Question

我有两个网络，在这两个网络中我都使用Puppet来管理配置。第二个网络是第一个网络的扩展，它拥有自己的CA，我正在使用自动签名。我在那里有几个节点，我正在尝试使用第一个网络上的一些代理。显然，此代理需要来自每个CA的有效证书。

要从第二个网络CA获取证书，我在代理清单中定义了一个exec资源，在该清单中我使用了无效的环境。这样我获得了证书但是木偶代理运行没有完成。到目前为止一切都很好。

现在棘手的部分是我需要这些新证书才能拥有一些DNS备用名称。据我所知，我必须在第二个网络CA的puppet.conf中添加选项dns_alt_names，但这不是一个选项，原因有两个：

所有证书（甚至是非代理节点的证书）都将具有这些alt名称。
默认情况下不允许使用其他名称，因此我必须使用--allow-dns-alt-names手动签署证书。

关于如何做到这一点的任何替代/解决方案？

Answer 1

对不起，我刚碰到过这个。签署证书时，Puppet支持dns alt名称。这是多主机设置文档的一部分：

https://docs.puppet.com/pe/latest/install_multimaster.html

curl -k https://[your master]:8140/packages/current/install.bash | sudo bash -s main:dns_alt_names=<COMMA-SEPARATED LIST OF ALT NAMES FOR THE PUPPET MASTER>

从命令行中运行 puppet cert --allow-dns-alt-names sign example.master.example.com。

希望有帮助吗？干杯

将DNS替代名称添加到Puppet中的证书

1 个答案: