第 21 章 从 CA 请求证书并使用 RHEL 系统角色创建自签名证书

流程

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Create certificates
     hosts: managed-node-01.example.com
     tasks:
       - name: Create a self-signed certificate
         ansible.builtin.include_role:
           name: rhel-system-roles.certificate
         vars:
           certificate_requests:
             - name: web-server
               ca: ipa
               dns: www.example.com
               principal: HTTP/www.example.com@EXAMPLE.COM
               run_before: systemctl stop httpd.service
               run_after: systemctl start httpd.service

   示例 playbook 中指定的设置包括以下内容：

   name: <path_or_file_name>

   定义生成的私钥和证书文件的名称或路径：

   • 如果将变量设置为 web-server，该角色会将私钥存储在 /etc/pki/tls/private/web-server.key 中，并将证书存储在 /etc/pki/tls/certs/web-server.crt 文件中。

   • 如果将变量设置为路径，如 /tmp/web-server，该角色会将私钥存储在 /tmp/web-server.key 中，并将证书存储在 /tmp/web-server.crt 文件中。

     请注意，您使用的目录必须设置 cert_t SELinux 上下文。您可以使用 selinux RHEL 系统角色来管理 SELinux 上下文。

   ca: ipa

   定义该角色从 IdM CA 请求证书。

   dns: <hostname_or_list_of_hostnames>

   设置发布的证书中的 Subject Alternative Names (SAN)字段所包含的主机名。您可以使用通配符(*)或以 YAML 列表格式指定多个名称。

   principal: <kerberos_principal>

   可选：设置证书中包含的 Kerberos 主体。

   run_before: <command>

   可选：定义 certmonger 在从 CA 请求证书前应执行的命令。

   run_after: < command>

   可选：定义 certmonger 应该在从 CA 收到发布的证书后执行的命令。

   有关 playbook 中使用的所有变量的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.certificate/README.md 文件。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook:

   $ ansible-playbook ~/playbook.yml