zVirt и шифрованная связь

Сделайте резервную копию текущего файла apache.p12:

cp -p /etc/pki/ovirt-engine/keys/apache.p12 /etc/pki/ovirt-engine/keys/apache.p12.bck

Замените текущий файл новым:

cp /tmp/apache.p12 /etc/pki/ovirt-engine/keys/apache.p12

Извлеките закрытый ключ и сертификат по соответствующим путям. Если файл защищен паролем, добавьте -passin pass:_password_, заменив password необходимым паролем.

openssl pkcs12 -in /etc/pki/ovirt-engine/keys/apache.p12 -nocerts -nodes > /tmp/apache.key
openssl pkcs12 -in /etc/pki/ovirt-engine/keys/apache.p12 -nokeys > /tmp/apache.cer

Если используется hosted engine, переведите среду в глобальный режим обслуживания.

hosted-engine --set-maintenance --mode=global

Добавьте сертификат Центра сертификации в доверенное хранилище на уровне хоста:

cp /tmp/_3rd-party-ca-cert_.pem /etc/pki/ca-trust/source/anchors
update-ca-trust

Менеджер управления настроен на использование /etc/pki/ovirt-engine/apache-ca.pem, который символически связан с /etc/pki/ovirt-engine/ca.pem. Удалите символическую ссылку:

rm /etc/pki/ovirt-engine/apache-ca.pem

Сохраните сертификат Центра сертификации как /etc/pki/ovirt-engine/apache-ca.pem:

cp /tmp/_3rd-party-ca-cert_.pem /etc/pki/ovirt-engine/apache-ca.pem

Сделайте резервную копию существующего закрытого ключа и сертификата:

cp /etc/pki/ovirt-engine/keys/apache.key.nopass /etc/pki/ovirt-engine/keys/apache.key.nopass.bck
cp /etc/pki/ovirt-engine/certs/apache.cer /etc/pki/ovirt-engine/certs/apache.cer.bck

Скопируйте закрытый ключ по соответствующему пути.

cp /tmp/apache.key /etc/pki/ovirt-engine/keys/apache.key.nopass

Установите владельца закрытого ключа в значение root, а разрешения – в значение 0640:

chown root:ovirt  /etc/pki/ovirt-engine/keys/apache.key.nopass
chmod 640 /etc/pki/ovirt-engine/keys/apache.key.nopass

Скопируйте сертификат по соответствующему пути:

cp /tmp/apache.cer /etc/pki/ovirt-engine/certs/apache.cer

Установите владельца сертификата в значение root, а разрешения – в значение 0644:

chown root:ovirt /etc/pki/ovirt-engine/certs/apache.cer
chmod 644 /etc/pki/ovirt-engine/certs/apache.cer

Перезапустите сервер Apache:

systemctl restart httpd.service

Создайте новый файл конфигурации доверенного хранилища /etc/ovirt-engine/engine.conf.d/99-custom-truststore.conf со следующими параметрами:

ENGINE_HTTPS_PKI_TRUST_STORE="/etc/pki/java/cacerts"
ENGINE_HTTPS_PKI_TRUST_STORE_PASSWORD=""

Скопируйте файл /etc/ovirt-engine/ovirt-websocket-proxy.conf.d/10-setup.conf и переименуйте его, изменив индекс на число больше 10 (например, 99-setup.conf). Добавьте в новый файл следующие параметры:

SSL_CERTIFICATE=/etc/pki/ovirt-engine/certs/apache.cer
SSL_KEY=/etc/pki/ovirt-engine/keys/apache.key.nopass

Перезапустите службу websocket-proxy:

systemctl restart ovirt-websocket-proxy.service

Если файл /etc/ovirt-provider-ovn/conf.d/10-setup-ovirt-provider-ovn.conf был изменен вручную либо если используется файл конфигурации от более старой инсталляции, убедитесь, что Менеджер управления по-прежнему настроен на использование /etc/pki/ovirt-engine/apache-ca.pem как источника сертификатов.

Включите engine-backup, чтобы обновить систему по восстановлении путем создания нового файла /etc/ovirt-engine-backup/engine-backup-config.d/update-system-wide-pki.sh со следующим содержимым:

BACKUP_PATHS="${BACKUP_PATHS}
/etc/ovirt-engine-backup"
cp -f /etc/pki/ovirt-engine/apache-ca.pem \
/etc/pki/ca-trust/source/anchors/_3rd-party-ca-cert_.pem
update-ca-trust

Перезапустите службу ovirt-provider-ovn:

systemctl restart ovirt-provider-ovn.service

Перезапустите службу ovirt-imageio:

systemctl restart ovirt-imageio.service

Перезапустите службу ovirt-engine:

systemctl restart ovirt-engine.service

Если используется hosted engine, выключите глобальный режим обслуживания.

hosted-engine --set-maintenance --mode=none

В Менеджере управления скопируйте корневой сертификат LDAP-сервера, выданный Центром сертификации, в каталог /tmp и импортируйте корневой сертификат Центра сертификации с помощью keytool, чтобы создать сертификат Центра сертификации в кодировке PEM. Следующая команда импортирует корневой сертификат Центра сертификации в /tmp/myrootca.pem и создает корневой сертификат Центра сертификации в кодировке PEM myrootca.jks в /etc/ovirt-engine/aaa/. Выпишите местонахождение сертификата и пароль. Если вы используете интерактивный инструмент настройки, то это – вся информация, которая вам понадобится. Если вы настраиваете LDAP-сервер вручную, выполните оставшуюся часть процедуры, чтобы обновить файлы конфигурации.

$ keytool \
    -importcert \
    -noprompt \
    -trustcacerts \
    -alias _myrootca_ \
    -file _/tmp/myrootca.pem_ \
    -keystore _/etc/ovirt-engine/aaa/myrootca.jks_ \
    -storepass _password_

Обновите файл /etc/ovirt-engine/aaa/profile1.properties, внеся в него сведения о сертификате: