E.2. Squid プロキシー

Squid プロキシーサーバーの HTTPS ポートのキーペアと証明書を取得します。このキーペアは、別の SSL/TLS サービスのキーペアを取得するのと同じ方法で取得できます。キーペアは、秘密キーと署名付き証明書を含む 2 つの PEM ファイルの形式です。この手順では、proxy.key および proxy.cer という名前が付けられていることを前提としています。

プロキシーのホスト名を選択します。次に、プロキシーの証明書の識別名の他のコンポーネントを選択します。

# openssl x509 -in /etc/pki/ovirt-engine/ca.pem -noout -subject

subject= /C=US/O=Example Inc./CN=engine.example.com.81108

/C=US/O=Example Inc./CN=proxy.example.com

プロキシーマシンにログインし、証明書署名要求を生成します。

# openssl req -newkey rsa:2048 -subj '/C=US/O=Example Inc./CN=proxy.example.com' -nodes -keyout proxy.key -out proxy.req

このコマンドは、proxy.key および proxy.req の 2 つのファイルを生成します。proxy.key は秘密鍵です。このファイルを安全に保持します。proxy.req は証明書署名要求です。proxy.req には、特別な保護は必要ありません。

署名付き証明書を生成するには、証明書署名要求ファイルをプロキシーマシンからマネージャーマシンにコピーします。

# scp proxy.req engine.example.com:/etc/pki/ovirt-engine/requests/.

Manager マシンにログインし、証明書に署名します。

# /usr/share/ovirt-engine/bin/pki-enroll-request.sh --name=proxy --days=3650 --subject='/C=US/O=Example Inc./CN=proxy.example.com'

これにより、証明書が署名され、10 年間 (3650 日) 有効になります。必要に応じて、証明書の有効期限が早くなるように設定します。

生成された証明書ファイルは /etc/pki/ovirt-engine/certs ディレクトリーで利用可能で、proxy.cer という名前を指定する必要があります。プロキシーマシンで、このファイルを Manager マシンから現在のディレクトリーにコピーします。

# scp engine.example.com:/etc/pki/ovirt-engine/certs/proxy.cer .

proxy.key と proxy.cer の両方がプロキシーマシンに存在することを確認します。

# ls -l proxy.key proxy.cer

Squid プロキシーサーバーパッケージをプロキシーマシンにインストールします。

# yum install squid

秘密鍵と署名済み証明書を、プロキシーがアクセスできる場所 (例: /etc/squid ディレクトリー) に移動します。

# cp proxy.key proxy.cer /etc/squid/.

squid ユーザーが、これらのファイルを読み取れるようにパーミッションを設定します。

# chgrp squid /etc/squid/proxy.*
# chmod 640 /etc/squid/proxy.*

Squid プロキシーは、エンジンが使用する証明書を検証する必要があります。Manager 証明書をプロキシーマシンにコピーします。この例では、ファイルパス /etc/squid を使用します。

# scp engine.example.com:/etc/pki/ovirt-engine/ca.pem /etc/squid/.

squid ユーザーが、証明書ファイルを読み取れるようにパーミッションを設定します。

# chgrp squid /etc/squid/ca.pem
# chmod 640 /etc/squid/ca.pem

SELinux が Enforcing モードの場合は、semanage ツールを使用して、ポート 443 のコンテキストを変更して、Squid がポート 443 を使用できるようにします。

# yum install policycoreutils-python
# semanage port -m -p tcp -t http_cache_port_t 443

既存の Squid 設定ファイルを以下に置き換えます。

https_port 443 key=/etc/squid/proxy.key cert=/etc/squid/proxy.cer ssl-bump defaultsite=engine.example.com
cache_peer engine.example.com parent 443 0 no-query originserver ssl sslcafile=/etc/squid/ca.pem name=engine login=PASSTHRU
cache_peer_access engine allow all
ssl_bump allow all
http_access allow all

Squid プロキシーサーバーを再起動します。

# systemctl restart squid.service