E.3. 为 FIPS 启用加密的 VNC 控制台

流程

1. 在管理门户中，点 Compute Clusters。
2. 选择您要启用 VNC 加密的集群并点 Edit。这会打开 Edit Cluster 窗口。
3. 选择 Console 选项卡。
4. 选择 Enable VNC Encryption，点 OK。

流程

1. 在管理门户中，将启用了 FIPS 的主机置于维护模式：

   1. 单击 Compute Hosts。

   2. 在 Virtual Machines 列中，验证每个主机都有零个虚拟机。

      如果需要，执行实时迁移以从主机中删除虚拟机。请参阅 主机之间迁移虚拟机。

   3. 选择每个主机，再单击 Management Maintenance 和 OK。

2. 连接到运行 Manager 的机器的命令行。

   • 独立管理器：

     # ssh root@rhvm

   • 自托管引擎：单击 Compute Virtual Machines 以选择自托管引擎虚拟机（默认名为 HostedEngine ），然后单击 Console。

3. 为每个主机运行 VNC SASL Ansible playbook:

   # cd /usr/share/ovirt-engine/ansible-runner-service-project/project/
   # ansible-playbook --ask-pass --inventory=<hostname> ovirt-vnc-sasl.yml <1>

   指定 Compute Hosts 上显示 的主机名。

4. 选择主机并点 Installation Reinstall。
5. 重新安装后，选择主机并点 Management Restart。
6. 重新引导后，选择主机，再单击 Management Activate。

流程

1. 导航到 https://<engine_address>/ovirt-engine/services/pki-resource?resource=ca-certificate&format=X509-PEM-CA。
2. 启用所有信任设置。

3. 在您要运行 VNC 控制台的客户端机器中，为证书文件创建一个目录：

   $ mkdir ~/.pki/CA

   警告

   如果此步骤生成错误，例如 mkdir: 无法创建目录 '/home/example_user/.pki/CA': File exists，则 采取 precautions 来避免在下一步中覆盖 ~/.pki/CA/cacert.pem。例如，在文件名中包含当前的日期。

4. 下载证书：

   $ curl -k -o ~/.pki/CA/cacert-<today’s date>.pem '\https://<engine_address>/ovirt-engine/services/pki-resource?resource=ca-certificate&format=X509-PEM-CA'

5. 在浏览器中安装证书颁发机构：

   • Firefox
   • Internet Explorer
   • Google Chrome.

6. 在客户端机器上安装 SASL SCRAM 库：

   $ sudo dnf install cyrus-sasl-scram

验证步骤

1. 在您创建的一台启用了 FIPS 的主机上运行虚拟机。
2. 使用 VNC 控制台连接至虚拟机。