付録D Red Hat Virtualization および暗号化された通信

現在の apache.p12 ファイルをバックアップします。

# cp -p /etc/pki/ovirt-engine/keys/apache.p12 /etc/pki/ovirt-engine/keys/apache.p12.bck

現在のファイルを新しいファイルに置き換えます。

# cp /tmp/apache.p12 /etc/pki/ovirt-engine/keys/apache.p12

秘密鍵と証明書を必要な場所に抽出します。ファイルがパスワードで保護されている場合は、-passin pass:_password_ を追加し、password を必要なパスワードに置き換える必要があります。

# openssl pkcs12 -in /etc/pki/ovirt-engine/keys/apache.p12 -nocerts -nodes > /tmp/apache.key
# openssl pkcs12 -in /etc/pki/ovirt-engine/keys/apache.p12 -nokeys > /tmp/apache.cer

セルフホストエンジンを使用している場合は、環境をグローバルメンテナーンスモードにします。

# hosted-engine --set-maintenance --mode=global

詳細は、「セルフホストエンジンの保守」 を参照してください。

CA 証明書をホスト全体のトラストストアに追加します。

# cp /tmp/3rd-party-ca-cert.pem /etc/pki/ca-trust/source/anchors
# update-ca-trust

Manager は、/etc/pki/ovirt-engine/ca.pem にシンボリックリンクされている /etc/pki/ovirt-engine/apache-ca.pem を使用するように設定されています。シンボリックリンクを削除します。

# rm /etc/pki/ovirt-engine/apache-ca.pem

CA 証明書を /etc/pki/ovirt-engine/apache-ca.pem として保存します。

# cp /tmp/3rd-party-ca-cert.pem /etc/pki/ovirt-engine/apache-ca.pem

既存の秘密鍵と証明書をバックアップします。

# cp /etc/pki/ovirt-engine/keys/apache.key.nopass /etc/pki/ovirt-engine/keys/apache.key.nopass.bck
# cp /etc/pki/ovirt-engine/certs/apache.cer /etc/pki/ovirt-engine/certs/apache.cer.bck

秘密鍵を必要な場所にコピーします。

# cp /tmp/apache.key /etc/pki/ovirt-engine/keys/apache.key.nopass

秘密鍵の所有者を root に設定し、パーミッションを 0640 に設定します。

# chown root:ovirt  /etc/pki/ovirt-engine/keys/apache.key.nopass
# chmod 640 /etc/pki/ovirt-engine/keys/apache.key.nopass

証明書を必要な場所にコピーします。

# cp /tmp/apache.cer /etc/pki/ovirt-engine/certs/apache.cer

Apache サーバーを再起動します。

# systemctl restart httpd.service

次のパラメーターを使用して、新しいトラストストア設定ファイル /etc/ovirt-engine/engine.conf.d/99-custom-truststore.conf を作成します。

ENGINE_HTTPS_PKI_TRUST_STORE="/etc/pki/java/cacerts"
ENGINE_HTTPS_PKI_TRUST_STORE_PASSWORD=""

/etc/ovirt-engine/ovirt-websocket-proxy.conf.d/10-setup.conf ファイルをコピーし、10 より大きいインデックス番号 (たとえば、99-setup.conf) に名前を変更します。新しいファイルに以下のパラメーターを追加します。

SSL_CERTIFICATE=/etc/pki/ovirt-engine/certs/apache.cer
SSL_KEY=/etc/pki/ovirt-engine/keys/apache.key.nopass

websocket-proxy サービスを再起動します。

# systemctl restart ovirt-websocket-proxy.service

次の内容の新しいファイル /etc/ovirt-engine-backup/engine-backup-config.d/update-system-wide-pki.sh を作成して、engine-backup を有効にして復元時にシステムを更新します。

BACKUP_PATHS="${BACKUP_PATHS}
/etc/ovirt-engine-backup"
cp -f /etc/pki/ovirt-engine/apache-ca.pem
/etc/pki/ca-trust/source/anchors/3rd-party-ca-cert.pem
update-ca-trust

ovirt-provider-ovn サービスを再起動します。

# systemctl restart ovirt-provider-ovn.service

ovirt-engine サービスを再起動します。

# systemctl restart ovirt-engine.service

セルフホストエンジンを使用している場合は、グローバルメンテナーンスモードをオフにします。

# hosted-engine --set-maintenance --mode=none