Red Hat Training

A Red Hat training course is available for Red Hat OpenStack Platform

9.5. SSL/TLS 인증서 서명 요청 생성

다음 절차에서는 오버클라우드에 대한 인증서 서명 요청을 생성합니다. 사용자 지정을 위해 기본 OpenSSL 설정 파일을 복사합니다.

$ cp /etc/pki/tls/openssl.cnf .

사용자 정의 openssl.cnf 파일을 편집하고 오버클라우드에 사용할 SSL 매개변수를 설정합니다. 수정할 매개변수 유형의 예제는 다음과 같습니다.

[req]
distinguished_name = req_distinguished_name
req_extensions = v3_req

[req_distinguished_name]
countryName = Country Name (2 letter code)
countryName_default = AU
stateOrProvinceName = State or Province Name (full name)
stateOrProvinceName_default = Queensland
localityName = Locality Name (eg, city)
localityName_default = Brisbane
organizationalUnitName = Organizational Unit Name (eg, section)
organizationalUnitName_default = Red Hat
commonName = Common Name
commonName_default = 10.0.0.1
commonName_max = 64

[ v3_req ]
# Extensions to add to a certificate request
basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment
subjectAltName = @alt_names

[alt_names]
IP.1 = 10.0.0.1
DNS.1 = 10.0.0.1
DNS.2 = myovercloud.example.com

commonName_default 를 다음 중 하나로 설정합니다.

  • IP를 사용하여 SSL/TLS를 통해 액세스하는 경우 공용 API에 가상 IP를 사용합니다. 환경 파일에서 PublicVirtualFixedIPs 매개변수를 사용하여 이 VIP를 설정합니다. 자세한 내용은 8.4절. “예측 가능한 가상 IP 할당”의 내용을 참조하십시오. 예측 가능한 VIP를 사용하지 않는 경우 director는 ExternalAllocationPools 매개변수에 정의된 범위에서 첫 번째 IP 주소를 할당합니다.
  • SSL/TLS를 통해 정규화된 도메인 이름을 사용하는 경우 대신 도메인 이름을 사용합니다.

IP 항목 및 alt_names 섹션에 있는 DNS 항목과 동일한 공용 API IP 주소를 포함합니다. DNS를 사용하는 경우 동일한 섹션에 있는 DNS 항목으로 서버의 호스트 이름을 추가합니다. openssl.cnf 에 대한 자세한 내용은 man openssl.cnf 를 실행합니다.

다음 명령을 실행하여 인증서 서명 요청(server.csr.pem)을 생성합니다.

$ openssl req -config openssl.cnf -key server.key.pem -new -out server.csr.pem

9.4절. “SSL/TLS 키 생성” 에서 -key 옵션에 대해 생성한 SSL/TLS 키를 포함하십시오.

server.csr.pem 파일을 사용하여 다음 섹션에서 SSL/TLS 인증서를 생성합니다.