3.9. 使用自定义 SSL 证书配置 Satellite 服务器

流程

1. 要存储所有源证书文件，请创建一个只能被 root 用户访问的目录：

   # mkdir /root/satellite_cert

2. 创建为证书签名请求(CSR)签名的私钥。

   请注意，私钥必须未加密。如果您使用密码保护的私钥，请删除私钥密码。

   如果您已有此 Satellite 服务器的私钥，请跳过这一步。

   # openssl genrsa -out /root/satellite_cert/satellite_cert_key.pem 4096

3. 为 CSR 创建 /root/satellite_cert/openssl.cnf 配置文件并包含以下内容：

   [ req ]
   req_extensions = v3_req
   distinguished_name = req_distinguished_name
   prompt = no
   
   [ req_distinguished_name ]
   commonName = satellite.example.com
   
   [ v3_req ]
   basicConstraints = CA:FALSE
   keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
   extendedKeyUsage = serverAuth, clientAuth, codeSigning, emailProtection
   subjectAltName = @alt_names
   
   [ alt_names ]
   DNS.1 = satellite.example.com

4. 可选： 如果要向 CSR 添加可辨识名称(DN)详情，请在 [ req_distinguished_name ] 部分添加以下信息：

   [req_distinguished_name]
   CN = satellite.example.com
   countryName =My_Country_Name 1
   stateOrProvinceName = My_State_Or_Province_Name 2
   localityName = My_Locality_Name 3
   organizationName = My_Organization_Or_Company_Name
   organizationalUnitName = My_Organizational_Unit_Name 4

   1

   两个字母代码

   2

   全名

   3

   全名（例如：New York）

   4

   负责证书的部门（示例：IT 部门）

5. 生成 CSR：

   # openssl req -new \
   -key /root/satellite_cert/satellite_cert_key.pem \ 1
   -config /root/satellite_cert/openssl.cnf \ 2
   -out /root/satellite_cert/satellite_cert_csr.pem 3

   1

   私钥的路径

   2

   配置文件的路径

   3

   要生成的 CSR 的路径

6. 将证书签名请求发送到证书颁发机构(CA)。同一 CA 必须为 Satellite 服务器和 Capsule 服务器签名证书。

   提交请求时，指定证书的寿命。发送证书请求的方法会有所不同，因此请查阅 CA 查看首选方法。为了响应请求，您可以在单独的文件中接收 CA 捆绑包和签名证书。

流程

1. 验证自定义 SSL 证书输入文件。请注意，对于 katello-certs-check 命令正常工作，证书中的通用名称(CN)必须与 Satellite 服务器的 FQDN 匹配。

   # katello-certs-check \
   -c /root/satellite_cert/satellite_cert.pem \      1
   -k /root/satellite_cert/satellite_cert_key.pem \  2
   -b /root/satellite_cert/ca_cert_bundle.pem        3

   1

   由证书颁发机构签名的 Satellite 服务器证书文件的路径。

   2

   用于为 Satellite 服务器证书签名的私钥的路径。

   3

   证书颁发机构捆绑包的路径。

   如果命令成功，它会返回两个 satellite-installer 命令，其中之一必须用于部署证书到 Satellite 服务器。

   katello-certs-check的输出示例

   Validation succeeded.
   
   To install the Red Hat Satellite Server with the custom certificates, run:
   
     satellite-installer --scenario satellite \
       --certs-server-cert "/root/satellite_cert/satellite_cert.pem" \
       --certs-server-key "/root/satellite_cert/satellite_cert_key.pem" \
       --certs-server-ca-cert "/root/satellite_cert/ca_cert_bundle.pem"
   
   To update the certificates on a currently running Red Hat Satellite installation, run:
   
     satellite-installer --scenario satellite \
       --certs-server-cert "/root/satellite_cert/satellite_cert.pem" \
       --certs-server-key "/root/satellite_cert/satellite_cert_key.pem" \
       --certs-server-ca-cert "/root/satellite_cert/ca_cert_bundle.pem" \
       --certs-update-server --certs-update-server-ca

   请注意，不得访问或修改 /root/ssl-build。

2. 根据您的要求，在 katello-certs-check 命令的输出中，输入 satellite-installer 命令，该命令使用自定义 SSL 证书或更新当前运行的 Satellite 上的证书。

   如果您不确定要运行的命令，您可以通过检查文件 /etc/foreman-installer/scenarios.d/.installed 来验证是否安装了 Satellite。如果文件存在，请运行第二个 satellite-installer 命令来更新证书。

   重要

   在部署证书后，Satellite-installer 需要证书存档文件。不要修改或删除它。例如，升级 Satellite 服务器时需要这样做。

3. 在可访问 Satellite 服务器的计算机上，导航到以下 URL ：
4. 在您的浏览器中，查看证书详情以验证部署的证书。