Puppet cacert vs localcacert？

Question

我正在尝试解决与过期 ca 证书相关的问题。

我替换了位于/etc/puppetlabs/puppet/ssl/ca/ca_crt.pem的证书（用these instructions）。

然后重新启动 puppet-server，但代理仍然看到过期的证书。

我注意到还有一个值 localcacert 指向稍微不同的路径 etc/puppetlabs/puppet/ssl/certs/ca.pem。

我看到了这个小snippet on Puppet documentation：

每个客户端存储 CA 证书的位置。

默认值：$certdir/ca.pem

我对此感到困惑。描述使它听起来像是客户端存储证书的文件夹，但值是单个 pem 文件。

谁能澄清这两个 ca pem 文件之间的区别？

如果我更新一个，我可以用我的新 pem 覆盖另一个吗？

Answer 1

谁能澄清这两个 ca pem 文件之间的区别？

cacert 设置仅与主服务器相关。它指定证书的位置，主服务器的托管 CA 将使用该证书签署通信。

localcacert 设置指定客户端 CA 证书副本的位置（包含公钥，而不是私钥）。这是机器将用来验证 CA 签署的证书的内容。

在这两种情况下，您都不应该过多解读“位置”一词。这些设置指定证书文件，而不是目录。