A.5. SSL/TLS 証明書署名要求の作成
次の手順では、アンダークラウドおよびオーバークラウドのいずれかの証明書署名要求を作成します。
カスタマイズするデフォルトの OpenSSL 設定ファイルをコピーします。
$ cp /etc/pki/tls/openssl.cnf .
カスタムの openssl.cnf
ファイルを編集して、director に使用する SSL パラメーターを設定します。変更するパラメーターの種別には以下のような例が含まれます。
[req] distinguished_name = req_distinguished_name req_extensions = v3_req [req_distinguished_name] countryName = Country Name (2 letter code) countryName_default = AU stateOrProvinceName = State or Province Name (full name) stateOrProvinceName_default = Queensland localityName = Locality Name (eg, city) localityName_default = Brisbane organizationalUnitName = Organizational Unit Name (eg, section) organizationalUnitName_default = Red Hat commonName = Common Name commonName_default = 192.168.0.1 commonName_max = 64 [ v3_req ] # Extensions to add to a certificate request basicConstraints = CA:FALSE keyUsage = nonRepudiation, digitalSignature, keyEncipherment subjectAltName = @alt_names [alt_names] IP.1 = 192.168.0.1 DNS.1 = instack.localdomain DNS.2 = vip.localdomain DNS.3 = 192.168.0.1
commonName_default
は以下のいずれか 1 つに設定します。
-
IP アドレスを使用して SSL/TLS 経由でアクセスする場合には、
undercloud.conf
でundercloud_public_host
パラメーターを使用します。 - 完全修飾ドメイン名を使用して SSL/TLS でアクセスする場合には、代わりにドメイン名を使用します。
v3_req
セクションに subjectAltName = @alt_names
を追加します。
alt_names
セクションを編集して、以下のエントリーを追加します。
-
IP
: SSL 経由で director にアクセスするためのクライアントの IP アドレス一覧 -
DNS
: SSL 経由で director にアクセスするためのクライアントのドメイン名一覧。alt_names
セクションの最後に DNS エントリーとしてパブリック API の IP アドレスも追加します。
openssl.cnf
の詳しい情報は man openssl.cnf
を実行してください。
次のコマンドを実行し、手順 1 で作成したキーストアより公開鍵を使用して証明書署名要求を生成します (server.csr.pem
)。
$ openssl req -config openssl.cnf -key server.key.pem -new -out server.csr.pem
「SSL/TLS 鍵の作成」 で作成した SSL/TLS 鍵を -key
オプションで必ず指定してください。
次の項では、この server.csr.pem
ファイルを使用して SSL/TLS 証明書を作成します。