Certyfikat agenta marionetkowego weryfikuje niepowodzenie

Mam skonfigurowanego Puppet Master / Agent i pomyślnie podpisałem certyfikat agenta na master. Jednak po uruchomieniu puppet agent --testpojawia się błąd, który wygląda następująco:

Warning: Unable to fetch my node definition, but the agent run will continue:  
Warning: SSL_connect returned=1 errno=0 state=SSLv3 read server certificate B: certificate verify failed: [certificate signature failure for /CN=hostname.domain.com]  
Info: Retrieving plugin  
Error: /File[/var/lib/puppet/lib]: Failed to generate additional resources using 'eval_generate: SSL_connect returned=1 errno=0 state=SSLv3 read server certificate B: certificate verify failed: [certificate signature failure for /CN=hostname.domain.com]  
Error: /File[/var/lib/puppet/lib]: Could not evaluate: SSL_connect returned=1 errno=0 state=SSLv3 read server certificate B: certificate verify failed: [certificate signature failure for /CN=hostname.domain.com] Could not retrieve file metadata for puppet://hostname.domain.com/plugins: SSL_connect returned=1 errno=0 state=SSLv3 read server certificate B: certificate verify failed: [certificate signature failure for /CN=hostname.domain.com]  
Error: Could not retrieve catalog from remote server: SSL_connect returned=1 errno=0 state=SSLv3 read server certificate B: certificate verify failed: [certificate signature failure for /CN=hostname.domain.com]  
Warning: Not using cache on failed catalog   
Error: Could not retrieve catalog; skipping run  
Error: Could not send report: SSL_connect returned=1 errno=0 state=SSLv3 read server certificate B: certificate verify failed: [certificate signature failure for /CN=hostname.domain.com]  

hostname.domain.comjest panem

Jak to naprawić? Upewniłem się, że oba zegary są we właściwym czasie w tej samej strefie czasowej, usunąłem wszystko z /var/lib/puppet/sslkatalogu agenta i zrezygnowałem, nie wiem, co jeszcze zrobić.

Ponownie utwórz całą konfigurację certyfikatu klienta. To zawsze naprawiało wszelkie problemy z certyfikatem, które napotkaliśmy w przeszłości. Poniższa instrukcja zakłada, że ​​nazwa hosta Twojego agenta to agenthost.nazwahosta.com

Na kliencie usuń wszystkie przechowywane certyfikaty, w tym urząd certyfikacji:

find /var/lib/puppet/ssl -name '*.pem' -delete

W systemie głównym usuń wszelkie oczekujące CSR lub stare certyfikaty klienta dla tego klienta:

find /var/lib/puppet/ssl -name agenthost.domain.com.pem -delete

Następnie na kliencie ponownie połącz się z urządzeniem głównym i wyślij CSR:

puppet agent -t --waitforcert=60

a kiedy czeka (jeśli nie włączono automatycznego podpisywania), to na urządzeniu głównym zatwierdzamy CSR, aby nowy certyfikat klienta został odesłany:

puppet cert sign agenthost.domain.com

Powinno to skłonić agenta do ponownego pobrania certyfikatów marionetkowego urzędu certyfikacji i ponownego złożenia wniosku o własny certyfikat.

W przeszłości musieliśmy stosować tę procedurę, kiedy zmieniliśmy serwery lalek i zmieniły się certyfikaty CA, lub kiedy przebudowaliśmy hosta o tej samej nazwie.

Upewnij się, że agent zna swoją prawdziwą, w pełni kwalifikowaną nazwę hosta; użyj polecenia „nazwa hosta”, aby upewnić się, że jest to zgodne z oczekiwaniami.

Mam podobny problem. Stworzyłem włóczęgowskie środowisko z jednym marionetkiem i kilkoma klientami. Problem polega na tym, że kiedy niszczę i tworzę puppetmastera, klienci wykrywają nowego puppetmastera jako oszusta.

Usunięcie /etc/puppet/sslklienta rozwiązuje problem.

Pamiętaj, że twoja konfiguracja ssl zostanie zbuforowana, więc wymagane jest zrestartowanie mastera marionetek , jeśli zdecydujesz się usunąć również /etc/puppet/sslna tym hoście:

sudo /etc/init.d/puppetmaster restart