Não é possível fazer o Koji funcionar no servidor A Centos6

Question

Eu configurei o ambiente de construção koji em um servidor de máquina Centos6 como sugerido pela documentação ( link ). Eu poderia acessar corretamente o Koji Web usando HTTP, mas estou enfrentando um problema de certificado SSL ao alternar para HTTPS:

Erro no navegador do cliente produzido pelo Mozilla FireFox:

SSL peer was unable to negotiate an acceptable set of security parameters. (Error code: ssl_error_handshake_failure_alert)

• Tendo ativado dois usuários administradores, recebo um erro específico do Koji ao executar o comando:

  su kojiman; koji chamar getLoggedInUser

Erros em: kojiman:

Error: [('SSL routines', 'SSL3_GET_SERVER_CERTIFICATE', 'certificate verify failed')]

#

su kojiadmin; chamar koji getLoggedInUser Erros sob: kojiadmin

Error: [('SSL routines', 'SSL3_READ_BYTES', 'sslv3 alert bad certificate'), ('SSL routines', 'SSL3_WRITE_BYTES', 'ssl handshake failure')]

Enquanto no log do httpd ssl tenho o seguinte:

############################ "

Erros SSL:

[Wed Feb 05 18:37:28 2014] [error] [client 46.21.193.155] Certificate Verification: Error (19): self signed certificate in certificate chain
[Wed Feb 05 18:44:06 2014] [warn] RSA server certificate CommonName (CN) 'kojihub' does NOT match server name!?
[Wed Feb 05 18:44:06 2014] [warn] RSA server certificate CommonName (CN) 'kojihub' does NOT match server name!?

• Quando eu testo o certificado, recebo com o openSSL:

  openssl s_client -connect localhost: 443 -tls1 -CAfile /etc/pki/koji/kojihub.pem

Eu realmente recebo:

verify error:num=20:unable to get local issuer certificate
verify error:num=27:certificate not trusted
verify error:num=21:unable to verify the first certificate

verify return:1
139736479307592:error:14094410:SSL routines:SSL3_READ_BYTES:sslv3 alert handshake failure:s3_pkt.c:1256:SSL alert number 40
139736479307592:error:1409E0E5:SSL routines:SSL3_WRITE_BYTES:ssl handshake failure:s3_pkt.c:596:
Verify return code: 21 (unable to verify the first certificate)

    

Answer 1

Os certificados kojihub e kojiweb devem ter seu CN configurado para o nome de domínio totalmente qualificado de cada servidor respectivo. Isso estava na documentação:

Two of the certificates (kojihub and kojiweb) are used as server side certificates that authenticate the server to the client. For this reason, you want the common name on both of those certs to be the fully qualified domain name of the web server they are running on so that clients don't complain about the common name and the server not being the same. You can set the OU for these two certificates to be kojihub and kojiweb for identification purposes.