Como adicionar vários nomes de DNS ao meu puppetmaster?

meu puppet.conf no mestre

[master]
certname = myname.mydomain.com
ca_server = myname.mydomain.com
certdnsnames = puppet;puppet.local;myname.dyndns.org;hivemind.local;

para meu entendimento com os certdnsnames definidos, o seguinte deve funcionar:

puppet agent --server myname.dyndns.org --test

mas eu recebo o seguinte erro:

err: Could not retrieve catalog from remote server: hostname was not match with the server certificate

como evitar esse erro? como definir corretamente certdnsnames? Eu encontrei documentação diferente sobre isso, mas não é um exemplo simples. ii use "," para separação que não consigo assinar. Eu também vi uma sintaxe como

certdnsnames = puppet:puppet.intra.myserver.fr,puppet.myserver.fr:puppet,puppet:puppet,puppet.intra.myserver.fr,puppet.myserver.fr

http://projects.puppetlabs.com/issues/5776

mas para mim não está claro quando adicionar um "fantoche:" e quando não.

Para o benefício de quem mais se deparar com esta resposta:

Devido ao CVE-2011-3872 , o Puppet não suporta mais a certdnsnamesopção. A partir da documentação:

A configuração certdnsnames não está mais funcional, após o CVE-2011-3872. Nós ignoramos o valor completamente. Para sua própria solicitação de certificado, você pode definir dns_alt_names na configuração e ela será aplicada localmente. Não há opção de configuração para definir nomes alternativos do DNS ou qualquer outro valor subjectAltName, para outro certificado de nós. Como alternativa, você pode usar a opção de linha de comando --dns_alt_names para definir os rótulos adicionados ao gerar seu próprio CSR.

Você pode gerar um certificado SSL para seu servidor usando subjectAlternativeName assim:

$ puppet cert generate <puppet master's certname> --dns_alt_names=<comma-separated list of DNS names>

Para o Puppet 4+, use os seguintes comandos para alterar os nomes de DNS aceitos para o certificado puppetserver:

Renomeie os certificados existentes para * .backup:

mv /etc/puppetlabs/puppet/ssl/private_keys/$(hostname -f).pem{,.backup}
mv /etc/puppetlabs/puppet/ssl/ca/signed/$(hostname -f).pem{,.backup}
mv /etc/puppetlabs/puppet/ssl/certs/$(hostname -f).pem{,.backup}

gere um novo certificado (adicione os nomes alternativos desejados):

puppet cert generate $(hostname -f) --dns_alt_names=$(hostname -f),puppet

reinicie o puppetserver para usar novos certificados

service puppetserver restart

• Em primeiro lugar, certdnsnamesé uma lista separada por dois pontos.
• Em segundo lugar, esse erro ocorre porque o agente está entrando em contato com o mestre usando um nome de host que não foi incluído quando o certificado foi assinado: http://docs.puppetlabs.com/guides/trou Troubleshooting.html

De acordo com

puppet agent --genconfig

você deve usar uma lista separada por dois pontos (":" not ";").

Então deveria ser

certdnsnames = 'puppet:puppet.local:myname.dyndns.org:hivemind.local'

HTH

Para adicionar uma entrada SAN ao certificado do servidor fantoche, use:

systemctl stop puppetserver
puppetserver ca setup --subject-alt-names $(hostname -f),puppet
systemctl start puppetserver

pode precisar limpar certificados existentes via rm -rf $(puppet master --configprint ssldir)bem