第 14 章 在 overcloud 公共端点中启用 SSL/TLS

默认情况下，overcloud 将未加密的端点用于 overcloud 服务。要在 overcloud 中启用 SSL/TLS，红帽建议您使用证书颁发机构(CA)解决方案。

当您使用证书颁发机构(CA)解决方案时，您有生产就绪解决方案，如证书续订、证书撤销列表(CRL)和行业可接受的加密。有关使用 Red Hat Identity Manager (IdM)作为 CA 的详情，请参考在 Ansible 实施 TLS。

您可以使用以下手动过程只为公共 API 端点启用 SSL/TLS，内部和管理员 API 保持未加密的。如果不使用 CA，还必须手动更新 SSL/TLS 证书。如需更多信息，请参阅 手动更新 SSL/TLS 证书。

先决条件

  • 网络隔离，以定义公共 API 的端点。
  • openssl-perl 软件包已安装。
  • 您有一个 SSL/TLS 证书。如需更多信息，请参阅 配置自定义 SSL/TLS 证书。

14.1. 初始化签名主机

签名主机是使用证书颁发机构生成并签名新证书的主机。如果您从未在所选签名主机上创建 SSL 证书，您可能需要初始化该主机，让它能够为新证书签名。

流程

  1. /etc/pki/CA/index.txt 文件包含所有签名证书的记录。请确定文件系统路径和 index.txt 文件已存在： 

    $ sudo mkdir -p /etc/pki/CA
$ sudo touch /etc/pki/CA/index.txt

  2. /etc/pki/CA/serial 文件标识下一个序列号，以用于下一个要签名的证书。检查是否存在此文件。如果此文件不存在，则使用新启动值创建新文件： 

    $ echo '1000' | sudo tee /etc/pki/CA/serial