1.4. 为外部负载平衡配置 SSL

流程

1. 如果您使用自签名证书，或者证书签名者不在 overcloud 镜像的默认信任存储中，请通过从 heat 模板集合中复制 inject-trust-anchor.yaml 环境文件来将证书注入 overcloud 镜像中：

   Copy to Clipboard Toggle word wrap

   $ cp -r /usr/share/openstack-tripleo-heat-templates/environments/inject-trust-anchor.yaml ~/templates/

2. 在文本编辑器中打开该文件，并将 root 证书颁发机构文件的内容复制到 SSLRootCertificate 参数：

   Copy to Clipboard Toggle word wrap

   parameter_defaults:
     SSLRootCertificate: |
     -----BEGIN CERTIFICATE-----
     MIIDgzCCAmugAwIBAgIJAKk46qw6ncJaMA0GCSqGSIb3DQEBCwUAMFgxCzAJBgNV
     ...
     sFW3S2roS4X0Af/kSSD8mlBBTFTCMBAj6rtLBKLaQbIxEpIzrgvp
     -----END CERTIFICATE-----

   重要

   证书颁发机构内容为所有新行需要相同的缩进级别。

3. 将 OS::TripleO::NodeTLSCAData: 参数的资源 URL 更改为绝对 URL：

   Copy to Clipboard Toggle word wrap

   resource_registry:
     OS::TripleO::NodeTLSCAData: /usr/share/openstack-tripleo-heat-templates/puppet/extraconfig/tls/ca-inject.yaml

4. 可选：如果您使用 DNS 主机名通过 SSL/TLS 访问 overcloud，请创建一个新的环境文件 ~/templates/cloudname.yaml，并在以下参数中定义 overcloud 端点的主机名：

   Copy to Clipboard Toggle word wrap

   parameter_defaults:
     CloudName: overcloud.example.com
     DnsServers: 10.0.0.1

   将以下值替换为您环境中的实际值：

   • cloud Name ：将 overcloud.example.com 替换为 overcloud 端点的 DNS 主机名。
   • DnsServers: 要使用的 DNS 服务器列表。配置的 DNS 服务器必须包含配置的 CloudName 条目，该条目与公共 API 的 IP 匹配。