Я настраиваю Кодзи создать среду в Сервер Centos6 Machine как предлагается в документации (http://fedoraproject.org/wiki/Koji/ServerHowTo). Я мог правильно получить доступ к Koji Web с помощью HTTP, но я столкнулся с Проблема с сертификатом SSL при переходе на HTTPS:
Ошибка клиентского браузера, созданная Mozilla FireFox:
SSL peer was unable to negotiate an acceptable set of security parameters. (Error code: ssl_error_handshake_failure_alert)
Включив двух администраторов, я получаю специфическую ошибку Koji при выполнении команды:
су коджиман; коджи вызов getLoggedInUser
Ошибки в разделе: kojiman:
Error: [('SSL routines', 'SSL3_GET_SERVER_CERTIFICATE', 'certificate verify failed')]
# su kojiadmin; koji вызывает ошибки getLoggedInUser под: kojiadmin
Error: [('SSL routines', 'SSL3_READ_BYTES', 'sslv3 alert bad certificate'), ('SSL routines', 'SSL3_WRITE_BYTES', 'ssl handshake failure')]
В журнале httpd ssl у меня есть следующее:
############################"Ошибки SSL:
[Wed Feb 05 18:37:28 2014] [error] [client 46.21.193.155] Certificate Verification: Error (19): self signed certificate in certificate chain
[Wed Feb 05 18:44:06 2014] [warn] RSA server certificate CommonName (CN) `kojihub' does NOT match server name!?
[Wed Feb 05 18:44:06 2014] [warn] RSA server certificate CommonName (CN) `kojihub' does NOT match server name!?
Когда я тестирую сертификат, я получаю с помощью openSSL:
openssl s_client -connect localhost: 443 -tls1 -CAfile /etc/pki/koji/kojihub.pem
Я действительно получаю:
verify error:num=20:unable to get local issuer certificate
verify error:num=27:certificate not trusted
verify error:num=21:unable to verify the first certificate
verify return:1
139736479307592:error:14094410:SSL routines:SSL3_READ_BYTES:sslv3 alert handshake failure:s3_pkt.c:1256:SSL alert number 40
139736479307592:error:1409E0E5:SSL routines:SSL3_WRITE_BYTES:ssl handshake failure:s3_pkt.c:596:
Verify return code: 21 (unable to verify the first certificate)
Сертификаты kojihub и kojiweb должны иметь CN, установленную на полное доменное имя каждого соответствующего сервера. Это было в документации:
Два сертификата (kojihub и kojiweb) используются в качестве сертификатов на стороне сервера, которые аутентифицируют сервер для клиента. По этой причине вы хотите, чтобы общее имя в обоих этих сертификатах было полным доменным именем веб-сервера, на котором они работают, чтобы клиенты не жаловались на то, что общее имя и сервер не совпадают. Вы можете установить OU для этих двух сертификатов как kojihub и kojiweb в целях идентификации.