6.7. アンダークラウドへの証明書の追加
OpenStack SSL/TLS 証明書をアンダークラウドのトラストバンドルに追加するには、以下の手順を実施します。
手順
以下のコマンドを実行して、証明書と鍵を統合します。
$ cat server.crt.pem server.key.pem > undercloud.pem
このコマンドにより、
undercloud.pem
ファイルが作成されます。undercloud.pem
ファイルを/etc/pki
ディレクトリー内の場所にコピーし、HAProxy が読み取ることができるように必要な SELinux コンテキストを設定します。$ sudo mkdir /etc/pki/undercloud-certs $ sudo cp ~/undercloud.pem /etc/pki/undercloud-certs/. $ sudo semanage fcontext -a -t etc_t "/etc/pki/undercloud-certs(/.*)?" $ sudo restorecon -R /etc/pki/undercloud-certs
undercloud.conf
ファイルのundercloud_service_certificate
オプションにundercloud.pem
ファイルの場所を追加します。undercloud_service_certificate = /etc/pki/undercloud-certs/undercloud.pem
generate_service_certificate
およびcertificate_generation_ca
パラメーターを設定または有効にしないでください。director は、手動で作成したundercloud.pem
証明書を使用する代わりに、これらのパラメーターを使用して証明書を自動的に生成します。アンダークラウド内の別のサービスが認証局にアクセスできるように、証明書に署名した認証局をアンダークラウドの信頼済み認証局のリストに追加します。
$ sudo cp ca.crt.pem /etc/pki/ca-trust/source/anchors/ $ sudo update-ca-trust extract
認証局がアンダークラウドに追加されたことを確認するには、
openssl
を使用してトラストバンドルを確認します。$ openssl crl2pkcs7 -nocrl -certfile /etc/pki/tls/certs/ca-bundle.crt | openssl pkcs7 -print_certs -text | grep <CN of the CA issuer> -A 10 -B 10
<CN of the CA issuer>
を CA の発行者の一般名に置き換えます。このコマンドにより、有効期間を含むメインの証明書の詳細が出力されます。