附录 D. Red Hat Virtualization 和 SSL

过程 D.1. 从 P12 捆绑包中提取证书和密钥

1. 备份当前的 apache.p12 文件：

   # cp -p /etc/pki/ovirt-engine/keys/apache.p12 /etc/pki/ovirt-engine/keys/apache.p12.bck

   Copy to Clipboard Toggle word wrap
2. 使用新文件替换当前文件：

   # cp /tmp/apache.p12 /etc/pki/ovirt-engine/keys/apache.p12

   Copy to Clipboard Toggle word wrap
3. 将私钥和证书提取到所需的位置。如果文件受密码保护，您必须添加 -passin pass:password，将 password 替换为所需的密码。

   # openssl pkcs12 -in /etc/pki/ovirt-engine/keys/apache.p12 -nocerts -nodes > /tmp/apache.key
   # openssl pkcs12 -in /etc/pki/ovirt-engine/keys/apache.p12 -nokeys > /tmp/apache.cer
   

   Copy to Clipboard Toggle word wrap

过程 D.2. 替换 Red Hat Virtualization Manager Apache SSL 证书

1. 将您的 CA 证书添加到主机范围的信任存储中：

   # cp /tmp/3rd-party-ca-cert.pem /etc/pki/ca-trust/source/anchors

   Copy to Clipboard Toggle word wrap

   # update-ca-trust

   Copy to Clipboard Toggle word wrap
2. 管理器已配置为使用 /etc/pki/ovirt-engine/apache-ca.pem，它是符号链接到 /etc/pki/ovirt-engine/ca.pem。删除符号链接：

   # rm /etc/pki/ovirt-engine/apache-ca.pem

   Copy to Clipboard Toggle word wrap
3. 将您的 CA 证书保存为 /etc/pki/ovirt-engine/apache-ca.pem ：

   # cp /tmp/3rd-party-ca-cert.pem /etc/pki/ovirt-engine/apache-ca.pem

   Copy to Clipboard Toggle word wrap
4. 备份现有的私钥和证书：

   # cp /etc/pki/ovirt-engine/keys/apache.key.nopass /etc/pki/ovirt-engine/keys/apache.key.nopass.bck
   # cp /etc/pki/ovirt-engine/certs/apache.cer /etc/pki/ovirt-engine/certs/apache.cer.bck

   Copy to Clipboard Toggle word wrap
5. 将私钥复制到所需位置：

   # cp /tmp/apache.key /etc/pki/ovirt-engine/keys/apache.key.nopass

   Copy to Clipboard Toggle word wrap
6. 将证书复制到所需位置：

   # cp /tmp/apache.cer /etc/pki/ovirt-engine/certs/apache.cer

   Copy to Clipboard Toggle word wrap
7. 重启 Apache 服务器：

   # systemctl restart httpd.service

   Copy to Clipboard Toggle word wrap
8. 创建新的信任存储配置文件：

   # vi /etc/ovirt-engine/engine.conf.d/99-custom-truststore.conf

   Copy to Clipboard Toggle word wrap
   添加以下内容并保存文件：

   ENGINE_HTTPS_PKI_TRUST_STORE="/etc/pki/java/cacerts"
   ENGINE_HTTPS_PKI_TRUST_STORE_PASSWORD=""

   Copy to Clipboard Toggle word wrap
9. 重启 ovirt-engine 服务：

   # systemctl restart ovirt-engine.service

   Copy to Clipboard Toggle word wrap
10. 替换证书可能会导致日志收集器失败。要防止这种情况，请创建一个新的日志收集器配置文件：

    # vi /etc/ovirt-engine/logcollector.conf.d/99-custom-ca-cert.conf

    Copy to Clipboard Toggle word wrap
    添加以下内容并保存文件：

    [LogCollector]
    cert-file=/etc/pki/ovirt-engine/apache-ca.pem

    Copy to Clipboard Toggle word wrap