1.5. 配置 LDAPS 证书
注意
当使用多个域进行 LDAP 身份验证时，您可能会收到各种错误，如 Unable to retrieve authorized projects，否则 无法识别 Peer 的证书签发者。如果 keystone 对某个域使用不正确的证书，会出现这种情况。作为临时解决方案，将所有 LDAPS 公钥合并到一个 .crt 捆绑包中，并配置所有 keystone 域以使用此文件。
Keystone 使用 LDAPS 查询来验证用户帐户。要加密此流量，keystone 使用 keystone.conf 定义的证书文件。此流程将从 Active Directory 接收的公钥转换为 .crt 格式，并将其复制到 keystone 可以引用的位置。
将 LDAPS 公钥复制到运行 OpenStack Identity (keystone)的节点，并将
.cer转换为.crt。这个示例使用名为addc.lab.local.cer的源证书文件：# openssl x509 -inform der -in addc.lab.local.cer -out addc.lab.local.crt # cp addc.lab.local.crt /etc/pki/ca-trust/source/anchors
注意
另外，如果您需要运行诊断命令，如 ldapsearch，您还需要将证书添加到 RHEL 证书存储中：
将
.cer转换为.pem。这个示例使用名为addc.lab.local.cer的源证书文件：# openssl x509 -inform der -in addc.lab.local.cer -out addc.lab.local.pem
在 OpenStack 控制器上安装
.pem。例如，在 Red Hat Enterprise Linux 中：# cp addc.lab.local.pem /etc/pki/ca-trust/source/anchors/ # update-ca-trust
