18、使用 Puppet 配置云应用：全面指南

使用 Puppet 配置云应用：全面指南

证书安全与分布式目录创建

为了确保云实例的安全性，为每个新的云实例创建一个 UUID 作为 Puppet 证书的通用名称是更安全的做法。首先，准备一个基础镜像，其中包含一个简单的puppet.conf文件，该文件仅包含[main]部分，且没有certname选项。然后，对引导脚本进行简单扩展：

#!/bin/bash export PATH=/bin:/usr/bin if ! grep -q ^certname /etc/puppet/puppet.conf ; then CERT=`cat /proc/sys/kernel/random/uuid` echo "certname = $CERT" >>/etc/puppet/puppet.conf else CERT=`puppet agent --configprint certname` fi DIR=`puppet agent --configprint certdir` [ -f "${DIR}/${CERT}.pem" ] && exit 0 puppet agent --onetime --no-daemonize --waitforcert 300

这种无描述性的证书名称使得识别可能的恶意 CSR 变得困难。为了恢复一定的安全性，可以将 DNS 名称作为自定义属性添加到 CSR 中。

不建议为每个角色签署一个万能证书并在所有云