Como posso pré-assinar certificados de marionetes?

O Puppet exige certificados entre o cliente (fantoche) que está sendo gerenciado e o servidor (puppetmaster). Você pode executar manualmente no cliente e depois acessar o servidor para assinar o certificado, mas como você automatiza esse processo para clusters / máquinas na nuvem?

No servidor (puppetmaster), execute:

puppetca --generate <NAME>

Em seguida, copie o seguinte do servidor para o cliente:

/var/lib/puppet/ssl/certs/<NAME>.pem
/var/lib/puppet/ssl/certs/ca.pem
/var/lib/puppet/ssl/private_keys/<NAME>.pem

Se você deseja assinar <NAME>como algo diferente do nome do host, use:

puppetd --fqdn=<NAME>

E adicione /etc/puppet/puppet.conf se estiver executando o daemon

[puppetd]
certname=<NAME>

Se você possui um banco de dados host, pode usar o recurso de assinatura automática. No seu puppet.confarquivo, no [puppetmasterd], adicione:

autosign = /path/to/autosign.conf

Em seguida, use um crontab para gerar esse arquivo. O arquivo de assinatura automática é apenas uma lista de hosts para assinatura automática quando eles se conectam ao puppetmaster. Eu uso o LDAP para configurar meus hosts fantoches, para que meu cron se pareça com:

* * * * * root /usr/bin/ldapsearch -x '(objectClass=puppetClient)' cn | /bin/grep ^cn | /bin/sed 's!^cn: !!' > /etc/puppet/autosign.conf

Tenho certeza de que as pessoas que usam o iClassify seriam capazes de escrever uma consulta para fazer o mesmo.

Obviamente, você precisa ter alguma confiança na rede. Eu uso isso no EC2. Meu servidor puppetmaster está em um grupo que permite apenas conexões de outros grupos confiáveis. Eu não recomendaria fazer isso se o seu puppetmaster estiver aberto à internet.

Resposta simples: assine automaticamente novos pedidos. É claro que isso é perigoso, porque você confia cegamente em qualquer sistema que se conecte ao seu puppetmaster, que é o objetivo de exigir assinatura manual.

[puppetmasterd]
autosign = true

Você pode especificar false e um arquivo a ser usado para determinar quais chaves assinar também.

Veja a referência de configuração no wiki do Puppet.

Outra opção é usar uma ferramenta como o Capistrano , em que você especifica o nó puppetmaster e cria os nós da instância do cliente e na tarefa:

• Crie o nó da instância, digamos com a API do EC2 com Ruby.
• Execute o puppetd na instância, conectando-se ao servidor.
• Execute puppetca --sign para a solicitação da instância (já que conhecemos o nome da instância como foi fornecido no bit de criação acima).
• Execute o puppetd novamente na instância, desta vez conectando-se com êxito à medida que o certificado for assinado.

No servidor (puppetmaster), execute:

puppetca --generate <NAME>

Em seguida, copie o seguinte do servidor para o cliente:

/var/lib/puppet/ssl/certs/<NAME>.pem
/var/lib/puppet/ssl/certs/ca.pem
/var/lib/puppet/ssl/private_keys/<NAME>.pem

Se você deseja ter algo diferente do nome do host, use:

puppetd --fqdn=<NAME>

E adicione /etc/puppet/puppet.conf se estiver executando o daemon

[puppetd]
certname=<NAME>