Chef-servidor bootstrap chef, implantar meu próprio validation.pem e webui.pem

Question

Eu tenho chaves privadas de validação e webui que desejo usar em uma nova implantação chef-server. Parte do meu modelo de bootstrap copia essas chaves para / etc / chef /. Quando o chef-solo faz sua execução e inicia o chef-server como posso evitar que ele sobrescreva /etc/chef/validation.pem e /etc/chef/webui.pem.

Como alternativa, existe um processo para substituir o validation.pem e o webui.pem por outro par de chaves que tenho em mãos? Tudo o que posso encontrar são instruções para que o servidor as regenere.

    

Answer 1

validation.pem é a chave privada de um cliente especial no servidor do chef chamado chef-validator . Enquanto webui.pem é a chave privada do cliente chefe webui.

Você pode gerar novamente as chaves privadas / públicas de qualquer cliente por meio da interface da Web do API ou do servidor do chef.

Pessoalmente, eu não sugeriria "substituir" uma chave privada, mas regenerá-la, pois esses dados são confidenciais e é melhor não continuar usando um especial por muito tempo. Em vez disso, regenere-os em um determinado período por motivos de segurança.

No entanto, é possível hackear o armazenamento de dados de estantes sob /var/opt/chef-server/bookshelf/data de seu host de servidor chef 11 para alterar a chave pública armazenada em um arquivo de objeto. Por exemplo, você pode extrair o URL do objeto ao executar o comando knife client show chef-validator -VV . Eu strongmente des-recomendo desta forma porque é hacking.