Добавьте альтернативные имена DNS в сертификаты в Puppet

У меня две сети, и в обеих я использую Puppet для управления конфигурацией. Вторая сеть, расширение первой, имеет свой ЦС, в котором я использую автоподпись. У меня есть несколько узлов, и я пытаюсь использовать некоторые прокси, которые у меня есть в первой сети. Очевидно, что этим прокси потребуется действующий сертификат от каждого ЦС.

Чтобы получить сертификат от второго сетевого ЦС, я определил ресурс exec в манифестах прокси, в которых я использую недопустимую среду. Таким образом, я получаю сертификат, но запуск марионеточного агента не завершен. Все идет нормально.

Сложность заключается в том, что мне нужно, чтобы эти новые сертификаты имели альтернативные имена DNS. Насколько я знаю, мне нужно добавить параметр dns_alt_names во второй сетевой ЦС puppet.conf, но это не вариант по двум причинам:

  1. Все сертификаты (даже не прокси-узлы) будут иметь эти альтернативные имена.
  2. Альтернативные имена запрещены по умолчанию, поэтому мне приходится подписывать сертификаты вручную, используя --allow-dns-alt-names.

Любая альтернатива/решение о том, как это сделать?


dns ca puppet
person David Moreno García    schedule 22.04.2016    source источник
comment
не совсем понял вашу структуру, но я думаю, вы могли бы установить мастер марионеток как приложение rails с внешним веб-сервером, таким как apache или nginx, а затем попытаться поиграть с виртуальными хостами с разными цепочками сертификатов. чтобы использовать один и тот же код на обоих веб-серверах, его можно связать с помощью ln -s.   -  person Dmitry Sukhodoyev    schedule 22.04.2016

Ответы (1)


arrow_upward
0
arrow_downward

Привет, извини, я только что наткнулся на это. Puppet поддерживает альтернативные имена DNS, когда вы подписываете свои сертификаты. Это часть документации по настройкам с несколькими мастерами:

https://docs.puppet.com/pe/latest/install_multimaster.html

curl -k https://[your master]:8140/packages/current/install.bash | sudo bash -s main:dns_alt_names=<COMMA-SEPARATED LIST OF ALT NAMES FOR THE PUPPET MASTER>

В командной строке запустите puppet cert --allow-dns-alt-names sign example.master.example.com.

Надеюсь, это поможет? Ваше здоровье

person BoeroBoy    schedule 09.08.2016