5.7. 配置自定义 TLS 证书

流程

• 要使用自定义证书颁发机构(CA)为所有 Ansible Automation Platform 服务生成 TLS 证书，请在清单文件中设置以下变量：

  ca_tls_cert=<path_to_ca_tls_certificate>
  ca_tls_key=<path_to_ca_tls_key>

  Copy to Clipboard Toggle word wrap

流程

• 要手动为每个单个服务提供 TLS 证书（如自动化控制器、自动化中心和 Event-Driven Ansible），请在清单文件中设置以下变量：

  # Platform gateway
  gateway_tls_cert=<path_to_tls_certificate>
  gateway_tls_key=<path_to_tls_key>
  gateway_pg_tls_cert=<path_to_tls_certificate>
  gateway_pg_tls_key=<path_to_tls_key>
  gateway_redis_tls_cert=<path_to_tls_certificate>
  gateway_redis_tls_key=<path_to_tls_key>
  
  # Automation controller
  controller_tls_cert=<path_to_tls_certificate>
  controller_tls_key=<path_to_tls_key>
  controller_pg_tls_cert=<path_to_tls_certificate>
  controller_pg_tls_key=<path_to_tls_key>
  
  # Automation hub
  hub_tls_cert=<path_to_tls_certificate>
  hub_tls_key=<path_to_tls_key>
  hub_pg_tls_cert=<path_to_tls_certificate>
  hub_pg_tls_key=<path_to_tls_key>
  
  # Event-Driven Ansible
  eda_tls_cert=<path_to_tls_certificate>
  eda_tls_key=<path_to_tls_key>
  eda_pg_tls_cert=<path_to_tls_certificate>
  eda_pg_tls_key=<path_to_tls_key>
  eda_redis_tls_cert=<path_to_tls_certificate>
  eda_redis_tls_key=<path_to_tls_key>
  
  # PostgreSQL
  postgresql_tls_cert=<path_to_tls_certificate>
  postgresql_tls_key=<path_to_tls_key>
  
  # Receptor
  receptor_tls_cert=<path_to_tls_certificate>
  receptor_tls_key=<path_to_tls_key>
  
  # Redis
  redis_tls_cert=<path_to_tls_certificate>
  redis_tls_key=<path_to_tls_key>

  Copy to Clipboard Toggle word wrap

• 每个主机可以提供唯一的证书。这需要在您的清单文件中定义特定的 _tls_cert 和 _tls_key 变量，如前面的清单文件示例所示。
• 对于在多个节点间部署的服务（例如，遵循企业拓扑时），该服务提供的证书必须在 Subject Alternative Name (SAN)字段中包括所有关联节点的 FQDN。
• 如果在执行 SSL/TLS 卸载的负载均衡器后面部署了面向外部的服务（如自动化控制器或平台网关），则服务的证书必须在 SAN 字段中包含负载均衡器的 FQDN，除了单个服务节点的 FQDN 外。

流程

• 如果您手动提供的 TLS 证书由自定义 CA 签名，则必须使用清单文件中的以下变量指定 CA 证书：

  custom_ca_cert=<path_to_custom_ca_certificate>

  Copy to Clipboard Toggle word wrap

  如果您有多个 CA 证书，请将它们组合到一个文件中，并使用 custom_ca_cert 变量引用组合证书。