Tham gia Đăng nhập
Điểm:0
avatar Server

Làm cách nào để tạo chứng chỉ cho máy chủ bù nhìn biên dịch (phụ)?

lá cờ ng
Tombart

tôi đang cố gắng con rối quy mô, để có dự phòng, sử dụng DNS vòng tròn. thứ cấp con rối (phiên bản 7.4.0) được định cấu hình để sử dụng quyền CA từ chính con rối:

/etc/puppetlabs/puppet/puppet.conf:

[chủ yếu]
ca_name = Con rối CA: con rối-ca-master.company.com
ca_server = con rối-ca-master.company.com
[đại lý]
máy chủ = con rối-ca-master.company.com
runinterval=1800

Trên máy chủ thứ cấp, tôi đã tắt dịch vụ CA, vì chỉ có thể có một cơ quan cấp chứng chỉ duy nhất trong /etc/puppetlabs/puppetserver/services.d/ca.cfg:

# Để kích hoạt dịch vụ CA, hãy bỏ ghi chú dòng sau
# con rốilabs.services.ca.certificate-authority-service/certificate-authority-service
# Để tắt dịch vụ CA, hãy ghi chú dòng trên và bỏ ghi chú dòng bên dưới
con rốilabs.services.ca.certificate-authority-disabled-service/certificate-authority-disabled-service
con rốilabs.trapperkeeper.services.watcher.filesystem-watch-service/filesystem-watch-service

Tôi đã xóa chứng chỉ khỏi chứng chỉ phụ, để tìm nạp chứng chỉ đã ký chứng chỉ từ chủ CA:

rm -rf /etc/puppetlabs/puppet/ssl && mkdir -p /etc/puppetlabs/puppet/ssl/certs
chmod 0700/etc/puppetlabs/con rối/ssl
chown -R con rối /etc/puppetlabs/puppet/ssl

Tuy nhiên các con rối dịch vụ từ chối bắt đầu vì thiếu chứng chỉ:

2021-09-30T09:06:18.220+02:00 LỖI [async-dispatch-2] [p.t.internal] Lỗi khi bắt đầu dịch vụ!!!
java.lang.IllegalArgumentException: Không thể mở tệp 'ssl-cert': /etc/puppetlabs/puppet/ssl/certs/secondary-puppetserver.company.com.pem

Khi tôi cố chạy đại lý bù nhìn -t trên máy chủ con rối thứ cấp, nó không ký được chứng chỉ:

Không thể tìm nạp chứng chỉ từ máy chủ CA; bạn vẫn có thể cần ký chứng chỉ của đại lý này (secondary-puppetserver.company.com)

Ngoài ra, khóa riêng được tạo, nhưng không phải là khóa công khai:

sẽ là /etc/puppetlabs/puppet/ssl/public_keys/
tổng số 0
190
0 + 0
Điểm:0
avatar Server
lá cờ ng
Tombart

Với cấu hình chính DNS CA vòng tròn /etc/puppetlabs/puppetserver/conf.d/ca.conf cần bao gồm:

allow-subject-alt-name: true

Khởi động lại con rối và tạo chứng chỉ cho máy chủ phụ trên CA master:

máy chủ con rối ca tạo --certname con rối-thứ cấp.company.com --subject-alt-names=puppet-secondary.company.com,puppet.company.com

Giấy chứng nhận chuyển nhượng:

rsync -a /etc/puppetlabs/puppet/ssl/private_keys/puppet-secondary.company.com.pem secondary-puppet:/etc/puppetlabs/puppet/ssl/private_keys/
rsync -a /etc/puppetlabs/puppet/ssl/certs/puppet-secondary.company.com.pem secondary-puppet:/etc/puppetlabs/puppet/ssl/certs/
rsync -a /etc/puppetlabs/puppet/ssl/public_keys/puppet-secondary.company.com.pem secondary-puppet:/etc/puppetlabs/puppet/ssl/public_keys/

và CA

rsync -ra /etc/puppetlabs/puppetserver/ca/{ca_crl.pem,ca_crt.pem} con rối phụ:/etc/puppetlabs/puppetserver/ca/

Thứ hai, đảm bảo rằng dịch vụ CA bị tắt trong /etc/puppetlabs/puppetserver/services.d/ca.cfg.

Và đảm bảo rằng máy chủ web được định cấu hình để sử dụng đúng chứng chỉ /etc/puppetlabspuppetserver/conf.d/webserver.conf:

máy chủ web: {
    truy cập-log-config: /etc/puppetlabs/puppetserver/request-logging.xml
    client-auth: muốn
    máy chủ ssl: 0.0.0.0
    cổng ssl: 8140
    ssl-cert: /etc/puppetlabs/puppet/ssl/certs/puppet-secondary.company.com.pem
    khóa ssl: /etc/puppetlabs/puppet/ssl/private_keys/puppet-secondary.company.com.pem
    ssl-ca-cert: /etc/puppetlabs/puppetserver/ca/ca_crt.pem
    ssl-crl-path: /etc/puppetlabs/puppetserver/ca/ca_crl.pem
}

Trên tên thay thế DNS chính của CA có thể được xác minh. Tất cả các máy chủ con rối cần bao gồm cùng một tên miền và tên duy nhất khác.

máy chủ con rối danh sách --all

tìm kiếm tên thay thế: ["DNS: ... . Khi chứng chỉ được tạo bằng cách sử dụng điệp viên bù nhìn, tên thay thế không được bao gồm.

0 + 0
lá cờ VietNam
Phan Văn Trường
Câu hỏi này là trong các ngôn ngữ khác:

Đăng câu trả lời

Hầu hết mọi người không hiểu rằng việc đặt nhiều câu hỏi sẽ mở ra cơ hội học hỏi và cải thiện mối quan hệ giữa các cá nhân. Ví dụ, trong các nghiên cứu của Alison, mặc dù mọi người có thể nhớ chính xác có bao nhiêu câu hỏi đã được đặt ra trong các cuộc trò chuyện của họ, nhưng họ không trực giác nhận ra mối liên hệ giữa câu hỏi và sự yêu thích. Qua bốn nghiên cứu, trong đó những người tham gia tự tham gia vào các cuộc trò chuyện hoặc đọc bản ghi lại các cuộc trò chuyện của người khác, mọi người có xu hướng không nhận ra rằng việc đặt câu hỏi sẽ ảnh hưởng—hoặc đã ảnh hưởng—mức độ thân thiện giữa những người đối thoại.