Gerando e assinando certificados na versão de fantoches 5

Question

Estou tentando instalar e configurar o Puppet 5.3.2 em duas máquinas Linux idênticas que executam o Centos 7 (sendo uma delas um mestre e a outra um agente). Eu consegui instalar o fantoche do repositório oficial em ambos e adicionei o seguinte.

Nó mestre em /etc/hosts

127.0.0.1                 <master hostname>
<master node ipaddress>   puppet, <master node hostname>
<agent node ipaddress>    <agent node hostname>

Nó do agente em /etc/hosts

127.0.0.1                 <agent hostname>
<master node ipaddress>   puppet, <master node hostname>
<agent node ipaddress>    <agent node hostname>

Nó mestre em /etc/puppetlabs/puppet/puppet.conf

[master]
vardir = /opt/puppetlabs/server/data/puppetserver
logdir = /var/log/puppetlabs/puppetserver
rundir = /var/run/puppetlabs/puppetserver
pidfile = /var/run/puppetlabs/puppetserver/puppetserver.pid
codedir = /etc/puppetlabs/code
dns_alt_names = puppet, <master node hostname>
certname = puppet

Nó do agente em /etc/puppetlabs/puppet/puppet.conf

server = puppet, <master node hostname>

O servidor de fantoches é iniciado com sucesso. No entanto, ainda preciso gerar e assinar os certificados apropriados para o mestre e o agente. Para isso, primeiro, certifico-me de que o puppetserver está parado no nó mestre de marionetes e, em seguida, no nó mestre de marionetes que eu emito:

sudo /opt/puppetlabs/bin/puppet cert list -a

Eu vejo um certificado SHA256.

Agora, não sei como prosseguir. Quaisquer entradas seriam muito apreciadas.

    

Answer 1

Consegui fazer isso funcionar. Basicamente, quando o servidor de fantoches é iniciado inicialmente, o certificado é gerado e isso pode ser visto por

sudo /opt/puppetlabs/bin/puppet cert list -a

Em seguida, no nó do agente, pare o agente de marionetes usando o abaixo, se o agente estiver em execução (isso pode ser encontrado em systemctl status puppet

systemctl stop puppet

Crie um certificado no agente fantoche que precisa ser assinado pelo mestre de marionetes. O certificado pode ser gerado por:

/opt/puppetlabs/bin/puppet agent -t

No nó mestre, o certificado do agente pode ser visualizado por

/opt/puppetlabs/puppet cert list -a

O certificado do agente deve ser assinado agora, para isso

/opt/puppetlabs/puppet cert sign <puppet agent hostname>

Quando o certificado for assinado, isso precisa ser verificado. No entanto, antes de ser verificado, o agente de marionetes deve estar em funcionamento.

systemctl start puppet
systemctl enable puppet
/opt/puppetlabs/bin/puppet agent --fingerprint #certificate verification