4.12. カスタムの SSL 証明書を使用した Satellite Server の設定

手順

1. ソースの証明書ファイルすべてを保存するには、root ユーザーだけがアクセスできるディレクトリーを作成します。

   # mkdir /root/satellite_cert

2. Certificate Signing Request (CSR) を署名する秘密鍵を作成します。

   秘密鍵は暗号化する必要がないことに注意してください。パスワードで保護された秘密鍵を使用する場合は、秘密鍵のパスワードを削除します。

   この Satellite Server の秘密鍵がすでにある場合は、この手順を省略します。

   # openssl genrsa -out /root/satellite_cert/satellite_cert_key.pem 4096

3. 証明書署名要求 (CSR) 用の /root/satellite_cert/openssl.cnf 設定ファイルを作成して、以下のコンテンツを追加します。

   [ req ]
   req_extensions = v3_req
   distinguished_name = req_distinguished_name
   x509_extensions = usr_cert
   prompt = no
   
   [ req_distinguished_name ] 

   1

   
   C  = Country Name (2 letter code)
   ST = State or Province Name (full name)
   L  = Locality Name (eg, city)
   O  = Organization Name (eg, company)
   OU = The division of your organization handling the certificate
   CN = satellite.example.com 

   2

   
   
   [ v3_req ]
   basicConstraints = CA:FALSE
   keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
   extendedKeyUsage = serverAuth, clientAuth, codeSigning, emailProtection
   subjectAltName = @alt_names
   
   [ usr_cert ]
   basicConstraints=CA:FALSE
   nsCertType = client, server, email
   keyUsage = nonRepudiation, digitalSignature, keyEncipherment
   extendedKeyUsage = serverAuth, clientAuth, codeSigning, emailProtection
   nsComment = "OpenSSL Generated Certificate"
   subjectKeyIdentifier=hash
   authorityKeyIdentifier=keyid,issuer
   
   [ alt_names ]
   DNS.1 = satellite.example.com 

   3

   1

   [ req_distinguished_name ] セクションに、貴社の組織の情報を入力します。

   2

   証明書のコモンネーム CN を、Satellite Server の完全修飾ドメイン名 (FQDN) と一致するように設定します。FQDN を確認するには、対象の Satellite Server で hostname -f コマンドを入力します。これは、katello-certs-check コマンドが証明書を正しく検証することを確認するために必要です。

   3

   サブジェクトの別名 (SAN: Subject Alternative Name) DNS.1 を、お使いのサーバーの完全修飾ドメイン名 (FQDN) に一致する用に設定します。

4. 証明書署名要求 (CSR) を作成します。

   # openssl req -new \
   -key /root/satellite_cert/satellite_cert_key.pem \ 

   1

   
   -config /root/satellite_cert/openssl.cnf \ 

   2

   
   -out /root/satellite_cert/satellite_cert_csr.pem 

   3

   1

   秘密鍵へのパス

   2

   設定ファイルへのパス

   3

   生成する CSR へのパス

5. 証明局に証明書署名要求を送信します。同じ証明局を使用して Satellite Server と Capsule Server の証明書を署名する必要がある。

   要求を送信する場合は、証明書の有効期限を指定してください。証明書要求を送信する方法は異なるため、推奨される方法について認証局にお問い合わせください。要求への応答で、認証局バンドルと署名済み証明書を別々のファイルで受け取ることになります。

手順

1. カスタムの SSL 証明書入力ファイルを検証します。katello-certs-check コマンドが正しく実行されるには、証明書のコモンネーム (CN) が Satellite Server の FQDN と一致する必要があることに注意してください。

   # katello-certs-check \
   -c /root/satellite_cert/satellite_cert.pem \      

   1

   
   -k /root/satellite_cert/satellite_cert_key.pem \  

   2

   
   -b /root/satellite_cert/ca_cert_bundle.pem        

   3

   1

   認証局が署名した Satellite Server の証明書ファイルへのパス

   2

   Satellite Server 証明書の署名に使用された秘密鍵へのパス。

   3

   認証局バンドルへのパス

   このコマンドに成功すると、2 つの satellite-installer コマンドが返されます。1 つは、Satellite Server に証明書をデプロイするのに使用する必要があります。

   カスタム証明書を使用して Red Hat Satellite Server をインストールするには、以下を実行します。

     satellite-installer --scenario satellite \
       --certs-server-cert "/root/satellite_cert/satellite.example.com_cert.pem" \
       --certs-server-key "/root/satellite_cert/satellite.example.com_cert_key.pem" \
       --certs-server-ca-cert "/root/satellite_cert/CA-Chain.pem"

   現在実行中の Satellite インストールで証明書を更新するには、以下を実行します。

     satellite-installer --scenario satellite \
       --certs-server-cert "/root/satellite_cert/satellite.example.com_cert.pem" \
       --certs-server-key "/root/satellite_cert/satellite.example.com_cert_key.pem" \
       --certs-server-ca-cert "/root/satellite_cert/CA-Chain.pem" \
       --certs-update-server \
       --certs-update-server-ca

2. 要件に合わせて、satellite-installer コマンドを入力し、カスタムの SSL 証明書で新しい Satellite Server をインストールするか、現在実行中の Satellite Server の証明書を更新します。katello-certs-check コマンドの出力は正確でない場合があります。したがって、コマンド出力ではなく、上記の手順に従う必要があります。

   実行するコマンドが不明な場合には、/etc/foreman-installer/scenarios.d/.installed が存在するかをチェックし、Satellite がインストールされていることが確認できます。ファイルが存在する場合には、2 番目の satellite-installer コマンドを実行すると証明書が更新されます。

   重要

   証明書のデプロイ後に、証明書のアーカイブファイルを削除しないでください。Satellite Server のアップグレード時などに必要です。

3. Satellite Server にネットワークでアクセスできるコンピューターで、この URL (https://satellite.example.com) に移動します。
4. ブラウザーで、証明書の詳細を表示して、デプロイした証明書を確認します。