☰

更新 oVirt 证书

tag-icon • tag-icon ssl-certificate ovirt
更新 oVirt 证书

当我接替前任担任现职时，我继承了一堆机器（正如您所预料的那样）。其中之一是公司的 oVirt 虚拟机管理程序环境（4.3，跨两台服务器），这是他设置的，我完全承认我对它的内部结构一直不太熟悉。不幸的是，出现了一个我必须处理的情况：证书似乎即将过期，因为虚拟化管理器的 HTTPS 证书显示的日期是 12 月，我只能假设系统的其余部分也与同一日期绑定。oVirt 文档警告说，如果您不在证书过期前续订，将会产生严重后果，因此我不得不研究这个问题，而我发现的结果并不像我希望的那样有启发性。

首先介绍一些背景知识。2018 年 1 月，oVirt 安装在第一台主机上（带有引擎，位于同一裸机硬件上），2018 年 3 月，第二台物理主机服务器添加到同一联合 oVirt 数据中心。添加一个在旧的 Windows 文件服务器上设置的导出域，我们目前正在退役（因此从长远来看将被取消），我们得到当前的布局：主服务器上的 ovirt-engine，主服务器和辅助服务器上的存储域，以及外部服务器上的旧导出域。如上所述，浏览器中的证书（我假设与 oVirt 引擎部分相关？）的到期日期为 12 月下旬，大约在第一台服务器设置日期 5 周年纪念日之前 3 周。

我发现了一个程序https://www.ovirt.org/documentation/administration_guide/index.html#chap-Renewing_certificates_RHV_backup_restore这似乎详细说明了需要做什么，但这本身引发了一些问题，我希望有谁以前真正做过这件事情，能够提供一些答案：

  1. 我到底在运行哪种类型的环境，独立环境还是自托管环境？根据https://www.ovirt.org/documentation/migrating_from_a_standalone_manager_to_a_self-hosted_engine/，两者似乎都不太适合我的服务器设置：我假设独立运行，因为 ovirt-engine 似乎在主主机服务器的裸机上运行，​​而不是作为其中的 VM 运行；但如果能得到第二种意见就更好了。
  2. oVirt 的主要优势之一是，您可以将虚拟机从一台服务器转移到另一台服务器而不会出现任何问题 - 例如，如果您正在升级它们，并且需要在升级过程中保持虚拟机运行或主机空闲（某些升级似乎需要您先清除服务器？）但是，自设置以来，服务器的使用空间不断增加，我们不再能够让所有虚拟机都运行在一台机器上。在我接手之前就是这种情况，我从未见过环境的磁盘使用率低于 60%。是否可以通过关闭/停止虚拟机（无论它们是否固定）来执行此证书续订程序，以及可能先将一些虚拟机转移到另一台服务器？
  3. 这对 oVirt 环境来说到底有多危险？指南说“The engine-setup script prompts you with configuration questions.除了我这样做的明显原因（更新证书问题）之​​外，它还会询问多少问题，如果我出错，安装会有多大的可能性被破坏？我需要提供多少证书字段：仅提供 O 和 CN 值，还是更多？

最后，我假设在执行引擎之前我必须先执行两个主机。我是否应该在任何地方的控制台上提醒我这个问题？因为我没有；我只是在检查我所有机器上的 SSL 证书时偶然发现了这个问题，因为最近 Web 服务器的证书即将过期（没有记录，因此在续订时遗漏了）。

提前致谢！

答案1

我运行的环境是哪种类型的环境，独立环境还是自托管环境？

在 oVirt 上下文中，自托管意味着 oVirt 引擎在其自身管理的虚拟机管理程序内部运行。独立是指 oVirt 引擎在外部运行的场景，例如在专用裸机服务器或不同的虚拟机管理程序上（可能是完全不同的技术，例如 VMWare）。

换句话说，如果您打开 oVirt GUI 并在虚拟机中找到 oVirt 引擎，则说明您拥有自托管安装。否则，它是独立的。

是否可以通过关闭/停止虚拟机（无论是否固定）来完成此证书续订程序，以及可能先将一些虚拟机转移到其他服务器

当然。事实上，这是您链接的程序：

在管理门户中，单击计算主机。

单击管理维护，然后单击确定。虚拟机应自动从主机迁移出去。如果它们被固定或无法迁移，则必须关闭它们。

当主机处于维护模式且该主机上没有剩余的虚拟机时，单击安装注册证书。

这对 oVirt 环境来说到底有多危险？指南中说“引擎设置脚本会提示您一些配置问题。”除了我这样做的明显原因（更新证书问题）之​​外，它还会询问多少问题，如果我出错，它有多大可能毁掉整个安装？我需要提供多少个证书字段：仅提供 O 和 CN 值，还是更多？

我不记得当您必须更新证书时具体发生了什么，但可以使用 读取基于您当前配置的引擎设置答案cat /var/lib/ovirt-engine/setup/answers/*.conf，因此您可以检查该文件的内容（甚至将其复制到您的笔记本电脑上）并复制答案。

这些文件的（可能更易读的）版本如下：

cat /var/lib/ovirt-engine/setup/answers/*.conf | sed 's/str:/ /g' | sort -u

返回类似如下的内容：

[环境：默认]

# OTOPI 答案文件，由人工对话生成

问题/1/DWH_VACUUM_FULL= 是

问题/1/ENGINE_VACUUM_FULL=是

[...]

问题/1/OVESETUP_DWH_ENABLE=是

相关内容