搜索

附录 D. Red Hat Virtualization 和 SSL

download PDF

D.1. 替换 Red Hat Virtualization Manager SSL/TLS 证书

警告
不要更改 /etc/pki 目录或任何子目录的权限和所有权。/etc/pki/etc/pki/ovirt-engine 目录的权限必须保留为默认的 755。
如果要使用您的机构的第三方 CA 证书通过 HTTPS 连接的用户,请使用以下步骤。
注意
将第三方 CA 证书用于 HTTPS 连接不会影响在 Manager 和主机之间进行身份验证的证书。它们将继续使用 Manager 生成的自签名证书。

前提条件

  • 第三方 CA 证书。这是签发您要使用的证书的 CA (Certificate Authority)的证书。它以 PEM 文件形式提供。证书链必须完成到 root 证书。链的顺序至关重要,且必须从最后一个中间证书到 root 证书。此流程假设第三方 CA 证书在 /tmp/3rd-party-ca-cert.pem 中提供。
  • 要用于 Apache httpd 的私钥。它不能有密码。此流程假定它位于 /tmp/apache.key 中。
  • CA 发布的证书。此流程假定它位于 /tmp/apache.cer 中。
如果您在 P12 文件中从 CA 收到私钥和证书,请使用以下步骤提取它们。对于其他文件格式,请联系您的 CA。提取私钥和证书后,继续 替换 Red Hat Virtualization Manager Apache SSL 证书

过程 D.1. 从 P12 捆绑包中提取证书和密钥

内部 CA 将内部生成的密钥和证书存储在 P12 文件中,该文件存储在 /etc/pki/ovirt-engine/keys/apache.p12 中。红帽建议将新文件存储在同一位置。以下步骤假定新的 P12 文件位于 /tmp/apache.p12 中。
  1. 备份当前的 apache.p12 文件:
    # cp -p /etc/pki/ovirt-engine/keys/apache.p12 /etc/pki/ovirt-engine/keys/apache.p12.bck
  2. 使用新文件替换当前文件:
    # cp /tmp/apache.p12 /etc/pki/ovirt-engine/keys/apache.p12
  3. 将私钥和证书提取到所需的位置。如果文件受密码保护,您必须添加 -passin pass:password,将 password 替换为所需的密码。
    # openssl pkcs12 -in /etc/pki/ovirt-engine/keys/apache.p12 -nocerts -nodes > /tmp/apache.key
    # openssl pkcs12 -in /etc/pki/ovirt-engine/keys/apache.p12 -nokeys > /tmp/apache.cer
    
重要
对于新的 Red Hat Virtualization 安装,您必须完成此流程中的所有步骤。如果您从已经配置了商业签名证书的 Red Hat Enterprise Virtualization 3.6 环境升级,则只需要步骤 1、8 和 9。

过程 D.2. 替换 Red Hat Virtualization Manager Apache SSL 证书

  1. 将您的 CA 证书添加到主机范围的信任存储中:
    # cp /tmp/3rd-party-ca-cert.pem /etc/pki/ca-trust/source/anchors
    # update-ca-trust
  2. 管理器已配置为使用 /etc/pki/ovirt-engine/apache-ca.pem,它是符号链接到 /etc/pki/ovirt-engine/ca.pem。删除符号链接:
    # rm /etc/pki/ovirt-engine/apache-ca.pem
  3. 将您的 CA 证书保存为 /etc/pki/ovirt-engine/apache-ca.pem
    # cp /tmp/3rd-party-ca-cert.pem /etc/pki/ovirt-engine/apache-ca.pem
  4. 备份现有的私钥和证书:
    # cp /etc/pki/ovirt-engine/keys/apache.key.nopass /etc/pki/ovirt-engine/keys/apache.key.nopass.bck
    # cp /etc/pki/ovirt-engine/certs/apache.cer /etc/pki/ovirt-engine/certs/apache.cer.bck
  5. 将私钥复制到所需位置:
    # cp /tmp/apache.key /etc/pki/ovirt-engine/keys/apache.key.nopass
  6. 将证书复制到所需位置:
    # cp /tmp/apache.cer /etc/pki/ovirt-engine/certs/apache.cer
  7. 重启 Apache 服务器:
    # systemctl restart httpd.service
  8. 创建新的信任存储配置文件:
    # vi /etc/ovirt-engine/engine.conf.d/99-custom-truststore.conf
    添加以下内容并保存文件:
    ENGINE_HTTPS_PKI_TRUST_STORE="/etc/pki/java/cacerts"
    ENGINE_HTTPS_PKI_TRUST_STORE_PASSWORD=""
  9. 重启 ovirt-engine 服务:
    # systemctl restart ovirt-engine.service
  10. 替换证书可能会导致日志收集器失败。要防止这种情况,请创建一个新的日志收集器配置文件:
    # vi /etc/ovirt-engine/logcollector.conf.d/99-custom-ca-cert.conf
    添加以下内容并保存文件:
    [LogCollector]
    cert-file=/etc/pki/ovirt-engine/apache-ca.pem
您的用户现在可以连接到管理和门户网站,而不会警告用于加密 HTTPS 流量的证书的真实性。
Red Hat logoGithubRedditYoutubeTwitter

学习

尝试、购买和销售

社区

关于红帽文档

通过我们的产品和服务,以及可以信赖的内容,帮助红帽用户创新并实现他们的目标。

让开源更具包容性

红帽致力于替换我们的代码、文档和 Web 属性中存在问题的语言。欲了解更多详情,请参阅红帽博客.

關於紅帽

我们提供强化的解决方案,使企业能够更轻松地跨平台和环境(从核心数据中心到网络边缘)工作。

© 2024 Red Hat, Inc.