20.7. 将证书添加到 undercloud

流程

1. 运行以下命令以组合证书和密钥：

   $ cat server.crt.pem server.key.pem > undercloud.pem

   此命令创建 undercloud.pem 文件。

2. 将 undercloud.pem 文件复制到 /etc/pki 目录内的位置，并设置必要的 SELinux 上下文，以便 HAProxy 能够读取：

   $ sudo mkdir /etc/pki/undercloud-certs
   $ sudo cp ~/undercloud.pem /etc/pki/undercloud-certs/.
   $ sudo semanage fcontext -a -t etc_t "/etc/pki/undercloud-certs(/.*)?"
   $ sudo restorecon -R /etc/pki/undercloud-certs

3. 将 undercloud.pem 文件位置添加到 undercloud.conf 文件的 undercloud_service_certificate 选项中：

   undercloud_service_certificate = /etc/pki/undercloud-certs/undercloud.pem

   不要设置或启用 generate_service_certificate 和 certificate_generation_ca 参数。director 使用这些参数自动生成证书，而不使用您手动创建的 undercloud.pem 证书。

4. 将签名证书的证书颁发机构添加到 undercloud 的可信证书颁发机构列表中，以便 undercloud 内的不同服务能够访问证书颁发机构：

   $ sudo cp ca.crt.pem /etc/pki/ca-trust/source/anchors/
   $ sudo update-ca-trust extract

   要验证证书颁发机构是否已添加到 undercloud，请使用 openssl 检查信任捆绑包：

   $ openssl crl2pkcs7 -nocrl -certfile /etc/pki/tls/certs/ca-bundle.crt | openssl pkcs7 -print_certs -text | grep <CN of the CA issuer> -A 10 -B 10

   • 将 <CN of the CA issuer> 替换为 CA 颁发者的通用名称。此命令输出主要证书详细信息，包括有效期日期。