Я установил марионеточный сервер и агент, примите запрос исходного агента с помощью sudo /opt/puppetlabs/bin/puppetserver ca sign --certname mywindowshost на сервере.
Я вижу, что сертификаты размещены ниже и существуют для корневого CA сервера и сертификата для агента:
C:\Windows\system32>puppet agent --configprint localcacert
C:/ProgramData/PuppetLabs/puppet/etc/ssl/certs/ca.pem
Однако, запустив приведенное ниже на агенте, чтобы проверить его, я получаю следующее:
C:\Windows\system32>puppet agent --test
Warning: Unable to fetch my node definition, but the agent run will continue:
Warning: SSL_connect returned=1 errno=0 state=error: certificate verify failed: [unable to get issuer certificate for /CN=Puppet CA: puppet.mydomain.com]
Info: Retrieving pluginfacts
Error: /File[C:/ProgramData/PuppetLabs/puppet/cache/facts.d]: Failed to generate additional resources using 'eval_generate': SSL_connect returned=1 errno=0 state=error: certificate verify failed: [unable to get issuer certificate for /CN=Puppet CA: puppet.mydomain.com]
Error: /File[C:/ProgramData/PuppetLabs/puppet/cache/facts.d]: Could not evaluate: Could not retrieve file metadata for puppet:///pluginfacts: SSL_connect returned=1 errno=0 state=error: certificate verify failed: [unable to get issuer certificate for /CN=Puppet CA: puppet.mydomain.com]
Info: Retrieving plugin
Error: /File[C:/ProgramData/PuppetLabs/puppet/cache/lib]: Failed to generate additional resources using 'eval_generate': SSL_connect returned=1 errno=0 state=error: certificate verify failed: [unable to get issuer certificate for /CN=Puppet CA: puppet.mydomain.com]
Error: /File[C:/ProgramData/PuppetLabs/puppet/cache/lib]: Could not evaluate: Could not retrieve file metadata for puppet:///plugins: SSL_connect returned=1 errno=0 state=error: certificate verify failed: [unable to get issuer certificate for /CN=Puppet CA: puppet.mydomain.com]
Error: Could not retrieve catalog from remote server: SSL_connect returned=1 errno=0 state=error: certificate verify failed: [unable to get issuer certificate for /CN=Puppet CA: puppet.mydomain.com]
Warning: Not using cache on failed catalog
Error: Could not retrieve catalog; skipping run
Error: Could not send report: SSL_connect returned=1 errno=0 state=error: certificate verify failed: [unable to get issuer certificate for /CN=Puppet CA: puppet.mydomain.com]
Я могу увидеть сертификат, если я перехожу в веб-браузер с машины агента на https://puppet.mydomain.com:8140/puppet-ca/v1/certificate/ca отображается сертификат CA.
На клиенте C:\ProgramData\PuppetLabs\puppet\etc\puppet.conf показано ниже:
[main]
server=puppet.mydomain.com
autoflush=true
manage_internal_file_permissions=false
На сервере /etc/puppetlabs/puppet/puppet.conf показано ниже:
[master]
dns_alt_names = puppet.mydomain.com,puppet-svr1
vardir = /opt/puppetlabs/server/data/puppetserver
logdir = /var/log/puppetlabs/puppetserver
rundir = /var/run/puppetlabs/puppetserver
pidfile = /var/run/puppetlabs/puppetserver/puppetserver.pid
codedir = /etc/puppetlabs/code
[main]
certname = puppet.mydomain.com
server = puppet.mydomain.com
environment = production
runinterval = 15m
На сервере можно увидеть сертификаты по жанрам:
admin@puppet-svr1:/etc/puppetlabs/puppet$ sudo /opt/puppetlabs/bin/puppetserver ca list --all
Signed Certificates:
home (SHA256) 5E:2D:70:03:B1:A4:81:50:ED:A7:10:88:FD:8E:D0:A6:85:0D:27:D9:A0:65:86:2D:D5:C6:08:B3:C9:4D:37:90
puppet.mydomain.com (SHA256) 4A:14:F1:FB:5D:23:AC:D9:D8:A3:EA:D7:F0:68:B2:7D:9C:46:4D:77:68:F7:E9:5A:3B:61:07:24:3F:20:6B:B3 alt names: ["DNS:puppet.mydomain.com", "DNS:puppet-svr1", "DNS:puppet.mydomain.com"]
Все DNS разрешаются как от самого сервера (самому себе по его IP-адресу), так и от агента.
Время сопоставляется и синхронизируется между агентом и сервером.
Я также выполнил процедуру сброса CA и получил ту же ошибку https://puppet.com/docs/puppet/6.4/ssl_regenerate_certificates.html.
Я заметил, что сертификат, выданный в https://puppet.mydomain.com:8140/puppet-ca/v1/certificate/ca содержит два сертификата (один наложен поверх другого), а один размещен в каталоге агента C:/ProgramData/PuppetLabs/puppet/etc/ssl/certs/ca.pem содержит только один из трех сертификатов (между -----BEGIN CERTIFICATE---- and -----END CERTIFICATE-----, самый верхний).
ОБНОВЛЕНИЕ ПОТЕНЦИАЛЬНАЯ ПРОБЛЕМА ОБНАРУЖЕНА. У меня теперь она работает с certificate_revocation = false и используя полный сертификат цепи от https://puppet.mydomain.com:8140/puppet-ca/v1/certificate/ca
Я считаю, что обнаружил проблему, протестировав выданный агентом автоматически загруженный ЦС (у которого был только один ЦС), я получил следующее:
C:\ProgramData\PuppetLabs\puppet\etc\ssl\certs>openssl verify -CAfile ca.pem home-hv1.pem
home-hv1.pem: CN = Puppet CA: puppet.mydomain.com
error 2 at 1 depth lookup:unable to get issuer certificate
Затем я заменил chain.ca (на котором были оба сертификата) как ca.pem и повторно:
C:\ProgramData\PuppetLabs\puppet\etc\ssl\certs>openssl verify -CAfile ca.pem home-hv1.pem
home-hv1.pem: OK
Однако при запуске теста он жалуется на отсутствие CRL (действительно, я не вижу URL-адрес CRL, указанный в сгенерированном сертификате):
C:\ProgramData\PuppetLabs\puppet\etc\ssl\certs>puppet agent --test
Warning: Unable to fetch my node definition, but the agent run will continue:
Warning: SSL_connect returned=1 errno=0 state=error: certificate verify failed: [unable to get certificate CRL for /CN=Puppet CA: puppet.mydomain.com]
Обновление puppet.conf на агенте:
[main]
server=puppet.mydomain.com
autoflush=true
manage_internal_file_permissions=false
certificate_revocation = false
И перезапуск службы позволил ей запустить:
Info: Using configured environment 'production'
Info: Retrieving pluginfacts
Info: Retrieving plugin
Info: Retrieving locales
Info: Caching catalog for home-hv1
Info: Applying configuration version '1559933691'
Мне не нравится работать без CRL, но почему он вообще не предоставляется?
Какие-либо шаги я пропустил или делаю что-то не так, или это ошибка?
Есть идеи, что еще проверить, чтобы это работало, не возясь из коробки?
Я думаю, что в некоторых версиях puppetserver (или, возможно, при использовании puppetserver ca setup для инициализации ЦС) ваш ЦС создается с промежуточным сертификатом в цепочке, но когда сертификат клиента подписывается, /etc/puppetlabs/puppet/ssl/certs/ca.pem на клиенте нет этого промежуточного звена, поэтому вы получите ошибку вроде:
Ошибка: /File[/opt/puppetlabs/puppet/cache/facts.d]: не удалось оценить: не удалось получить метаданные файла для puppet: /// pluginfacts: SSL_connect возвращено = 1 errno = 0 state = error: проверка сертификата не удалась : [невозможно получить сертификат эмитента для / CN = Puppet CA: puppet.example.com]
Ошибка: не удалось отправить отчет: SSL_connect возвращено = 1 errno = 0 состояние = ошибка: не удалось проверить сертификат: [невозможно получить сертификат эмитента для / CN = Puppet CA: puppet.example.com]
Или даже после того, как все заработало, список отозванных сертификатов по-прежнему не работает:
Ошибка: не удалось запросить сертификат: запрос https://puppet.example.com:8140//puppet-ca/v1/certificate/k8s-3813-kam1 не удалось: SSL_connect возвращено = 1 errno = 0 состояние = ошибка: проверка сертификата не удалась: [невозможно получить CRL сертификата для / CN = Puppet CA: puppet.example.com]
Простое исправление - загрузка полного открытого ключа CA и перезапись неправильной цепочки на клиенте. Предполагая, что puppet.example.com - ваш хозяин:
sudo wget --no-check-certificate https://puppet.example.com:8140/puppet-ca/v1/certificate/ca -O /etc/puppetlabs/puppet/ssl/certs/ca.pem
sudo puppet agent --test --certificate_revocation=false
# or you can add the following to your /etc/puppetlabs/puppet/puppet.conf
[main]
certificate_revocation = false