부록 D. Red Hat Virtualization 및 암호화된 통신

현재 apache.p12 파일을 백업하십시오.

# cp -p /etc/pki/ovirt-engine/keys/apache.p12 /etc/pki/ovirt-engine/keys/apache.p12.bck

현재 파일을 새 파일로 바꿉니다.

# cp /tmp/apache.p12 /etc/pki/ovirt-engine/keys/apache.p12

필요한 위치에 개인 키와 인증서를 추출합니다. 파일이 암호로 보호된 경우 -passin pass:_password_ 를 추가하고 암호 를 필수 암호로 교체해야 합니다.

# openssl pkcs12 -in /etc/pki/ovirt-engine/keys/apache.p12 -nocerts -nodes > /tmp/apache.key
# openssl pkcs12 -in /etc/pki/ovirt-engine/keys/apache.p12 -nokeys > /tmp/apache.cer

셀프 호스트 엔진을 사용하는 경우 환경을 글로벌 유지 관리 모드로 설정합니다.

# hosted-engine --set-maintenance --mode=global

자세한 내용은 15.1절. “셀프 호스트 엔진 유지 관리”의 내용을 참조하십시오.

호스트 전체 신뢰 저장소에 CA 인증서를 추가합니다.

# cp /tmp/3rd-party-ca-cert.pem /etc/pki/ca-trust/source/anchors
# update-ca-trust

Manager는 /etc/pki/ovirt-engine/apache-ca.pem 을 사용하도록 구성되어 있으며, 이는 /etc/pki/ovirt-engine/ca.pem 에 심볼릭 링크입니다. 심볼릭 링크를 제거합니다.

# rm /etc/pki/ovirt-engine/apache-ca.pem

CA 인증서를 /etc/pki/ovirt-engine/apache-ca.pem 으로 저장합니다.

# cp /tmp/3rd-party-ca-cert.pem /etc/pki/ovirt-engine/apache-ca.pem

기존 개인 키 및 인증서를 백업합니다.

# cp /etc/pki/ovirt-engine/keys/apache.key.nopass /etc/pki/ovirt-engine/keys/apache.key.nopass.bck
# cp /etc/pki/ovirt-engine/certs/apache.cer /etc/pki/ovirt-engine/certs/apache.cer.bck

개인 키를 필요한 위치에 복사합니다.

# cp /tmp/apache.key /etc/pki/ovirt-engine/keys/apache.key.nopass

개인 키 소유자를 root로 설정하고 권한을 0640 으로 설정합니다.

# chown root:ovirt  /etc/pki/ovirt-engine/keys/apache.key.nopass
# chmod 640 /etc/pki/ovirt-engine/keys/apache.key.nopass

필요한 위치에 인증서를 복사합니다.

# cp /tmp/apache.cer /etc/pki/ovirt-engine/certs/apache.cer

Apache 서버를 다시 시작합니다.

# systemctl restart httpd.service

다음 매개변수를 사용하여 새 신뢰 저장소 구성 파일 /etc/ovirt-engine/engine.d/99-custom-truststore.conf 를 만듭니다.

ENGINE_HTTPS_PKI_TRUST_STORE="/etc/pki/java/cacerts"
ENGINE_HTTPS_PKI_TRUST_STORE_PASSWORD=""

/etc/ovirt-engine/ovirt-websocket-proxy.conf.d/10-setup.conf 파일을 복사하고 10보다 큰 인덱스 번호(예: 99-setup.conf)로 이름을 바꿉니다. 새 파일에 다음 매개변수를 추가합니다.

SSL_CERTIFICATE=/etc/pki/ovirt-engine/certs/apache.cer
SSL_KEY=/etc/pki/ovirt-engine/keys/apache.key.nopass

websocket-proxy 서비스를 다시 시작합니다.

# systemctl restart ovirt-websocket-proxy.service

다음 콘텐츠를 사용하여 새 파일 /etc/ovirt- engine-backup /engine-backup-config.d/update-system-wide-pki.sh를 생성하여 복원 시 시스템을 업데이트하도록 engine-backup을 활성화합니다.

BACKUP_PATHS="${BACKUP_PATHS}
/etc/ovirt-engine-backup"
cp -f /etc/pki/ovirt-engine/apache-ca.pem
/etc/pki/ca-trust/source/anchors/3rd-party-ca-cert.pem
update-ca-trust

ovirt-provider-ovn 서비스를 다시 시작합니다.

# systemctl restart ovirt-provider-ovn.service

ovirt-engine 서비스를 다시 시작합니다.

# systemctl restart ovirt-engine.service

셀프 호스트 엔진을 사용하는 경우 글로벌 유지 관리 모드를 끕니다.

# hosted-engine --set-maintenance --mode=none