15.2. 更改 HAProxy 的 SSL/TLS 密码规则

如果在 undercloud 中启用了 SSL/TLS （请参阅 第 4.2 节 “undercloud 配置参数”），您可能需要强化与 HAProxy 配置一起使用的 SSL/TLS 密码和规则。这种加强有助于避免 SSL/TLS 漏洞，如 POODLE 漏洞。

使用 hieradata_override undercloud 配置选项，设置下列 hieradata：

例如，您可能需要使用下列密码和规则：

创建一个包含以下内容的 hieradata 覆盖文件 (haproxy-hiera-overrides.yaml)：

tripleo::haproxy::ssl_cipher_suite: ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES256-SHA:ECDHE-ECDSA-DES-CBC3-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA:!DSS
tripleo::haproxy::ssl_options: no-sslv3 no-tls-tickets

设置 undercloud.conf 文件中的 hieradata_override 参数，以便使用在运行 openstack undercloud install 之前创建的 hieradata 覆盖文件：

[DEFAULT]
...
hieradata_override = haproxy-hiera-overrides.yaml
...