第 2 章 将 TLS-e 迁移到 RHOSO 部署

流程

1. 要找到 CA 证书和密钥，请列出 NSSDB 中的所有证书：

   $IPA_SSH certutil -L -d /etc/pki/pki-tomcat/alias

   Copy to Clipboard Toggle word wrap
   • -L 选项列出所有证书。

   • -d 选项指定证书的存储位置。

     该命令生成类似以下示例的输出：

     Certificate Nickname                                         Trust Attributes
                                                                  SSL,S/MIME,JAR/XPI
     
     caSigningCert cert-pki-ca                                    CTu,Cu,Cu
     ocspSigningCert cert-pki-ca                                  u,u,u
     Server-Cert cert-pki-ca                                      u,u,u
     subsystemCert cert-pki-ca                                    u,u,u
     auditSigningCert cert-pki-ca                                 u,u,Pu

     Copy to Clipboard Toggle word wrap

2. 从 /etc/pki/pki-tomcat/alias 目录中导出证书和密钥。以下示例使用 caSigningCert cert-pki-ca 证书：

   $IPA_SSH pk12util -o /tmp/freeipa.p12 -n 'caSigningCert\ cert-pki-ca' -d /etc/pki/pki-tomcat/alias -k /etc/pki/pki-tomcat/alias/pwdfile.txt -w /etc/pki/pki-tomcat/alias/pwdfile.txt

   Copy to Clipboard Toggle word wrap
   注意

   命令生成包含证书和密钥的 P12 文件。/etc/pki/pki-tomcat/alias/pwdfile.txt 文件包含保护密钥的密码。您可以使用密码提取密钥并生成新文件 /tmp/freeipa.p12。您还可以选择其他密码。如果为新文件选择了其他密码，请替换 -w 选项的参数，或者使用 -W 选项，后跟密码，以明文形式替换。

   使用该文件，您还可以使用 openssl pkcs12 命令获取证书和密钥。

3. 创建包含 root CA 的 secret：

   $ oc create secret generic rootca-internal

   Copy to Clipboard Toggle word wrap

4. 从 FreeIPA 导入证书和密钥：

   $ oc patch secret rootca-internal -p="{\"data\":{\"ca.crt\": \"`$IPA_SSH openssl pkcs12 -in /tmp/freeipa.p12 -passin file:/etc/pki/pki-tomcat/alias/pwdfile.txt -nokeys | openssl x509 | base64 -w 0`\"}}"
   
   $ oc patch secret rootca-internal -p="{\"data\":{\"tls.crt\": \"`$IPA_SSH openssl pkcs12 -in /tmp/freeipa.p12 -passin file:/etc/pki/pki-tomcat/alias/pwdfile.txt -nokeys | openssl x509 | base64 -w 0`\"}}"
   
   $ oc patch secret rootca-internal -p="{\"data\":{\"tls.key\": \"`$IPA_SSH openssl pkcs12 -in /tmp/freeipa.p12 -passin file:/etc/pki/pki-tomcat/alias/pwdfile.txt -nocerts -noenc | openssl rsa | base64 -w 0`\"}}"

   Copy to Clipboard Toggle word wrap

5. 创建 cert-manager 签发者并引用 secret：

   $ oc apply -f - <<EOF
   apiVersion: cert-manager.io/v1
   kind: Issuer
   metadata:
     name: rootca-internal
     labels:
       osp-rootca-issuer-public: ""
       osp-rootca-issuer-internal: ""
       osp-rootca-issuer-libvirt: ""
       osp-rootca-issuer-ovn: ""
   spec:
     ca:
       secretName: rootca-internal
   EOF

   Copy to Clipboard Toggle word wrap

6. 删除之前创建的 p12 文件：

   $IPA_SSH rm /tmp/freeipa.p12

   Copy to Clipboard Toggle word wrap