4.17. 配置自定义证书

OpenShift Container Platform API 和 Web 控制台的公共主机名的自定义服务证书 可以在集群安装过程中部署，并可在清单文件中配置。

可使用 openshift_master_named_certificates 集群变量配置证书和密钥文件路径：

openshift_master_named_certificates=[{"certfile": "/path/to/custom1.crt", "keyfile": "/path/to/custom1.key", "cafile": "/path/to/custom-ca1.crt"}]

文件路径对于运行 Ansible 的系统来说必须是本地的。证书会复制到 master 主机，并部署到 /etc/origin/master/named_certificates/ 目录中。

Ansible 检测到证书的 Common Name 和 Subject Alternative Names。在设置 openshift_master_named_certificates 时，可以通过提供 "names" 键来覆盖检测到的名称：

openshift_master_named_certificates=[{"certfile": "/path/to/custom1.crt", "keyfile": "/path/to/custom1.key", "names": ["public-master-host.com"], "cafile": "/path/to/custom-ca1.crt"}]

使用 openshift_master_named_certificates 配置的证书会在 master 上缓存。这意味着每个额外的 Ansible 运行使用不同的证书集合，会导致以前部署的所有证书都保留在 master 主机和 master 配置文件中。

如果要使用提供的值（或无值）覆盖 openshift_master_named_certificates，请指定 openshift_master_overwrite_named_certificates 集群变量：

openshift_master_overwrite_named_certificates=true

如需更完整的示例，请考虑清单文件中的以下集群变量：

openshift_master_cluster_method=native
openshift_master_cluster_hostname=lb-internal.openshift.com
openshift_master_cluster_public_hostname=custom.openshift.com

要覆盖后续 Ansible 运行上的证书，请设置以下参数值：

openshift_master_named_certificates=[{"certfile": "/root/STAR.openshift.com.crt", "keyfile": "/root/STAR.openshift.com.key", "names": ["custom.openshift.com"], "cafile": "/root/ca-file.crt"}]
openshift_master_overwrite_named_certificates=true