Bagaimana saya bisa menandatangani sertifikat boneka?

Wayang memerlukan sertifikat antara klien (wayang) yang dikelola dan server (puppetmaster). Anda dapat berjalan secara manual pada klien dan kemudian pergi ke server untuk menandatangani sertifikat, tetapi bagaimana Anda mengotomatiskan proses ini untuk cluster / mesin cloud?

Di server (puppetmaster) jalankan:

puppetca --generate <NAME>

Kemudian salin yang berikut dari server ke klien:

/var/lib/puppet/ssl/certs/<NAME>.pem
/var/lib/puppet/ssl/certs/ca.pem
/var/lib/puppet/ssl/private_keys/<NAME>.pem

Jika Anda ingin masuk <NAME>sebagai sesuatu selain dari penggunaan hostname:

puppetd --fqdn=<NAME>

Dan tambahkan ke /etc/puppet/puppet.conf jika menjalankan daemon

[puppetd]
certname=<NAME>

Jika Anda memiliki database host, Anda dapat menggunakan fitur tanda otomatis. Di puppet.conffile Anda , di [puppetmasterd], tambahkan:

autosign = /path/to/autosign.conf

Kemudian gunakan crontab untuk menghasilkan file ini. File autosign hanyalah daftar host untuk diautosign ketika mereka pertama kali terhubung ke puppetmaster. Saya menggunakan LDAP untuk mengkonfigurasi host boneka saya, jadi cron saya terlihat seperti:

* * * * * root /usr/bin/ldapsearch -x '(objectClass=puppetClient)' cn | /bin/grep ^cn | /bin/sed 's!^cn: !!' > /etc/puppet/autosign.conf

Saya yakin orang yang menggunakan iClassify akan dapat menulis kueri untuk melakukan hal yang sama.

Tentu saja, Anda perlu memiliki kepercayaan pada jaringan. Saya menggunakan ini pada EC2. Server puppetmaster saya ada di grup yang hanya memungkinkan koneksi dari grup tepercaya lainnya. Saya tidak akan merekomendasikan melakukan ini jika kepala boneka Anda terbuka ke internet.

Jawaban sederhana: secara otomatis menandatangani permintaan baru. Ini tentu saja berbahaya karena Anda secara membabi buta mempercayai sistem apa pun yang terhubung dengan puppetmaster Anda, yang merupakan tujuan untuk memerlukan penandatanganan manual.

[puppetmasterd]
autosign = true

Anda dapat menentukan false dan file yang akan digunakan untuk menentukan kunci mana yang akan ditandatangani juga.

Lihat referensi konfigurasi pada wiki Wayang.

Pilihan lain adalah menggunakan alat seperti Capistrano , tempat Anda menentukan simpul puppetmaster dan membuat simpul instance klien, dan dalam tugas:

• Buat simpul instance, katakan dengan API EC2 dengan Ruby.
• Jalankan puppetd pada instance, terhubung ke server.
• Jalankan puppetca --sign untuk permintaan instance (karena kita tahu nama instance seperti yang diberikan pada bit penciptaan di atas).
• Jalankan puppetd lagi pada instance, kali ini berhasil terhubung saat sertifikat ditandatangani.

Di server (puppetmaster) jalankan:

puppetca --generate <NAME>

Kemudian salin yang berikut dari server ke klien:

/var/lib/puppet/ssl/certs/<NAME>.pem
/var/lib/puppet/ssl/certs/ca.pem
/var/lib/puppet/ssl/private_keys/<NAME>.pem

Jika Anda ingin memiliki sesuatu selain dari penggunaan hostname:

puppetd --fqdn=<NAME>

Dan tambahkan ke /etc/puppet/puppet.conf jika menjalankan daemon

[puppetd]
certname=<NAME>