RedHat6.5 puppet配置（三）- 注册认证签发

Puppet采用SSL隧道通信，需要申请证书来验证。注册认证签发方式基本上有三种：手动注册认证、自动注册认证 和 预签名注册认证。

• 手动注册认证签发
  手动注册认证签发是由Client（Agent）端先发起证书申请请求，然后由Master（Server）端指令确认方可完成认证签发实现注册。备很多会相当麻烦，而puppet cert sign --all 次性注册所有的Client(Agent)的请求,安全系数较低。

• 自动注册认证
  自动注册认证通过Master（Server）端的ACL策略控制的，符合预先配置的ACL列表的所有节点证书签发请求不需要确认会被自动注册。

• 预签名注册认证
  预签名注册认证是在Client（Agent）端未申请证书签发的情况下（可能相关Client尚未存在），预先在Master（Server）端生成Client（agent）端的注册证书，然后复制到Client节点对应的目录下即可注册成功。**这种注册认证的方式是最安全的，建议在生产环境下采用这种认证方式。**

上一篇 RedHat6.5 puppet配置（二）- 服务端与客户端部署配置 认证签发采用的是第一种方式**手动注册认证签发** ，接下来我们将测试这三种认证签发模式中的第二种方式**自动注册认证**。

---

自动注册认证

• 清除已经签发的认证证书

# 清除指定Agent节点证书，当然指定--all也可以清除所有的[root@puppet-master ~]# puppet cert clean glusterfs01.example.com# 查询是否已经清除[root@puppet-master ~]# puppet cert list --all # [output ignore]# 在相应的Agent端删除注册过的证书[root@glusterfs01 ~]# rm -rf /var/lib/puppet/ssl/*

• 自动注册认证，配置方式如下

#puppet-master端配置[main]    ...    autosign = true    autosign = /etc/puppet/autosign.conf[agent]    ...# 创建autosign.conf文件，配置自动认证[root@puppet-master ~]# cat /etc/puppet/autosign.conf*.example.com# 重新启动服务[root@puppet-master ~]# service puppetmaster restart

• 在相应Agent申请证书，证书自动签发

# puppet client重新请求证书签发，可以看到已经自动签发[root@glusterfs01 ~]#  puppet agent --testInfo: Creating a new SSL key for glusterfs01.example.comInfo: Caching certificate for caInfo: csr_attributes file loading from /etc/puppet/csr_attributes.yamlInfo: Creating a new SSL certificate request for glusterfs01.example.comInfo: Certificate Request fingerprint (SHA256): 91:63:17:B5:14:60:6F:87:8D:B9:30:4B:A8:8F:F3:CB:6C:2A:C3:EB:2D:A6:03:CA:50:1B:4B:F8:21:9E:2D:14Info: Caching certificate for glusterfs01.example.comInfo: Caching certificate_revocation_list for caInfo: Caching certificate for caInfo: Retrieving pluginfactsInfo: Retrieving pluginInfo: Caching catalog for glusterfs01.example.comInfo: Applying configuration version '1448604266'Notice: Finished catalog run in 0.01 seconds# Master端查看，已经自动认证注册成功[root@puppet-master ~]# puppet cert list glusterfs01.example.com+ "glusterfs01.example.com" (SHA256) F5:A7:8F:2B:1C:D7:46:4C:C5:89:4D:4E:98:B6:3C:AF:43:FC:F6:80:A8:86:1B:2C:3F:9D:6A:DC:FB:29:97:5D