红帽全球峰会第 11 章 DCN 的 tls-e
本发行版本中提供了此功能的内容作为 文档预览，因此不由红帽完全验证。它只用于测试，不要在生产环境中使用。
您可以在为分布式计算节点基础架构设计的云上启用 TLS （传输层安全）。您可以选择只为公共访问启用 TLS，或者在带有 TLS-e 的每个网络上启用 TLS，允许在所有内部和外部数据流上进行加密。
您不能在边缘堆栈上启用公共访问，因为边缘站点没有公共端点。有关用于公共访问的 TLS 的更多信息，请参阅在 Overcloud 公共端点上启用 SSL/TLS。
11.1. 使用 TLS-e 部署分布式计算节点架构
先决条件
当您使用 Red Hat Identity Manager (IdM)在 Red Hat OpenStack Platform (RHOSP)分布式计算节点架构上配置 TLS-e 时，请根据为 Red Hat Identity Manager 部署的 Red Hat Enterprise Linux 版本执行以下操作。
- Red Hat Enterprise Linux 8.4
-
在 Red Hat Identity Management 节点上，在
ipa-ext.conf文件中允许可信子网到 ACL 中：
Copy to Clipboard Copied! Toggle word wrap Toggle overflow 在
/etc/named/ipa-options-ext.conf文件中，允许递归和查询缓存：allow-recursion { trusted_network; }; allow-query-cache { trusted_network; };allow-recursion { trusted_network; }; allow-query-cache { trusted_network; };Copy to Clipboard Copied! Toggle word wrap Toggle overflow 重启 'named-pkcs11 服务：
systemctl restart named-pkcs11
systemctl restart named-pkcs11Copy to Clipboard Copied! Toggle word wrap Toggle overflow
-
在 Red Hat Identity Management 节点上，在
- Red Hat Enterprise Linux 8.2
- 如果您在 Red Hat Enterprise Linux (RHEL) 8.2 上有 Red Hat Identity Manager (IdM) 8.2，您必须升级 Red Hat Enterprise Linux，然后按照 RHEL 8.4 的说明进行操作
- Red Hat Enterprise Linux 7.x
-
如果您在 Red Hat Enterprise Linux (RHEL) 7x 上有 Red Hat Identity Manager (IdM)，您必须手动为您的域名添加访问控制指令(ACI)。例如，如果域名是
redhat.local，请在 Red Hat Identity Manager 上运行以下命令以配置 ACI：
流程
对于分布式计算节点(DCN)架构，需要使用基于 ansible 的 tripleo-ipa 方法来实现 TLS-e，而不是前面的 novajoin 方法。有关使用 tripleo-ipa 部署 TLS-e 的更多信息，请参阅使用 Ansible 实施 TLS-e。
要使用 tripleo-ipa for DCN 架构部署 TLS-e，您还需要完成以下步骤：
如果您要在边缘部署存储，请在为边缘堆栈修改的 tripleo heat 模板中包括以下参数：
TEMPLATES=/usr/share/openstack-tripleo-heat-templates resource_registry: OS::TripleO::Services::IpaClient: ${TEMPLATES}/deployment/ipa/ipaservices-baremetal-ansible.yamlTEMPLATES=/usr/share/openstack-tripleo-heat-templates resource_registry: OS::TripleO::Services::IpaClient: ${TEMPLATES}/deployment/ipa/ipaservices-baremetal-ansible.yamlCopy to Clipboard Copied! Toggle word wrap Toggle overflow
由于中央位置和边缘位置之间设计的不同，请不要在边缘堆栈中包含以下文件：
- tls-everywhere-endpoints-dns.yaml
- 在边缘站点中会忽略此文件，它设置的端点会被从中央堆栈导出的端点覆盖。
- haproxy-public-tls-certmonger.yaml
- 此文件会导致部署失败，因为边缘没有公共端点。
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}