knife ssl_fetch — Chef 18

[править на GitHub]

Используйте подкоманду knife ssl fetch для копирования сертификатов SSL с сервера HTTPS в директорию trusted_certs_dir, используемую knife и Chef Infra Client для хранения доверенных сертификатов SSL. Если эти сертификаты соответствуют имени хоста удалённого сервера, запуск knife ssl fetch — единственный шаг, необходимый для проверки удалённого сервера, к которому обращаются knife или Chef Infra Client.

Предупреждение

Пользователь несет ответственность за проверку подлинности каждого сертификата SSL перед его скачиванием в директорию /.chef/trusted_certs. knife будет использовать любой сертификат в этой директории, как будто он является на 100% доверенным и подлинным сертификатом SSL. knife не сможет определить, был ли какой-либо сертификат в этой директории взломан, подделан, вредоносен или иным образом вреден. Поэтому крайне важно, чтобы пользователи предприняли соответствующие шаги перед скачиванием сертификатов в эту директорию.

Синтаксис

Данная подкоманда имеет следующий синтаксис:

knife ssl fetch (options)

Параметры

Данная подкоманда имеет следующие параметры:

URL_or_URI: URL или URI расположения сертификата SSL. Значение по умолчанию: URL сервера Chef Infra, как определено в файле config.rb.

Примеры

В следующих примерах показано, как использовать эту подкоманду knife:

Получение сертификатов SSL, используемых Knife, с сервера Chef

knife ssl fetch

Ответ похож на:

WARNING: Certificates from <chef_server_url> will be fetched and placed in your trusted_cert
directory (/Users/grantmc/chef-repo/.chef/trusted_certs).

Knife has no means to verify these are the correct certificates. You should
verify the authenticity of these certificates after downloading.

Adding certificate for <chef_server_url> in /Users/grantmc/chef-repo/.chef/trusted_certs/grantmc.crt
Adding certificate for DigiCert Secure Server CA in /Users/grantmc/chef-repo/.chef/trusted_certs/DigiCert_Secure_Server_CA.crt

Получение сертификатов SSL с URL или URI

knife ssl fetch https://www.example.com

Проверка контрольных сумм

Сертификат SSL, загруженный в директорию /.chef/trusted_certs, должен быть проверен, чтобы убедиться, что это, по сути, тот же сертификат, что и на сервере Chef Infra. Это можно сделать, сравнив контрольные суммы SHA-256.

Просмотр контрольной суммы на сервере Chef Infra:

ssh ubuntu@chef-server.example.com sudo sha256sum /var/opt/opscode/nginx/ca/chef-server.example.com.crt

Ответ похож на:

<ABC123checksum>  /var/opt/opscode/nginx/ca/chef-server.example.com.crt

Просмотр контрольной суммы на рабочей станции:

gsha256sum .chef/trusted_certs/chef-server.example.com.crt

Ответ похож на:

<ABC123checksum>  .chef/trusted_certs/chef-server.example.com.crt

Проверьте, что значения контрольных сумм идентичны.