Как вручную создать Марионетку CA и сертификаты?
Я задаюсь вопросом, как к вручную (использующий openssl вместо марионетки приблизительно управляют) создают CA, который был бы применим Марионеткой? Цель состояла бы в том, чтобы написать сценарий создания такого CA для развертывания их на нескольких puppetmasters вместо сертификатов, создаваемых на них через марионеточную команду сертификата.
Какие-либо идеи о том, как сделать это? Я только смог найти что-то как этот: https://wiki.mozilla.org/ReleaseEngineering/PuppetAgain/HowTo/Set_up_a_standalone_puppetmaster, но этому не удается работать - после создания CA и клиентского сертификата и применения их к puppetmaster, это жалуется с:
Feb 16 09:35:20 test puppet-master[81728]: Could not prepare for execution: The certificate retrieved from the master does not match the agent's private key.
Feb 16 09:35:20 test puppet-master[81728]: Certificate fingerprint: 4F:08:AE:01:B9:14:AC:A4:EA:A7:92:D7:02:E9:34:39:1C:5F:0D:93:A0:85:1C:CF:68:E4:52:B8:25:D1:11:64
Feb 16 09:35:20 test puppet-master[81728]: To fix this, remove the certificate from both the master and the agent and then start a puppet run, which will automatically regenerate a certficate.
Feb 16 09:35:20 test puppet-master[81728]: On the master:
Feb 16 09:35:20 test puppet-master[81728]: puppet cert clean test
Feb 16 09:35:20 test puppet-master[81728]: On the agent:
Feb 16 09:35:20 test puppet-master[81728]: rm -f /var/puppet/ssl/certs/test.pem
Feb 16 09:35:20 test puppet-master[81728]: puppet agent -t
Агент не использует предварительно сгенерированный клиентский сертификат. Вместо этого он создал CSR (с новым ключом), поэтому хозяин не будет доверять агенту.
Убедитесь, что файлы, найденные в
`puppet agent --configprint ssldir`/{certs,private_keys}/`puppet agent --configprint certname`
, идентичны тем, что вы сгенерировали и наложили на своего хозяина. (Ведущий должен получить а не копию личного ключа агента)
. Я не знаю, зачем вам вообще нужен сценарий, генерирующий сертификаты? После того, как марионетка сгенерирует сертификат, который должен работать, пока у вас есть клиент (агент). Если вы не удалили клиента и не создали новый клиентский компьютер с тем же именем хоста. Если вы запустите puppet, он будет жаловаться, что есть несоответствие закрытого ключа. Вместо этого вы должны очистить сертификат на марионеточном сервере всякий раз, когда вам не нужен клиент (например, вы переустанавливаете ОС или воссоздаете виртуальную машину) с помощью теста очистки марионеточного сертификата на puppetmaster.
Пожалуйста, обратитесь по этому URL-адресу. этот URL может помочь решить вашу проблему https://docs.puppet.com/puppet/5.0/ssl_regenerate_certificates.html