7.2. 配置 Keylime 验证器

流程

1. 安装 Keylime 验证器：

   # dnf install keylime-verifier

2. 通过在 /etc/keylime/verifier.conf.d/ 目录中创建一个新的 .conf 文件来定义验证器的 IP 地址和端口，例如：/etc/keylime/verifier.conf.d/00-verifier-ip.conf，其内容如下：

   [verifier]
   ip = <verifier_IP_address>

   • 将 <verifier_IP_address> 替换为验证器的 IP 地址。或者，使用 ip = * 或 ip = 0.0.0.0 将验证器绑定到所有可用 IP 地址。
   • 另外，您还可以使用 port 选项更改验证器的端口默认值 8881 。

3. 可选：为代理列表配置 verifier 的数据库。默认配置使用验证器的 /var/lib/keylime/cv_data.sqlite/ 目录中的 SQLite 数据库。您可以通过在 /etc/keylime/verifier.conf.d/ 目录中创建一个新的 .conf 文件来定义一个不同的数据库，例如：/etc/keylime/verifier.conf.d/00-db-url.conf，其内容如下：

   [verifier]
   database_url = <protocol>://<name>:<password>@<ip_address_or_hostname>/<properties>

   将 <protocol>://<name>:<password>@<ip_address_or_hostname>/<properties> 替换为数据库的 URL，如 postgresql://verifier:UQ?nRNY9g7GZzN7@198.51.100.1/verifierdb。

   确保您使用的凭证为 Keylime 提供了权限，来创建数据库结构。

4. 将证书和密钥添加到验证器（verifier）中。您可以让 Keylime 生成它们，或使用现有的密钥和证书生成它们：

   • 使用默认 tls_dir = generate 选项，Keylime 在 /var/lib/keylime/cv_ca/ 目录中为验证器、注册器和租户生成新证书。

   • 要在配置中加载现有的密钥和证书，请在验证器配置中定义其位置。证书必须可以被运行 Keylime 服务的 keylime 用户访问。

     在 /etc/keylime/verifier.conf.d/ 目录中创建一个新的 .conf 文件，例如： /etc/keylime/verifier.conf.d/00-keys-and-certs.conf，其内容如下：

     [verifier]
     tls_dir = /var/lib/keylime/cv_ca
     server_key = </path/to/server_key>
     server_key_password = <passphrase1>
     server_cert = </path/to/server_cert>
     trusted_client_ca = ['</path/to/ca/cert1>', '</path/to/ca/cert2>']
     client_key = </path/to/client_key>
     client_key_password = <passphrase2>
     client_cert = </path/to/client_cert>
     trusted_server_ca = ['</path/to/ca/cert3>', '</path/to/ca/cert4>']

     注意

     使用绝对路径定义密钥和证书位置。或者，相对路径是从 tls_dir 选项中定义的目录解析的。

5. 在防火墙中打开端口：

   # firewall-cmd --add-port 8881/tcp
   # firewall-cmd --runtime-to-permanent

   如果您使用其他端口，请将 8881 替换为 .conf 文件中定义的端口号。

6. 启动验证器（verifier）服务：

   # systemctl enable --now keylime_verifier

   注意

   在默认配置中，在启动 keylime_registrar 服务前启动 keylime_verifier，因为验证器会为其他 Keylime 组件创建 CA 和证书。使用自定义证书时不需要这个顺序。