fbpx

CL LAB

HOME > CL LAB > Chef > [和訳] Chef 12: 「信頼できない自己署名証明書」エラーの修正 #opschef_ja #getchef_ja

[和訳] Chef 12: 「信頼できない自己署名証明書」エラーの修正 #opschef_ja #getchef_ja

 ★ 10

本稿は Chef 12: Fix Untrusted Self Signed Certificates (2014/12/12) の和訳です。

この記事はjtimberman's Code Blogからの転載(訳注:原文)です。

シナリオ: 新規にChef Serverをバージョン12で立ち上げようと思い立ち、ローカルシステムにChef 12をインストールしました。UserとOrganizationを作るために、マネジメントコンソールにログインし(もしくはchef-server-ctlコマンドでコマンドラインから)、次のようなknife.rbが準備できているとします。

node_name              'jtimberman'
client_key             'jtimberman.pem'
validation_client_name 'tester-validator'
validation_key         'tester-validator.pem'
chef_server_url        'https://chef-server.example.com/organizations/tester'

しかし、knifeコマンドで確認しようとしたら次のようになってしまいました。

% knife client list
ERROR: SSL Validation failure connecting to host: chef-server.example.com - SSL_connect returned=1 errno=0 state=SSLv3 read server certificate B: certificate verify failed
ERROR: OpenSSL::SSL::SSLError: SSL_connect returned=1 errno=0 state=SSLv3 read server certificate B: certificate verify failed

これは、Chef Client 12ではデフォルトですべてのリクエストでSSL検証が有効になったためです。Chef Server 12インストール時に生成された証明書は自己署名なので、検証済みのCAによって署名されておらず、失敗するのです。大胆不敵なユーザを気にしないのであれば、サーバからSSL証明書を取得して、「信頼できる」証明書として格納することができます。どのようにするかというと、knife ssl checkを用います。

Connecting to host chef-server.example.com:443
ERROR: The SSL certificate of chef-server.example.com could not be verified
Certificate issuer data: /C=US/ST=WA/L=Seattle/O=YouCorp/OU=Operations/CN=chef-server.example.com/emailAddress=you@example.com
Configuration Info:
OpenSSL Configuration:
* Version: OpenSSL 1.0.1j 15 Oct 2014
* Certificate file: /opt/chefdk/embedded/ssl/cert.pem
* Certificate directory: /opt/chefdk/embedded/ssl/certs
Chef SSL Configuration:
* ssl_ca_path: nil
* ssl_ca_file: nil
* trusted_certs_dir: "/Users/jtimberman/Downloads/chef-repo/.chef/trusted_certs"

TO FIX THIS ERROR:

If the server you are connecting to uses a self-signed certificate, you must
configure chef to trust that server's certificate.

By default, the certificate is stored in the following location on the host
where your chef-server runs:

  /var/opt/chef-server/nginx/ca/SERVER_HOSTNAME.crt

Copy that file to your trusted_certs_dir (currently: /Users/jtimberman/Downloads/chef-repo/.chef/trusted_certs) using SSH/SCP or some other secure method, then re-run this command to confirm that the server'
s certificate is now trusted.

注意点として、これを書いている時点ではchef-serverの位置が正しくありません。正しくは/var/opt/opscodeです。

knifeにはfetchプラグインもあります。前述した、自動的に事前設定された信頼できる証明書の位置に、証明書をダウンロードしましょう。

% knife ssl fetch
WARNING: Certificates from chef-server.example.com will be fetched and placed in your trusted_cert directory (/Users/jtimberman/Downloads/chef-repo/.chef/trusted_certs).
Knife has no means to verify these are the correct certificates. You should
verify the authenticity of these certificates after downloading.
Adding certificate for chef-server.example.com in /Users/jtimberman/Downloads/chef-repo/.chef/trusted_certs/chef-server.example.com.crt

この証明書は、ダウンロードしたものが実際にChef Server上にある証明書と同じものであると検証されなければいけません。例えば、SHA256チェックサムを比較します。

% ssh ubuntu@chef-server.example.com sudo sha256sum /var/opt/opscode/nginx/ca/chef-server.example.com.crt
043728b55144861ed43a426c67addca357a5889158886aee50685cf1422b5ebf/var/opt/opscode/nginx/ca/chef-server.example.com.crt
% gsha256sum .chef/trusted_certs/chef-server.example.com.crt
043728b55144861ed43a426c67addca357a5889158886aee50685cf1422b5ebf.chef/trusted_certs/chef-server.example.com.crt

再度knife client listを実行してみましょう。

% knife client list
tester-validator

やりました!

では、インフラ内のすべてのNodeのtrusted_certs_dir、デフォルトでは/etc/chef/trusted_certsに証明書を配布する必要があります。最も簡単に行うには、対象のNodeに対してknife sshを用いてknifeを実行することです。

% knife ssh 'name:*' 'sudo knife ssl fetch -c /etc/chef/client.rb'
node-output.example.com WARNING: Certificates from chef-server-example.com will be fetched and placed in your trusted_cert
node-output.example.com directory (/etc/chef/trusted_certs).
node-output.example.com
node-output.example.com Knife has no means to verify these are the correct certificates. You should
node-output.example.com verify the authenticity of these certificates after downloading.
node-output.example.com
node-output.example.com Adding certificate for chef-server.example.com in /etc/chef/trusted_certs/chef-server.example.com.crt

この出力は、knife sshで得られたすべてのNodeに対して繰り返して行われます。もちろん、knife sshを用いて先に行ったようにSHA256チェックサムを確認しておきましょう。

CL LAB Mail Magazine

CL LABの情報を逃さずチェックしよう!

メールアドレスを登録すると記事が投稿されるとメールで通知します。

メールアドレス: 登録

※登録後メールに記載しているリンクをクリックして認証してください。

Related post