附录 E. Red Hat Virtualization 和加密通信

流程

1. 备份当前 apache.p12 文件：

   # cp -p /etc/pki/ovirt-engine/keys/apache.p12 /etc/pki/ovirt-engine/keys/apache.p12.bck

   Copy to Clipboard Toggle word wrap

2. 将当前文件替换为新文件：

   # cp /tmp/apache.p12 /etc/pki/ovirt-engine/keys/apache.p12

   Copy to Clipboard Toggle word wrap

3. 将私钥和证书提取到所需位置：

   # openssl pkcs12 -in /etc/pki/ovirt-engine/keys/apache.p12 -nocerts -nodes > /tmp/apache.key
   # openssl pkcs12 -in /etc/pki/ovirt-engine/keys/apache.p12 -nokeys > /tmp/apache.cer

   Copy to Clipboard Toggle word wrap

   如果文件受密码保护，请在命令中添加 -passin pass:password，用 所需的密码 替换 password。

流程

1. 如果您使用自托管引擎，请将环境设置为全局维护模式。

   # hosted-engine --set-maintenance --mode=global

   Copy to Clipboard Toggle word wrap

   如需更多信息，请参阅 维护自托管引擎。

2. 将 CA 证书添加到主机范围内的信任存储中：

   # cp /tmp/3rd-party-ca-cert.pem /etc/pki/ca-trust/source/anchors
   # update-ca-trust

   Copy to Clipboard Toggle word wrap

3. 管理器已配置为使用 /etc/pki/ovirt-engine/apache-ca.pem，它符号链接到 /etc/pki/ovirt-engine/ca.pem。删除符号链接：

   # rm /etc/pki/ovirt-engine/apache-ca.pem

   Copy to Clipboard Toggle word wrap

4. 将您的 CA 证书保存为 /etc/pki/ovirt-engine/apache-ca.pem ：

   # cp /tmp/3rd-party-ca-cert.pem /etc/pki/ovirt-engine/apache-ca.pem

   Copy to Clipboard Toggle word wrap

5. 备份现有的私钥和证书：

   # cp /etc/pki/ovirt-engine/keys/apache.key.nopass /etc/pki/ovirt-engine/keys/apache.key.nopass.bck
   # cp /etc/pki/ovirt-engine/certs/apache.cer /etc/pki/ovirt-engine/certs/apache.cer.bck

   Copy to Clipboard Toggle word wrap

6. 将私钥复制到所需位置：

   # cp /tmp/apache.key /etc/pki/ovirt-engine/keys/apache.key.nopass

   Copy to Clipboard Toggle word wrap

7. 将私钥所有者设置为 root，并将权限设置为 0640 ：

   # chown root:ovirt  /etc/pki/ovirt-engine/keys/apache.key.nopass
   # chmod 640 /etc/pki/ovirt-engine/keys/apache.key.nopass

   Copy to Clipboard Toggle word wrap

8. 将证书复制到所需位置：

   # cp /tmp/apache.cer /etc/pki/ovirt-engine/certs/apache.cer

   Copy to Clipboard Toggle word wrap

9. 将证书所有者设置为 root，并将权限设置为 0644 ：

   # chown root:ovirt /etc/pki/ovirt-engine/certs/apache.cer
   # chmod 644 /etc/pki/ovirt-engine/certs/apache.cer

   Copy to Clipboard Toggle word wrap

10. 重启 Apache 服务器：

    # systemctl restart httpd.service

    Copy to Clipboard Toggle word wrap

11. 使用以下参数，创建一个新的信任存储配置文件 /etc/ovirt-engine/engine.conf.d/99-custom-truststore.conf ：

    ENGINE_HTTPS_PKI_TRUST_STORE="/etc/pki/java/cacerts"
    ENGINE_HTTPS_PKI_TRUST_STORE_PASSWORD=""

    Copy to Clipboard Toggle word wrap

12. 复制 /etc/ovirt-engine/ovirt-websocket-proxy.conf.d/10-setup.conf 文件，并使用大于 10 的索引号进行重命名（如 99-setup.conf）。在新文件中添加以下参数：

    SSL_CERTIFICATE=/etc/pki/ovirt-engine/certs/apache.cer
    SSL_KEY=/etc/pki/ovirt-engine/keys/apache.key.nopass

    Copy to Clipboard Toggle word wrap

13. 重启 websocket-proxy 服务：

    # systemctl restart ovirt-websocket-proxy.service

    Copy to Clipboard Toggle word wrap
14. 如果您手动更改了 /etc/ovirt-provider-ovn/conf.d/10-setup-ovirt-provider-ovn.conf 文件，或使用较旧的安装中的配置文件，请确保管理器仍然配置为使用 /etc/pki/ovirt-engine/apache-ca.pem 作为证书源。

15. 创建 /etc/ovirt-engine-backup/engine-backup-config.d 目录：

    # mkdir -p /etc/ovirt-engine-backup/engine-backup-config.d

    Copy to Clipboard Toggle word wrap

16. 使用以下内容创建 /etc/ovirt-engine-backup/engine-backup-config.d/update-system-wide-pki.sh 文件：这将启用 ovirt-engine-backup 以在恢复时自动更新系统。

    BACKUP_PATHS="${BACKUP_PATHS}
    /etc/ovirt-engine-backup"
    cp -f /etc/pki/ovirt-engine/apache-ca.pem \
      /etc/pki/ca-trust/source/anchors/3rd-party-ca-cert.pem
    update-ca-trust

    Copy to Clipboard Toggle word wrap

17. 重启 ovirt-provider-ovn 服务：

    # systemctl restart ovirt-provider-ovn.service

    Copy to Clipboard Toggle word wrap

18. 重启 ovirt-imageio 服务：

    # systemctl restart ovirt-imageio.service

    Copy to Clipboard Toggle word wrap

19. 重启 ovirt-engine 服务：

    # systemctl restart ovirt-engine.service

    Copy to Clipboard Toggle word wrap

20. 如果您使用自托管引擎，请关闭全局维护模式：

    # hosted-engine --set-maintenance --mode=none

    Copy to Clipboard Toggle word wrap