции: pki-tidy-status

Возвращает статус операции tidy.

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

ПараметрТипОбязательныйОписание
acme_account_deleted_countintegerнетКоличество удалённых отозванных аккаунтов acme
acme_account_revoked_countintegerнетКоличество отозванных неиспользуемых аккаунтов acme
acme_account_safety_bufferintegerнетБуфер безопасности после создания, после которого аккаунты, у которых нет заказов, будут отозваны
acme_orders_deleted_countintegerнетКоличество удалённых просроченных, неиспользованных заказов acme
cert_store_deleted_countintegerнетКоличество удаленных записей хранилища сертификатов
cross_revoked_cert_deleted_countintegerнет
current_cert_store_countintegerнетКоличество удалённых записей отзыва сертификатов
current_revoked_cert_countintegerнетКоличество удалённых записей отзыва сертификатов
errorstringнетСообщение об ошибке
internal_backend_uuidstringнет
issuer_safety_bufferintegerнетБуфер безопасности издателя
last_auto_tidy_finishedstringнетВремя завершения последней автоматической операции очистки
messagestringнетСообщение операции
missing_issuer_cert_countintegerнет
pause_durationstringнетВремя паузы между упорядочиванием сертификатов
revocation_queue_deleted_countintegerнет
revocation_queue_safety_bufferintegerнетБуфер безопасности очереди отзыва
revoked_cert_deleted_countintegerнетКоличество удалённых записей отзыва сертификатов
safety_bufferintegerнетДлительность временного буфера безопасности
statestringнетОдно из: неактивен, работает, завершен или ошибка
tidy_acmebooleanнетОчистка неиспользуемых аккаунтов и заказов Acme
tidy_cert_storebooleanнетЗапускает очистку хранилища сертификатов
tidy_cross_cluster_revoked_certsbooleanнетОчистка кросс-кластерного хранилища отозванных сертификатов
tidy_expired_issuersbooleanнетОчистка истекших издателей
tidy_move_legacy_ca_bundlebooleanнет
tidy_revocation_queuebooleanнет
tidy_revoked_cert_issuer_associationsbooleanнетОчистка ассоциаций отозванных сертификатов и их издателей
tidy_revoked_certsbooleanнетОчистка отозванных сертификатов
time_finishedstringнетВремя завершения операции
time_startedstringнетВремя начала операции
total_acme_account_countintegerнетОбщее количество пройденных аккаунтов acme

GET /{pki_mount_path}/unified-crl

ID операции: pki-read-unified-crl-der

Получите центр сертификации, CRL, цепочку центров сертификации или не отозванный сертификат.

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

GET /{pki_mount_path}/unified-crl/delta

ID операции: pki-read-unified-crl-delta

Получите центр сертификации, CRL, цепочку центров сертификации или не отозванный сертификат.

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

GET /{pki_mount_path}/unified-crl/delta/pem

ID операции: pki-read-unified-crl-delta-pem

Получите центр сертификации, CRL, цепочку центров сертификации или не отозванный сертификат.

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

GET /{pki_mount_path}/unified-crl/pem

ID операции: pki-read-unified-crl-pem

Получите центр сертификации, CRL, цепочку центров сертификации или не отозванный сертификат.

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

POST /{pki_mount_path}/unified-ocsp

ID операции: pki-query-unified-ocsp

Запрос статуса отзыва сертификата через OCSP’

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

GET /{pki_mount_path}/unified-ocsp/{req}

ID операции: pki-query-unified-ocsp-with-get-req

Запрос статуса отзыва сертификата через OCSP’

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
reqstringpathдазапрос ocsp в кодировке base-64
pki_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

POST /{rabbitmq_mount_path}/config/connection

ID операции: rabbit-mq-configure-connection

Настраивает URI подключения, имя пользователя и пароль для работы с RabbitMQ management HTTP API.

Параметры

ПараметрТипРасположениеОбязательныйОписание
rabbitmq_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
connection_uristringнетURI управления RabbitMQ
passwordstringнетПароль предоставленного пользователя управления RabbitMQ
password_policystringнетИмя политики паролей, используемой для генерации паролей для динамических учетных данных.
usernamestringнетИмя пользователя администратора управления RabbitMQ
username_templatestringнетШаблон, описывающий, как генерируются динамические имена пользователей.
verify_connectionboolean (default: True)нетЕсли установлено, connection_uri проверяется путем фактического подключения к API управления RabbitMQ.

Ответы

200: OK

GET /{rabbitmq_mount_path}/config/lease

ID операции: rabbit-mq-read-lease-configuration

Настройка параметров аренды для сгенерированных учетных данных

Параметры

ПараметрТипРасположениеОбязательныйОписание
rabbitmq_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

POST /{rabbitmq_mount_path}/config/lease

ID операции: rabbit-mq-configure-lease

Настройка параметров аренды для сгенерированных учетных данных

Параметры

ПараметрТипРасположениеОбязательныйОписание
rabbitmq_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
max_ttlinteger (default: 0)нетСрок, по истечении которого выданные учетные данные не должны быть возобновлены
ttlinteger (default: 0)нетСрок, до которого необходимо обновить выданные учетные данные

Ответы

200: OK

GET /{rabbitmq_mount_path}/creds/{name}

ID операции: rabbit-mq-request-credentials

Запросите учетные данные RabbitMQ для определенной роли.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаНазвание роли.
rabbitmq_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

GET /{rabbitmq_mount_path}/roles

ID операции: rabbit-mq-list-roles

Управление ролями, которые могут быть созданы с помощью этого бэкэнда.

Параметры

ПараметрТипРасположениеОбязательныйОписание
rabbitmq_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд
liststring (true)queryдаДолжно быть установлено значение true.

Ответы

200: OK

GET /{rabbitmq_mount_path}/roles/{name}

ID операции: rabbit-mq-read-role

Управление ролями, которые могут быть созданы с помощью этого бэкэнда.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаНазвание роли.
rabbitmq_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

POST /{rabbitmq_mount_path}/roles/{name}

ID операции: rabbit-mq-write-role

Управление ролями, которые могут быть созданы с помощью этого бэкэнда.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаНазвание роли.
rabbitmq_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
tagsstringнетСписок тегов для этой роли, разделенный запятыми.
vhost_topicsstringнетВложенная карта виртуальных хостов и обменов с правами доступа к темам.
vhostsstringнетКарта виртуальных хостов для разрешений.

Ответы

200: OK

DELETE /{rabbitmq_mount_path}/roles/{name}

ID операции: rabbit-mq-delete-role

Управление ролями, которые могут быть созданы с помощью этого бэкэнда.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаНазвание роли.
rabbitmq_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

204: пустое тело

GET /{ssh_mount_path}/config/ca

ID операции: ssh-read-ca-configuration

Установите SSH-ключ, используемый для подписи сертификатов.

Параметры

ПараметрТипРасположениеОбязательныйОписание
ssh_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

POST /{ssh_mount_path}/config/ca

ID операции: ssh-configure-ca

Установите SSH-ключ, используемый для подписи сертификатов.

Параметры

ПараметрТипРасположениеОбязательныйОписание
ssh_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
generate_signing_keyboolean (default: True)нетГенерируйте пару ключей SSH самостоятельно, а не используйте поля private_key и public_key.
key_bitsinteger (default: 0)нетУказывает желаемые биты ключа при генерации ключей переменной длины (например, при key_type=“ssh-rsa”) или P-кривую NIST, которую следует использовать при key_type=“ec” (256, 384 или 521).
key_typestring (default: ssh-rsa)нетУказывает желаемый тип ключа при генерации; может быть идентификатором типа ключа OpenSSH (ssh-rsa, ecdsa-sha2-nistp256, ecdsa-sha2-nistp384, ecdsa-sha2-nistp521 или ssh-ed25519) или алгоритмом (rsa, ec, ed25519).
managed_key_idstringнетИдентификатор управляемого ключа для использования. При использовании управляемого ключа это поле или managed_key_name является обязательным.
managed_key_namestringнетИмя управляемого ключа для использования. При использовании управляемого ключа это поле или managed_key_id является обязательным.
private_keystringнетПриватная половина SSH-ключа, который будет использоваться для подписи сертификатов.
public_keystringнетПубличная половина SSH-ключа, который будет использоваться для подписи сертификатов.

Ответы

200: OK

DELETE /{ssh_mount_path}/config/ca

ID операции: ssh-delete-ca-configuration

Установите SSH-ключ, используемый для подписи сертификатов.

Параметры

ПараметрТипРасположениеОбязательныйОписание
ssh_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

204: пустое тело

GET /{ssh_mount_path}/config/zeroaddress

ID операции: ssh-read-zero-address-configuration

Назначает нулевой адрес в качестве блока CIDR по умолчанию для выбранных ролей.

Параметры

ПараметрТипРасположениеОбязательныйОписание
ssh_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

POST /{ssh_mount_path}/config/zeroaddress

ID операции: ssh-configure-zero-address

Назначает нулевой адрес в качестве блока CIDR по умолчанию для выбранных ролей.

Параметры

ПараметрТипРасположениеОбязательныйОписание
ssh_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
rolesarrayнет[Обязательный] Список имен ролей, разделенных запятыми, который позволяет запрашивать учетные данные для любого IP-адреса. Блоки CIDR, ранее зарегистрированные под этими ролями, будут игнорироваться.

Ответы

200: OK

DELETE /{ssh_mount_path}/config/zeroaddress

ID операции: ssh-delete-zero-address-configuration

Назначает нулевой адрес в качестве блока CIDR по умолчанию для выбранных ролей.

Параметры

ПараметрТипРасположениеОбязательныйОписание
ssh_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

204: пустое тело

POST /{ssh_mount_path}/creds/{role}

ID операции: ssh-generate-credentials

Создает учетные данные для установления SSH соединения с удаленным хостом.

Параметры

ПараметрТипРасположениеОбязательныйОписание
rolestringpathда[Обязательный] Имя роли
ssh_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
ipstringнет[Обязательный] IP-адрес удаленного узла
usernamestringнет[Необязательно] Имя пользователя на удаленном хосте

Ответы

200: OK

POST /{ssh_mount_path}/issue/{role}

ID операции: ssh-issue-certificate

Запросите сертификат, используя определенную роль с указанными данными.

Параметры

ПараметрТипРасположениеОбязательныйОписание
rolestringpathдаЖелаемая роль с конфигурацией для данного запроса.
ssh_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
cert_typestring (default: user)нетТип создаваемого сертификата; либо “пользователь”, либо “хост”.
critical_optionsobjectнетКритические параметры, для которых должен быть подписан сертификат.
extensionsobjectнетРасширения, для которых должен быть подписан сертификат.
key_bitsinteger (default: 0)нетУказывает количество бит, используемых для генерируемых ключей.
key_idstringнетИдентификатор ключа, который должен быть у создаваемого сертификата. Если он не указан, будет использоваться отображаемое имя токена.
key_typestring (default: rsa)нетУказывает желаемый тип ключа; должен быть rsa, ed25519 или ec.
ttlintegerнетЗапрашиваемое время жизни для сертификата SSH; устанавливает дату истечения срока действия. Если не указано, используется TTL по умолчанию роли, по умолчанию бэкенда или по умолчанию системы, в этом порядке. Не может быть позже, чем максимальный TTL роли.
valid_principalsstringнетДействительные принципалы, либо имена пользователей, либо имена хостов, для которых должен быть подписан сертификат.

Ответы

200: OK

POST /{ssh_mount_path}/lookup

ID операции: ssh-list-roles-by-ip

Отображает список всех ролей, связанных с данным IP-адресом.

Параметры

ПараметрТипРасположениеОбязательныйОписание
ssh_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
ipstringнет[Обязательный] IP-адрес удаленного узла

Ответы

200: OK

GET /{ssh_mount_path}/public_key

ID операции: ssh-read-public-key

Получает открытый ключ.

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
ssh_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

GET /{ssh_mount_path}/roles

ID операции: ssh-list-roles

Управление “ролями”, которые могут быть созданы с помощью этого бэкэнда.

Параметры

ПараметрТипРасположениеОбязательныйОписание
ssh_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд
liststring (true)queryдаДолжно быть установлено значение true.

Ответы

200: OK

GET /{ssh_mount_path}/roles/{role}

ID операции: ssh-read-role

Управление “ролями”, которые могут быть созданы с помощью этого бэкэнда.

Параметры

ПараметрТипРасположениеОбязательныйОписание
rolestringpathда[Обязательный для всех типов] Имя создаваемой роли.
ssh_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

POST /{ssh_mount_path}/roles/{role}

ID операции: ssh-write-role

Управление “ролями”, которые могут быть созданы с помощью этого бэкэнда.

Параметры

ПараметрТипРасположениеОбязательныйОписание
rolestringpathда[Обязательный для всех типов] Имя создаваемой роли.
ssh_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
algorithm_signerstring (, default, ssh-rsa, rsa-sha2-256, rsa-sha2-512)нет[Неприменимо для типа OTP] [Необязательно для типа CA] При указании этого значения задается алгоритм подписи для ключа. Возможные значения: ssh-rsa, rsa-sha2-256, rsa-sha2-512, default или пустая строка.
allow_bare_domainsbooleanнет[Не применимо для типа OTP] [Необязательно для типа CA] Если установлено, запрашиваемым сертификатам хоста разрешается использовать базовые домены, перечисленные в “allowed_domains”, например “example.com”. Это отдельная опция, поскольку в некоторых случаях это может рассматриваться как угроза безопасности.
allow_empty_principalsbooleanнет[Необязательно для типа CA] Если true, сертификаты хоста и пользователя могут быть выданы без каких-либо допустимых принципов. Для сертификатов хоста это означает, что любой домен, который хост утверждает, будет доверен клиентом, подключающимся к нему. Для сертификатов пользователя, когда сертификат CA помещается в файл AuthorizedKeys пользователя, любой принцип на этом сертификате будет разрешен для подключения. Когда allowed_users или allowed_domains установлены на * (соответствующие типу роли/сертификата), allow_empty_principals=false все равно разрешает выдачу. Рекомендуется оставить этот параметр отключенным.
allow_host_certificatesboolean (default: False)нет[Не применимо для типа OTP] [Необязательно для типа CA] Если установлено, сертификаты разрешено подписывать для использования в качестве “хоста”.
allow_subdomainsbooleanнет[Не применимо для типа OTP] [Необязательно для типа CA] Если установлено, запрашиваемым сертификатам хоста разрешается использовать поддомены из списка “allowed_domains”.
allow_user_certificatesboolean (default: False)нет[Не применимо для типа OTP] [Необязательно для типа CA] Если установлено, сертификаты разрешено подписывать для использования в качестве “пользователя”.
allow_user_key_idsbooleanнет[Не применимо для типа OTP] [Необязательно для типа CA] Если true, пользователи могут переопределить идентификатор ключа для подписанного сертификата с помощью поля “key_id”. Если значение false, идентификатором ключа всегда будет отображаемое имя токена. Идентификатор ключа записывается в журнал на сервере SSH и может быть полезен для аудита.
allowed_critical_optionsstringнет[Не применимо для типа OTP] [Необязательно для типа CA] Список критических опций, которые могут быть у сертификатов при подписании, разделенный запятыми. Чтобы разрешить любые критические параметры, установите это значение в пустую строку.
allowed_domainsstringнет[Не применимо для типа OTP] [Необязательно для типа CA] Если этот параметр не указан, клиент может запросить подписанный сертификат для любого действительного хоста. Если разрешены только определенные домены, то этот список обеспечивает это.
allowed_domains_templateboolean (default: False)нет[Не применимо для типа OTP] [Необязательно для типа CA] Если установлено, разрешенные домены могут быть указаны с помощью политик шаблонов идентификации. Домены без шаблонов также разрешены.
allowed_extensionsstringнет[Не применимо для типа OTP] [Необязательно для типа CA] Список расширений, которые могут быть у сертификатов при подписании, разделенный запятыми. Пустой список означает, что конечный пользователь не может переопределять расширения; явно укажите ‘*’, чтобы разрешить установку любых расширений.
allowed_user_key_lengthsobjectнет[Не применимо для типа OTP] [Необязательно для типа CA] Если установлено, позволяет использовать типы ключей и минимальные размеры ключей для подписи.
allowed_usersstringнет[Необязательно для всех типов] [Работает по-разному для типа CA] Если этот параметр не указан или имеет значение ‘’, клиент может запросить учетные данные для любого действительного пользователя на удаленном узле, включая пользователя admin. Если должны быть разрешены только определенные имена пользователей, то этот список обеспечит это. Если это поле установлено, то учетные данные могут быть созданы только для default_user и имен пользователей, присутствующих в этом списке. Установка этого параметра позволит всем пользователям с доступом к этой роли получать учетные данные для всех остальных имен пользователей в этом списке. Используйте с осторожностью. N.B.: для типа CA пустой список означает, что ни один пользователь не разрешен; укажите ‘’, чтобы разрешить любого пользователя.
allowed_users_templateboolean (default: False)нет[Не применимо для типа OTP] [Необязательно для типа CA] Если установлено, разрешенные пользователи могут быть указаны с помощью политик шаблонов идентификации. Пользователи без шаблонов также разрешены.
cidr_liststringнет[Необязательно для типа OTP] [Не применимо для типа CA] Список блоков CIDR, для которых применима роль, разделенный запятыми. Блоки CIDR могут принадлежать более чем одной роли.
default_critical_optionsobjectнет[Не применимо для типа OTP] [Необязательно для типа CA] Критические параметры, которыми должны обладать сертификаты, если при подписании они не были предоставлены. Это поле принимает пары ключ-значение в формате JSON. Обратите внимание, что они не ограничены параметром “allowed_critical_options”. По умолчанию - нет.
default_extensionsobjectнет[Не применимо для типа OTP] [Необязательно для типа CA] Расширения, которые должны быть у сертификатов, если они не были предоставлены при подписании. Это поле принимает пары ключ-значение в формате JSON. Обратите внимание, что они не ограничены параметром “allowed_extensions”. По умолчанию - нет.
default_extensions_templateboolean (default: False)нет[Не применимо для типа OTP] [Необязательно для типа CA] Если установлено, значения расширения по умолчанию могут быть указаны с помощью политик шаблонов идентификации. Также допускается использование нешаблонных значений расширения.
default_userstringнет[Обязательно для типа OTP] [Необязательно для типа CA] Имя пользователя по умолчанию, для которого будет сгенерирован мандат. Если метод ‘creds/’ используется без имени пользователя, это значение будет использоваться в качестве имени пользователя по умолчанию.
default_user_templateboolean (default: False)нет[Не применимо для типа OTP] [Необязательно для типа CA] Если установлено, пользователь по умолчанию может быть указан с помощью политик шаблонов идентификации. Пользователи без шаблонов также разрешены.
exclude_cidr_liststringнет[Необязательно для типа OTP] [Не применимо для типа CA] Список блоков CIDR, разделенных запятыми. IP-адреса, принадлежащие этим блокам, не принимаются ролью. Это особенно полезно, когда роль использует большие блоки CIDR и некоторые их части должны быть закрыты.
key_id_formatstringнет[Неприменимо для типа OTP] [Необязательно для типа CA] При указании этого значения задается пользовательский формат идентификатора ключа подписанного сертификата. Для использования доступны следующие переменные: ‘{{token_display_name}}’ - Отображаемое имя токена, используемого для выполнения запроса. ‘{{role_name}}’ - Имя роли, подписывающей запрос. ‘{{public_key_hash}}’ - Контрольная сумма SHA256 открытого ключа, который подписывается.
key_typestring (otp, ca)нет[Обязательный для всех типов] Тип ключа, используемого для входа на хосты. Он может быть либо ‘otp’, либо ‘ca’. Тип ‘otp’ требует установки агента на удаленных хостах.
max_ttlintegerнет[Не применимо для типа OTP] [Необязательно для типа CA] Максимально допустимая продолжительность аренды
not_before_durationinteger (default: 30)нет[Не применимо для типа OTP] [Необязательно для типа CA] Продолжительность, на которую должен быть отсрочен сертификат SSH при выпуске.
portintegerнет[Необязательно для типа OTP] [Не применимо для типа CA] Номер порта для SSH-соединения. По умолчанию - ‘22’. Номер порта не играет никакой роли при создании OTP. Для типа ‘otp’ это просто способ сообщить клиенту номер порта, который необходимо использовать. Номер порта будет возвращен клиенту сервером Vault вместе с OTP.
ttlintegerнет[Не применимо для типа OTP] [Необязательно для типа CA] Продолжительность аренды, если не запрашивается конкретная продолжительность аренды. Продолжительность аренды контролирует истечение срока действия сертификатов, выпущенных этим бэкэндом. По умолчанию соответствует значению max_ttl.

Ответы

200: OK

DELETE /{ssh_mount_path}/roles/{role}

ID операции: ssh-delete-role

Управление “ролями”, которые могут быть созданы с помощью этого бэкэнда.

Параметры

ПараметрТипРасположениеОбязательныйОписание
rolestringpathда[Обязательный для всех типов] Имя создаваемой роли.
ssh_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

204: пустое тело

POST /{ssh_mount_path}/sign/{role}

ID операции: ssh-sign-certificate

Запросите подпись SSH-ключа с использованием определенной роли с предоставленными данными.

Параметры

ПараметрТипРасположениеОбязательныйОписание
rolestringpathдаЖелаемая роль с конфигурацией для данного запроса.
ssh_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
cert_typestring (default: user)нетТип создаваемого сертификата; либо “пользователь”, либо “хост”.
critical_optionsobjectнетКритические параметры, для которых должен быть подписан сертификат.
extensionsobjectнетРасширения, для которых должен быть подписан сертификат.
key_idstringнетИдентификатор ключа, который должен быть у создаваемого сертификата. Если он не указан, будет использоваться отображаемое имя токена.
public_keystringнетОткрытый ключ SSH, который должен быть подписан.
ttlintegerнетЗапрашиваемое время жизни для сертификата SSH; устанавливает дату истечения срока действия. Если не указано, используется TTL по умолчанию роли, по умолчанию бэкенда или по умолчанию системы, в этом порядке. Не может быть позже, чем максимальный TTL роли.
valid_principalsstringнетДействительные принципалы, либо имена пользователей, либо имена хостов, для которых должен быть подписан сертификат.

Ответы

200: OK

DELETE /{ssh_mount_path}/tidy/dynamic-keys

ID операции: ssh-tidy-dynamic-host-keys

Обращение к этому методу удаляет сохраненные хост-ключи, используемые для удаленной функции динамического ключа, если они присутствуют.

Параметры

ПараметрТипРасположениеОбязательныйОписание
ssh_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

204: пустое тело

POST /{ssh_mount_path}/verify

ID операции: ssh-verify-otp

Проверить OTP, предоставленный агентом SSH Vault.

Доступен без аутентификации: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
ssh_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
otpstringнет[Обязательный] Одноразовый ключ, который необходимо подтвердить

Ответы

200: OK

GET /{totp_mount_path}/code/{name}

ID операции: totp-generate-code

Запрос одноразового пароля на основе времени или проверка пароля для определенного ключа.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаНазвание ключа.
totp_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

POST /{totp_mount_path}/code/{name}

ID операции: totp-validate-code

Запрос одноразового пароля на основе времени или проверка пароля для определенного ключа.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаНазвание ключа.
totp_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
codestringнетКод TOTP должен быть подтвержден.

Ответы

200: OK

GET /{totp_mount_path}/keys

ID операции: totp-list-keys

Управление ключами, которые могут быть созданы с помощью этого бэкэнда.

Параметры

ПараметрТипРасположениеОбязательныйОписание
totp_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд
liststring (true)queryдаДолжно быть установлено значение true.

Ответы

200: OK

GET /{totp_mount_path}/keys/{name}

ID операции: totp-read-key

Управление ключами, которые могут быть созданы с помощью этого бэкэнда.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаНазвание ключа.
totp_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд
liststringqueryнетВозвращает список, если true.

Ответы

200: OK

POST /{totp_mount_path}/keys/{name}

ID операции: totp-create-key

Управление ключами, которые могут быть созданы с помощью этого бэкэнда.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаНазвание ключа.
totp_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
account_namestringнетИмя учетной записи, связанной с ключом. Требуется, если значение generate равно true.
algorithmstring (default: SHA1)нетАлгоритм хэширования, используемый для генерации токена TOTP. Варианты включают SHA1, SHA256 и SHA512.
digitsinteger (default: 6)нетКоличество цифр в генерируемом TOTP-токене. Это значение может быть либо 6, либо 8.
exportedboolean (default: True)нетОпределяет, возвращать ли QR-код и url при генерации ключа. Используется только в том случае, если значение generate равно true.
generateboolean (default: False)нетОпределяет, должен ли ключ быть сгенерирован Vault или ключ передается из другого сервиса.
issuerstringнетИмя организации, выдавшей ключ. Требуется, если значение generate равно true.
keystringнетОбщий мастер-ключ, используемый для генерации токена TOTP. Используется только в том случае, если значение generate равно false.
key_sizeinteger (default: 20)нетОпределяет размер в байтах генерируемого ключа. Используется только в том случае, если generate равно true.
periodinteger (default: 30)нетДлительность времени, используемого для генерации счетчика для расчета токена TOTP.
qr_sizeinteger (default: 200)нетРазмер в пикселях сгенерированного квадратного QR-кода. Используется только в том случае, если generate - true и exported - true. Если это значение равно 0, QR-код не будет возвращен.
skewinteger (default: 1)нетКоличество периодов задержки, допустимых при проверке токена TOTP. Это значение может быть либо 0, либо 1. Используется только в том случае, если значение generate равно true.
urlstringнетСтрока TOTP url, содержащая все параметры для настройки ключа. Используется только в том случае, если значение generate равно false.

Ответы

200: OK

DELETE /{totp_mount_path}/keys/{name}

ID операции: totp-delete-key

Управление ключами, которые могут быть созданы с помощью этого бэкэнда.

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаНазвание ключа.
totp_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

204: пустое тело

GET /{transit_mount_path}/backup/{name}

ID операции: transit-back-up-key

Резервное копирование именованного ключа

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаИмя ключа
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

GET /{transit_mount_path}/byok-export/{destination}/{source}

ID операции: transit-byok-key

Безопасный экспорт именованного ключа шифрования или подписи

Параметры

ПараметрТипРасположениеОбязательныйОписание
destinationstringpathдаКлюч назначения для экспорта; обычно это открытый ключ обертки другого экземпляра Transit.
sourcestringpathдаИсходный ключ для экспорта; это может быть любой присутствующий ключ в Transit.
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

GET /{transit_mount_path}/byok-export/{destination}/{source}/{version}

ID операции: transit-byok-key-version

Безопасный экспорт именованного ключа шифрования или подписи

Параметры

ПараметрТипРасположениеОбязательныйОписание
destinationstringpathдаКлюч назначения для экспорта; обычно это открытый ключ обертки другого экземпляра Transit.
sourcestringpathдаИсходный ключ для экспорта; это может быть любой присутствующий ключ в Transit.
versionstringpathдаНеобязательная версия ключа для экспорта, в противном случае экспортируются все версии ключа.
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

GET /{transit_mount_path}/cache-config

ID операции: transit-read-cache-configuration

Возвращает размер активного кэша

Параметры

ПараметрТипРасположениеОбязательныйОписание
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

POST /{transit_mount_path}/cache-config

ID операции: transit-configure-cache

Настраивает новый кэш указанного размера

Поддерживается создание: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
sizeinteger (default: 0)нетРазмер кэша, используйте 0 для неограниченного размера кэша, по умолчанию 0

Ответы

200: OK

GET /{transit_mount_path}/config/keys

ID операции: transit-read-keys-configuration

Конфигурация, общая для всех ключей

Параметры

ПараметрТипРасположениеОбязательныйОписание
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

POST /{transit_mount_path}/config/keys

ID операции: transit-configure-keys

Конфигурация, общая для всех ключей

Параметры

ПараметрТипРасположениеОбязательныйОписание
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
disable_upsertbooleanнетРазрешить ли автоматическую установку (создание) ключей.

Ответы

200: OK

POST /{transit_mount_path}/datakey/{plaintext}/{name}

ID операции: transit-generate-data-key

Создает ключ данных

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаКлюч бэкэнда, используемый для шифрования данных
plaintextstringpathда“plaintext” вернет ключ как в открытом, так и в зашифрованном виде; “wrapped” вернет только зашифрованный текст.
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
bitsinteger (default: 256)нетКоличество бит для ключа; в настоящее время поддерживаются 128, 256 и 512 бит. По умолчанию используется значение 256.
contextstringнетКонтекст для выведения ключей. Требуется для производных ключей.
key_versionintegerнетВерсия ключа Vault, которую следует использовать для шифрования ключа данных. Должно быть 0 (для последней версии) или значение, большее или равное min_encryption_version, настроенному для ключа.
noncestringнетНонс для использования конвергентного шифрования v1 (только в Vault 0.6.1)

Ответы

200: OK

POST /{transit_mount_path}/decrypt/{name}

ID операции: transit-decrypt

Расшифруйте значение шифротекста с помощью именованного ключа

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаИмя ключа
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
associated_datastringнетПри использовании режима шифрования AEAD, например AES-GCM, этот параметр позволяет передавать связанные данные (AD/AAD) в функцию шифрования; эти данные должны передаваться при последующих запросах на дешифрование, но могут передаваться в открытом виде. При успешном расшифровании и шифротекст, и ассоциированные данные подтверждаются, что они не были подделаны.
batch_inputarrayнетУказывает список элементов, которые должны быть расшифрованы в одной партии. При задании этого параметра, если параметры ‘ciphertext’, ‘context’ и ’nonce’ также заданы, они будут проигнорированы. Любой пакетный вывод будет сохранять порядок ввода пакета.
ciphertextstringнетШифротекст для расшифровки, который возвращается командой encrypt.
contextstringнетЗакодированный в Base64 контекст для деривации ключа. Требуется, если деривация ключей включена.
noncestringнетЗакодированное в Base64 значение nonce, используемое при шифровании. Должно быть указано, если для этого ключа включено конвергентное шифрование и ключ был создан в Vault 0.6.1. Не требуется для ключей, созданных в версии 0.6.2+.
partial_failure_response_codeintegerнетОбычно, если пакетный элемент не удается расшифровать из-за плохого ввода, но другие пакетные элементы работают успешно, код ответа HTTP равен 400 (плохой запрос). Некоторые приложения могут захотеть обрабатывать частичные сбои по-другому. В этом случае при указании параметра вместо 400 возвращается целое число с заданным кодом ответа. Если все значения не сработали, все равно возвращается HTTP 400.

Ответы

200: OK

POST /{transit_mount_path}/encrypt/{name}

ID операции: transit-encrypt

Зашифруйте значение открытого текста или пакет блоков открытого текста блоков с помощью именованного ключа

Поддерживается создание: да

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаИмя ключа
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
associated_datastringнетПри использовании режима шифрования AEAD, например AES-GCM, этот параметр позволяет передавать связанные данные (AD/AAD) в функцию шифрования; эти данные должны передаваться при последующих запросах на дешифрование, но могут передаваться в открытом виде. При успешном расшифровании и шифротекст, и ассоциированные данные подтверждаются, что они не были подделаны.
batch_inputarrayнетУказывает список элементов, которые должны быть зашифрованы в одном пакете. При задании этого параметра, если параметры ‘plaintext’, ‘context’ и ’nonce’ также заданы, они будут проигнорированы. Любой пакетный вывод будет сохранять порядок ввода пакета.
contextstringнетЗакодированный в Base64 контекст для деривации ключа. Требуется, если деривация ключей включена
convergent_encryptionbooleanнетЭтот параметр будет использоваться только в том случае, если предполагается создание ключа. Поддерживать ли конвергентное шифрование. Поддерживается только при использовании ключа с включенной функцией деривации ключа и требует, чтобы все запросы содержали контекст и 96-битный (12-байтный) nonce. Данный нонс будет использоваться вместо случайно сгенерированного нонса. В результате, при предоставлении одинакового контекста и nonce будет сгенерирован один и тот же шифртекст. При использовании этого режима очень важно убедиться, что все несы уникальны для данного контекста. В противном случае безопасность шифротекста будет сильно снижена.
key_versionintegerнетВерсия ключа, используемая для шифрования. Должно быть 0 (для последней версии) или значение, большее или равное min_encryption_version, настроенному для ключа.
noncestringнетЗакодированное в Base64 значение nonce. Должно быть предоставлено, если для этого ключа включено конвергентное шифрование и ключ был создан с помощью Vault 0.6.1. Не требуется для ключей, созданных в версии 0.6.2+. Значение должно иметь длину ровно 96 бит (12 байт), и пользователь должен убедиться, что для любого заданного контекста (и, следовательно, для любого заданного ключа шифрования) это значение nonce *никогда не используется повторно*.
partial_failure_response_codeintegerнетОбычно, если пакетный элемент не удается зашифровать из-за плохого ввода, но другие пакетные элементы работают успешно, код ответа HTTP равен 400 (плохой запрос). Некоторые приложения могут захотеть обрабатывать частичные сбои по-другому. В этом случае при указании параметра вместо 400 возвращается целое число с заданным кодом ответа. Если все значения не сработали, все равно возвращается HTTP 400.
plaintextstringнетЗашифрованное в Base64 значение открытого текста для шифрования
typestring (default: aes256-gcm96)нетЭтот параметр необходим, если предполагается создать ключ шифрования. При выполнении операции upsert - тип создаваемого ключа. В настоящее время поддерживаются только типы “aes128-gcm96” (симметричный) и “aes256-gcm96” (симметричный). По умолчанию используется “aes256-gcm96”.

Ответы

200: OK

GET /{transit_mount_path}/export/{type}/{name}

ID операции: transit-export-key

Экспорт именованного ключа шифрования или подписи

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаИмя ключа
typestringpathдаТип ключа для экспорта (ключ шифрования, ключ подписи, hmac-ключ, открытый ключ)
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

GET /{transit_mount_path}/export/{type}/{name}/{version}

ID операции: transit-export-key-version

Экспорт именованного ключа шифрования или подписи

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаИмя ключа
typestringpathдаТип ключа для экспорта (ключ шифрования, ключ подписи, hmac-ключ, открытый ключ)
versionstringpathдаВерсия ключа
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

POST /{transit_mount_path}/hash

ID операции: transit-hash

Создает хеш-сумму для входных данных

Параметры

ПараметрТипРасположениеОбязательныйОписание
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
algorithmstring (default: sha2-256)нетАлгоритм для использования (параметр POST тела запроса). Допустимые значения: sha2-224 sha2-256 sha2-384 sha2-512 sha3-224 sha3-256 sha3-384 sha3-512 streebog-256 streebog-512 По умолчанию установлено значение “sha2-256”.
formatstring (default: hex)нетИспользуемый формат кодировки. Может быть “hex” или “base64”. По умолчанию используется “hex”.
inputstringнетВходные данные в кодировке base64
urlalgorithmstringнетИспользуемый алгоритм (параметр POST URL)

Ответы

200: OK

POST /{transit_mount_path}/hash/{urlalgorithm}

ID операции: transit-hash-with-algorithm

Создает хеш-сумму для входных данных

Параметры

ПараметрТипРасположениеОбязательныйОписание
urlalgorithmstringpathдаИспользуемый алгоритм (параметр POST URL)
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
algorithmstring (default: sha2-256)нетАлгоритм для использования (параметр POST тела запроса). Допустимые значения: sha2-224 sha2-256 sha2-384 sha2-512 sha3-224 sha3-256 sha3-384 sha3-512 streebog-256 streebog-512 По умолчанию установлено значение “sha2-256”.
formatstring (default: hex)нетИспользуемый формат кодировки. Может быть “hex” или “base64”. По умолчанию используется “hex”.
inputstringнетВходные данные в кодировке base64

Ответы

200: OK

POST /{transit_mount_path}/hmac/{name}

ID операции: transit-generate-hmac

Создает HMAC для входных данных, используя именованный ключ

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаКлюч, используемый для функции HMAC
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
algorithmstring (default: sha2-256)нетАлгоритм для использования (параметр POST тела запроса). Допустимые значения: sha2-224 sha2-256 sha2-384 sha2-512 sha3-224 sha3-256 sha3-384 sha3-512 streebog-256 streebog-512 По умолчанию установлено значение “sha2-256”.
batch_inputarrayнетЗадает список элементов, которые будут обрабатываться в одной партии. При задании этого параметра, если параметр ‘input’ также задан, он будет проигнорирован. При выводе любой партии сохраняется порядок ввода партии.
inputstringнетВходные данные в кодировке base64
key_versionintegerнетВерсия ключа, используемая для генерации HMAC. Должно быть 0 (для последней версии) или значение, большее или равное min_encryption_version, настроенному для ключа.
urlalgorithmstringнетИспользуемый алгоритм (параметр POST URL)

Ответы

200: OK

POST /{transit_mount_path}/hmac/{name}/{urlalgorithm}

ID операции: transit-generate-hmac-with-algorithm

Создает HMAC для входных данных, используя именованный ключ

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаКлюч, используемый для функции HMAC
urlalgorithmstringpathдаИспользуемый алгоритм (параметр POST URL)
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
algorithmstring (default: sha2-256)нетАлгоритм для использования (параметр POST тела запроса). Допустимые значения: sha2-224 sha2-256 sha2-384 sha2-512 sha3-224 sha3-256 sha3-384 sha3-512 streebog-256 streebog-512 По умолчанию установлено значение “sha2-256”.
batch_inputarrayнетЗадает список элементов, которые будут обрабатываться в одной партии. При задании этого параметра, если параметр ‘input’ также задан, он будет проигнорирован. При выводе любой партии сохраняется порядок ввода партии.
inputstringнетВходные данные в кодировке base64
key_versionintegerнетВерсия ключа, используемая для генерации HMAC. Должно быть 0 (для последней версии) или значение, большее или равное min_encryption_version, настроенному для ключа.

Ответы

200: OK

GET /{transit_mount_path}/keys

ID операции: transit-list-keys

Управляемые именованные ключи шифрования

Параметры

ПараметрТипРасположениеОбязательныйОписание
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд
liststring (true)queryдаДолжно быть установлено значение true.

Ответы

200: OK

GET /{transit_mount_path}/keys/{name}

ID операции: transit-read-key

Управляемые именованные ключи шифрования

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаИмя ключа
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK

POST /{transit_mount_path}/keys/{name}

ID операции: transit-create-key

Управляемые именованные ключи шифрования

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаИмя ключа
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
allow_plaintext_backupbooleanнетВключает создание резервной копии именованного ключа в формате открытого текста. После установки этот параметр нельзя отключить.
auto_rotate_periodinteger (default: 0)нетКоличество времени, которое ключ должен прожить перед автоматическим поворотом. Значение 0 (по умолчанию) отключает автоматический поворот ключа.
contextstringнетЗакодированный в Base64 контекст для деривации ключа. При чтении ключа с включенной деривацией ключей, если тип ключа поддерживает открытые ключи, это вернет открытый ключ для данного контекста.
convergent_encryptionbooleanнетПоддерживать ли конвергентное шифрование. Поддерживается только при использовании ключа с включенной функцией деривации ключа и требует, чтобы все запросы содержали контекст и 96-битный (12-байтный) nonce. Указанный нонс будет использоваться вместо случайно сгенерированного нонса. В результате, при предоставлении одинакового контекста и nonce будет сгенерирован один и тот же шифртекст. При использовании этого режима очень важно убедиться, что все несы уникальны для данного контекста. В противном случае безопасность шифротекста будет сильно снижена.
derivedbooleanнетВключает режим выведения ключей. Это позволяет использовать уникальные ключи для операций шифрования на каждую транзакцию.
exportablebooleanнетВключает возможность экспорта ключей. Это позволяет экспортировать все действующие ключи в связке ключей.
key_sizeinteger (default: 0)нетРазмер ключа в байтах для данного алгоритма. Применяется только для HMAC и должен быть не менее 32 и не более 512 байт.
managed_key_idstringнетUUID управляемого ключа, который следует использовать для этого транзитного ключа
managed_key_namestringнетИмя управляемого ключа, используемого для этого транзитного ключа
typestring (default: aes256-gcm96)нетТип ключа для создания. В настоящее время “aes128-gcm96” (симметричный), “aes256-gcm96” (симметричный), “ecdsa-p256” (асимметричный), “ecdsa-p384” (асимметричный), “ecdsa-p521” (асимметричный), “ed25519” (асимметричный), “rsa-2048” (асимметричный), “rsa-3072” (асимметричный), “rsa-4096” (асимметричный), “gost28147” (симметричный), “gost3410-256-paramset-a”, “gost3410-256-paramset-b”, “gost3410-256-paramset-c”, “gost3410-256-paramset-d”, “gost3410-512-paramset-a”, “gost3410-512-paramset-b”, “gost3410-512-paramset-c”, “gost341264” (симметричный), “gost3412128” (симметричный) поддерживаются. По умолчанию установлено значение “aes256-gcm96”.

Ответы

200: OK

DELETE /{transit_mount_path}/keys/{name}

ID операции: transit-delete-key

Управляемые именованные ключи шифрования

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаИмя ключа
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

204: пустое тело

POST /{transit_mount_path}/keys/{name}/config

ID операции: transit-configure-key

Настройка именованного ключа шифрования

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаИмя ключа
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
allow_plaintext_backupbooleanнетВключает создание резервной копии именованного ключа в формате открытого текста. После установки этот параметр нельзя отключить.
auto_rotate_periodintegerнетКоличество времени, которое ключ должен прожить перед автоматическим поворотом. Значение 0 отключает автоматический поворот ключа.
deletion_allowedbooleanнетРазрешить ли удаление ключа
exportablebooleanнетВключает экспорт ключа. После установки этот параметр нельзя отключить.
min_decryption_versionintegerнетЕсли установлено, минимальная версия ключа, разрешенная для расшифровки. Для ключей подписи - минимальная версия, которую разрешено использовать для проверки.
min_encryption_versionintegerнетЕсли установлено, минимальная версия ключа, которую разрешено использовать для шифрования; или для ключей подписи - для подписи. Если установлено значение ноль, разрешается использовать только последнюю версию ключа.

Ответы

200: OK

POST /{transit_mount_path}/keys/{name}/import

ID операции: transit-import-key

Импортирует сгенерированный извне ключ в новый транзитный ключ

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаИмя ключа
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
allow_plaintext_backupbooleanнетВключает создание резервной копии именованного ключа в формате открытого текста. После установки этот параметр нельзя отключить.
allow_rotationbooleanнетTrue, если импортированный ключ может быть повернут в Vault; false в противном случае.
auto_rotate_periodinteger (default: 0)нетКоличество времени, которое ключ должен прожить перед автоматическим поворотом. Значение 0 (по умолчанию) отключает автоматический поворот ключа.
ciphertextstringнетШифротекст ключей в base64-кодировке. Ключ AES должен быть зашифрован с помощью OAEP с помощью ключа-обертки, а затем конкатенирован с ключом импорта, обернутым ключом AES.
contextstringнетЗакодированный в Base64 контекст для деривации ключа. При чтении ключа с включенной деривацией ключей, если тип ключа поддерживает открытые ключи, это вернет открытый ключ для данного контекста.
derivedbooleanнетВключает режим выведения ключей. Это позволяет использовать уникальные ключи для операций шифрования на каждую транзакцию.
exportablebooleanнетВключает возможность экспорта ключей. Это позволяет экспортировать все действующие ключи в связке ключей.
hash_functionstring (default: SHA256)нетХэш-функция, используемая в качестве случайного оракула в OAEP для обертывания эфемерного ключа AES, созданного пользователем. Может быть одной из “SHA1”, “SHA224”, “SHA256” (по умолчанию), “SHA384” или “SHA512”.
public_keystringнетОткрытый ключ PEM в открытом тексте, который будет импортирован. Если установлено значение “ciphertext”, это поле игнорируется.
typestring (default: aes256-gcm96)нетТип ключа для импорта. В настоящее время “aes128-gcm96” (симметричный), “aes256-gcm96” (симметричный), “ecdsa-p256” (асимметричный), “ecdsa-p384” (асимметричный), “ecdsa-p521” (асимметричный), “ed25519” (асимметричный), “rsa-2048” (асимметричный), “rsa-3072” (асимметричный), “rsa-4096” (асимметричный), “gost28147” (симметричный), “gost3410-256-paramset-a”, “gost3410-256-paramset-b”, “gost3410-256-paramset-c”, “gost3410-256-paramset-d”, “gost3410-512-paramset-a”, “gost3410-512-paramset-b”, “gost3410-512-paramset-c”, “gost341264” (симметричный), “gost3412128” (симметричный) поддерживаются. По умолчанию установлено значение “aes256-gcm96”.

Ответы

200: OK

POST /{transit_mount_path}/keys/{name}/import_version

ID операции: transit-import-key-version

Импортирует сгенерированный извне ключ в существующий импортированный ключ

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаИмя ключа
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
ciphertextstringнетШифротекст ключей в base64-кодировке. Ключ AES должен быть зашифрован с помощью OAEP с помощью ключа-обертки, а затем конкатенирован с ключом импорта, обернутым ключом AES.
hash_functionstring (default: SHA256)нетХэш-функция, используемая в качестве случайного оракула в OAEP для обертывания эфемерного ключа AES, созданного пользователем. Может быть одной из “SHA1”, “SHA224”, “SHA256” (по умолчанию), “SHA384” или “SHA512”.
public_keystringнетОткрытый ключ с открытым текстом, который будет импортирован. Если установлено значение “ciphertext”, это поле игнорируется.
versionintegerнетВерсия ключа для обновления; если оставить пустым, будет создана новая версия, если только не указан закрытый ключ, а для ключа ‘Latest’ закрытый ключ отсутствует.

Ответы

200: OK

POST /{transit_mount_path}/keys/{name}/rotate

ID операции: transit-rotate-key

Поворот именованного ключа шифрования

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаИмя ключа
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
managed_key_idstringнетUUID управляемого ключа, который следует использовать для новой версии этого транзитного ключа.
managed_key_namestringнетИмя управляемого ключа, который следует использовать для новой версии этого транзитного ключа

Ответы

200: OK

POST /{transit_mount_path}/keys/{name}/trim

ID операции: transit-trim-key

Обрезать версии ключей для именованного ключа

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаИмя ключа
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
min_available_versionintegerнетМинимальная доступная версия для брелока. Все версии до этой версии будут удалены безвозвратно. Это значение может быть равно меньшему из ‘min_decryption_version’ и ‘min_encryption_version’. Не разрешается устанавливать это значение, если либо ‘min_encryption_version’, либо ‘min_decryption_version’ установлены в ноль.

Ответы

200: OK

POST /{transit_mount_path}/random

ID операции: transit-generate-random

Генерирует случайные байты

Параметры

ПараметрТипРасположениеОбязательныйОписание
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
bytesinteger (default: 32)нетКоличество генерируемых байтов (параметр тела POST). По умолчанию равно 32 (256 бит).
formatstring (default: base64)нетИспользуемый формат кодировки. Может быть “hex” или “base64”. По умолчанию используется “base64”.
sourcestring (default: platform)нетИз какой системы брать случайные данные: “платформа”, “печать” или “все”.
urlbytesstringнетКоличество байт для генерации (параметр POST URL).

Ответы

200: OK

POST /{transit_mount_path}/random/{source}

ID операции: transit-generate-random-with-source

Генерирует случайные байты

Параметры

ПараметрТипРасположениеОбязательныйОписание
sourcestringpathдаИз какой системы брать случайные данные: “платформа”, “печать” или “все”.
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
bytesinteger (default: 32)нетКоличество генерируемых байтов (параметр тела POST). По умолчанию равно 32 (256 бит).
formatstring (default: base64)нетИспользуемый формат кодировки. Может быть “hex” или “base64”. По умолчанию используется “base64”.
urlbytesstringнетКоличество байт для генерации (параметр POST URL).

Ответы

200: OK

POST /{transit_mount_path}/random/{source}/{urlbytes}

ID операции: transit-generate-random-with-source-and-bytes

Генерирует случайные байты

Параметры

ПараметрТипРасположениеОбязательныйОписание
sourcestringpathдаИз какой системы брать случайные данные: “платформа”, “печать” или “все”.
urlbytesstringpathдаКоличество байт для генерации (параметр POST URL).
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
bytesinteger (default: 32)нетКоличество генерируемых байтов (параметр тела POST). По умолчанию равно 32 (256 бит).
formatstring (default: base64)нетИспользуемый формат кодировки. Может быть “hex” или “base64”. По умолчанию используется “base64”.

Ответы

200: OK

POST /{transit_mount_path}/random/{urlbytes}

ID операции: transit-generate-random-with-bytes

Генерирует случайные байты

Параметры

ПараметрТипРасположениеОбязательныйОписание
urlbytesstringpathдаКоличество байт для генерации (параметр POST URL).
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
bytesinteger (default: 32)нетКоличество генерируемых байтов (параметр тела POST). По умолчанию равно 32 (256 бит).
formatstring (default: base64)нетИспользуемый формат кодировки. Может быть “hex” или “base64”. По умолчанию используется “base64”.
sourcestring (default: platform)нетИз какой системы брать случайные данные: “платформа”, “печать” или “все”.

Ответы

200: OK

POST /{transit_mount_path}/restore

ID операции: transit-restore-key

Восстановите именованный ключ

Параметры

ПараметрТипРасположениеОбязательныйОписание
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
backupstringнетРезервная копия ключевых данных для восстановления. Это должен быть вывод конечной точки ‘backup/’.
forceboolean (default: False)нетЕсли установлено, а ключ с заданным именем существует, принудительно выполните операцию восстановления и отмените ключ.
namestringнетЕсли установлено, это будет имя восстановленного ключа.

Ответы

200: OK

POST /{transit_mount_path}/restore/{name}

ID операции: transit-restore-and-rename-key

Восстановите именованный ключ

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаЕсли установлено, это будет имя восстановленного ключа.
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
backupstringнетРезервная копия ключевых данных для восстановления. Это должен быть вывод конечной точки ‘backup/’.
forceboolean (default: False)нетЕсли установлено, а ключ с заданным именем существует, принудительно выполните операцию восстановления и отмените ключ.

Ответы

200: OK

POST /{transit_mount_path}/rewrap/{name}

ID операции: transit-rewrap

Ротировать шифртекст

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаИмя ключа
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
batch_inputarrayнетУказывает список элементов, которые будут повторно зашифрованы в одном пакете. При задании этого параметра, если параметры ‘ciphertext’, ‘context’ и ’nonce’ также заданы, они будут проигнорированы. Любой пакетный вывод будет сохранять порядок ввода пакета.
ciphertextstringнетЗначение шифртекста для повторного обертывания
contextstringнетЗакодированный в Base64 контекст для выведения ключа. Требуется для производных ключей.
key_versionintegerнетВерсия ключа, используемая для шифрования. Должно быть 0 (для последней версии) или значение, большее или равное min_encryption_version, настроенному для ключа.
noncestringнетNonce для использования конвергентного шифрования

Ответы

200: OK

POST /{transit_mount_path}/sign/{name}

ID операции: transit-sign

Создание подписи для входных данных с использованием именованного ключа

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаКлюч к использованию
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
algorithmstring (default: sha2-256)нетУтрачено: Предпочтительно использовать “hash_algorithm”.
batch_inputarrayнетОпределяет список элементов для обработки. Если этот параметр задан, любые предоставленные параметры ‘input’ или ‘context’ будут проигнорированы. Ответы возвращаются в массиве ‘batch_results’ в элементе ‘data’ ответа. Любой пакетный вывод будет сохранять порядок пакетного ввода
contextstringнетЗакодированный в Base64 контекст для деривации ключа. Требуется, если деривация ключей включена; в настоящее время доступен только для ключей ed25519.
hash_algorithmstring (default: sha2-256)нетИспользуемый алгоритм хэширования (параметр тела POST). Допустимые значения: * sha1 * sha2-224 * sha2-256 * sha2-384 * sha2-512 * sha3-224 * sha3-256 * sha3-384 * sha3-512 * none По умолчанию установлено значение “sha2-256”. Не подходит для всех типов ключей, включая ed25519. Использование none требует установки prehashed=true и signature_algorithm=pkcs1v15, что дает PKCSv1_5_NoOID вместо обычной подписи PKCSv1_5_DERnull.
inputstringнетВходные данные в кодировке base64
key_versionintegerнетВерсия ключа, которую следует использовать для подписи. Должно быть 0 (для последней версии) или значение, большее или равное min_encryption_version, настроенному для ключа.
marshaling_algorithmstring (default: asn1)нетМетод, с помощью которого будет сортироваться подпись. По умолчанию используется ‘asn1’, который применяется в openssl и X.509. Также может быть установлено значение ‘jws’, которое используется для подписей JWT; при этом кодировка подписи будет url-safe base64 вместо стандартной base64-кодировки. В настоящее время действует только для типов ключей ECDSA P-256”.
prehashedbooleanнетУстанавливается в ’true’, если входные данные уже хэшированы. Если тип ключа ‘rsa-2048’, ‘rsa-3072’ или ‘rsa-4096’, то алгоритм, используемый для хеширования входных данных, должен быть указан параметром ‘algorithm’.
salt_lengthstring (default: auto)нетДлина соли, используемой для подписи. В настоящее время применяется только для схемы подписи RSA PSS. Варианты: ‘auto’ (по умолчанию используется в Golang, заставляя соль быть как можно больше при подписи), ‘hash’ (заставляет длину соли равняться длине хэша, используемого в подписи) или целое число между минимальной и максимальной допустимой длиной соли для данного размера ключа RSA. По умолчанию установлено значение ‘auto’.
signature_algorithmstringнетАлгоритм подписи, который будет использоваться для подписания. В настоящее время применяется только для ключей типа RSA. Варианты: ‘pss’ или ‘pkcs1v15’. По умолчанию используется ‘pss’
urlalgorithmstringнетИспользуемый алгоритм хэширования (параметр POST URL)

Ответы

200: OK

POST /{transit_mount_path}/sign/{name}/{urlalgorithm}

ID операции: transit-sign-with-algorithm

Создание подписи для входных данных с использованием именованного ключа

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаКлюч к использованию
urlalgorithmstringpathдаИспользуемый алгоритм хэширования (параметр POST URL)
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
algorithmstring (default: sha2-256)нетУтрачено: Предпочтительно использовать “hash_algorithm”.
batch_inputarrayнетОпределяет список элементов для обработки. Если этот параметр задан, любые предоставленные параметры ‘input’ или ‘context’ будут проигнорированы. Ответы возвращаются в массиве ‘batch_results’ в элементе ‘data’ ответа. Любой пакетный вывод будет сохранять порядок пакетного ввода
contextstringнетЗакодированный в Base64 контекст для деривации ключа. Требуется, если деривация ключей включена; в настоящее время доступен только для ключей ed25519.
hash_algorithmstring (default: sha2-256)нетИспользуемый алгоритм хэширования (параметр тела POST). Допустимые значения: * sha1 * sha2-224 * sha2-256 * sha2-384 * sha2-512 * sha3-224 * sha3-256 * sha3-384 * sha3-512 * none По умолчанию установлено значение “sha2-256”. Не подходит для всех типов ключей, включая ed25519. Использование none требует установки prehashed=true и signature_algorithm=pkcs1v15, что дает PKCSv1_5_NoOID вместо обычной подписи PKCSv1_5_DERnull.
inputstringнетВходные данные в кодировке base64
key_versionintegerнетВерсия ключа, которую следует использовать для подписи. Должно быть 0 (для последней версии) или значение, большее или равное min_encryption_version, настроенному для ключа.
marshaling_algorithmstring (default: asn1)нетМетод, с помощью которого будет сортироваться подпись. По умолчанию используется ‘asn1’, который применяется в openssl и X.509. Также может быть установлено значение ‘jws’, которое используется для подписей JWT; при этом кодировка подписи будет url-safe base64 вместо стандартной base64-кодировки. В настоящее время действует только для типов ключей ECDSA P-256”.
prehashedbooleanнетУстанавливается в ’true’, если входные данные уже хэшированы. Если тип ключа ‘rsa-2048’, ‘rsa-3072’ или ‘rsa-4096’, то алгоритм, используемый для хеширования входных данных, должен быть указан параметром ‘algorithm’.
salt_lengthstring (default: auto)нетДлина соли, используемой для подписи. В настоящее время применяется только для схемы подписи RSA PSS. Варианты: ‘auto’ (по умолчанию используется в Golang, заставляя соль быть как можно больше при подписи), ‘hash’ (заставляет длину соли равняться длине хэша, используемого в подписи) или целое число между минимальной и максимальной допустимой длиной соли для данного размера ключа RSA. По умолчанию установлено значение ‘auto’.
signature_algorithmstringнетАлгоритм подписи, который будет использоваться для подписания. В настоящее время применяется только для ключей типа RSA. Варианты: ‘pss’ или ‘pkcs1v15’. По умолчанию используется ‘pss’

Ответы

200: OK

POST /{transit_mount_path}/verify/{name}

ID операции: transit-verify

Проверить подпись или HMAC для входных данных, созданных с использованием именованного ключа

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаКлюч к использованию
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
algorithmstring (default: sha2-256)нетУтрачено: Предпочтительно использовать “hash_algorithm”.
batch_inputarrayнетОпределяет список элементов для обработки. Когда этот параметр задан, все предоставленные параметры ‘input’, ‘hmac’ или ‘signature’ будут проигнорированы. Ответы возвращаются в массиве ‘batch_results’ в элементе ‘data’ ответа. Любой пакетный вывод будет сохранять порядок пакетного ввода
contextstringнетЗакодированный в Base64 контекст для деривации ключа. Требуется, если деривация ключей включена; в настоящее время доступен только для ключей ed25519.
hash_algorithmstring (default: sha2-256)нетИспользуемый алгоритм хэширования (параметр тела POST). Допустимые значения: * sha1 * sha2-224 * sha2-256 * sha2-384 * sha2-512 * sha3-224 * sha3-256 * sha3-384 * sha3-512 * none По умолчанию установлено значение “sha2-256”. Действует не для всех типов ключей. См. примечание о none в пути подписи.
hmacstringнетHMAC, включая версию заголовка/ключа хранилища
inputstringнетВходные данные в кодировке base64 для проверки
marshaling_algorithmstring (default: asn1)нетМетод, с помощью которого следует размаривать подпись при проверке. По умолчанию используется ‘asn1’, который используется openssl и X.509; также может быть установлено значение ‘jws’, которое используется для подписей JWT, в этом случае подпись также должна быть в url-safe base64-кодировке вместо стандартной base64-кодировки. В настоящее время действует только для типов ключей ECDSA P-256”.
prehashedbooleanнетУстанавливается в ’true’, если входные данные уже хэшированы. Если тип ключа ‘rsa-2048’, ‘rsa-3072’ или ‘rsa-4096’, то алгоритм, используемый для хеширования входных данных, должен быть указан параметром ‘algorithm’.
salt_lengthstring (default: auto)нетДлина соли, используемой для подписи. В настоящее время применяется только для схемы подписи RSA PSS. Варианты: ‘auto’ (по умолчанию используется в Golang, заставляя соль быть как можно больше при подписи), ‘hash’ (заставляет длину соли равняться длине хэша, используемого в подписи) или целое число между минимальной и максимальной допустимой длиной соли для данного размера ключа RSA. По умолчанию установлено значение ‘auto’.
signaturestringнетПодпись, включая версию заголовка/ключа хранилища
signature_algorithmstringнетАлгоритм подписи, используемый для проверки подписи. В настоящее время применяется только для ключей типа RSA. Варианты: ‘pss’ или ‘pkcs1v15’. По умолчанию используется ‘pss’
urlalgorithmstringнетИспользуемый алгоритм хэширования (параметр POST URL)

Ответы

200: OK

POST /{transit_mount_path}/verify/{name}/{urlalgorithm}

ID операции: transit-verify-with-algorithm

Проверить подпись или HMAC для входных данных, созданных с использованием именованного ключа

Параметры

ПараметрТипРасположениеОбязательныйОписание
namestringpathдаКлюч к использованию
urlalgorithmstringpathдаИспользуемый алгоритм хэширования (параметр POST URL)
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Параметры тела запроса

ПараметрТипОбязательныйОписание
algorithmstring (default: sha2-256)нетУтрачено: Предпочтительно использовать “hash_algorithm”.
batch_inputarrayнетОпределяет список элементов для обработки. Когда этот параметр задан, все предоставленные параметры ‘input’, ‘hmac’ или ‘signature’ будут проигнорированы. Ответы возвращаются в массиве ‘batch_results’ в элементе ‘data’ ответа. Любой пакетный вывод будет сохранять порядок пакетного ввода
contextstringнетЗакодированный в Base64 контекст для деривации ключа. Требуется, если деривация ключей включена; в настоящее время доступен только для ключей ed25519.
hash_algorithmstring (default: sha2-256)нетИспользуемый алгоритм хэширования (параметр тела POST). Допустимые значения: * sha1 * sha2-224 * sha2-256 * sha2-384 * sha2-512 * sha3-224 * sha3-256 * sha3-384 * sha3-512 * none По умолчанию установлено значение “sha2-256”. Действует не для всех типов ключей. См. примечание о none в пути подписи.
hmacstringнетHMAC, включая версию заголовка/ключа хранилища
inputstringнетВходные данные в кодировке base64 для проверки
marshaling_algorithmstring (default: asn1)нетМетод, с помощью которого следует размаривать подпись при проверке. По умолчанию используется ‘asn1’, который используется openssl и X.509; также может быть установлено значение ‘jws’, которое используется для подписей JWT, в этом случае подпись также должна быть в url-safe base64-кодировке вместо стандартной base64-кодировки. В настоящее время действует только для типов ключей ECDSA P-256”.
prehashedbooleanнетУстанавливается в ’true’, если входные данные уже хэшированы. Если тип ключа ‘rsa-2048’, ‘rsa-3072’ или ‘rsa-4096’, то алгоритм, используемый для хеширования входных данных, должен быть указан параметром ‘algorithm’.
salt_lengthstring (default: auto)нетДлина соли, используемой для подписи. В настоящее время применяется только для схемы подписи RSA PSS. Варианты: ‘auto’ (по умолчанию используется в Golang, заставляя соль быть как можно больше при подписи), ‘hash’ (заставляет длину соли равняться длине хэша, используемого в подписи) или целое число между минимальной и максимальной допустимой длиной соли для данного размера ключа RSA. По умолчанию установлено значение ‘auto’.
signaturestringнетПодпись, включая версию заголовка/ключа хранилища
signature_algorithmstringнетАлгоритм подписи, используемый для проверки подписи. В настоящее время применяется только для ключей типа RSA. Варианты: ‘pss’ или ‘pkcs1v15’. По умолчанию используется ‘pss’

Ответы

200: OK

GET /{transit_mount_path}/wrapping_key

ID операции: transit-read-wrapping-key

Возвращает открытый ключ, используемый для обертывания импортированных ключей

Параметры

ПараметрТипРасположениеОбязательныйОписание
transit_mount_pathstringpathдаПуть, по которому был смонтирован бэкэнд

Ответы

200: OK