ruby - Puppet 4.10 中的自定义函数仅返回哈希中的第一个数组项

Question

Puppet 中的一个自定义函数，它从数据库中读取 SSL 证书，并将其结果作为哈希数组返回。此功能用于使我们的代理服务器上的 SSL 证书保持最新。

在创建代理虚拟主机时，我们会读取 SSL 证书以确定虚拟主机应该对哪些主机处于事件状态。为此，我们从证书中检索“主题备用名称”并将它们解析为一个数组。

以下代码提取 SAN:

def subject_alt_names
  san = @x509.extensions.find { |e| e.oid == 'subjectAltName' }
  san.value.split(',').map { |name| name.strip.sub!('DNS:', '') }
end

@x509 变量包含 OpenSSL::X509::Certificate.new 的实例，subject_alt_names 生成预期的名称数组证书中的内容。

到目前为止一切顺利!

现在，在收集所有证书时，我们会根据从数据库中检索到的结果创建一个哈希数组。

代码类似于:

Puppet::Functions.create_function(:'certificates') do
  dispatch :up do
  end

  def up
    # Omitted DB calls

    mappings.map { |mapping|
      certificate = Certificate.new(
        OpenSSL::X509::Certificate.new(mapping['certificate']),
        OpenSSL::PKey::RSA.new(mapping['private_key']),
        mapping['intermediates']
      )

      {
        'common_name' => certificate.common_name,
        'domains' => certificate.subject_alt_names,
        'private_key' => certificate.private_key,
        'certificate' => certificate.x509,
        'intermediates' => certificate.chain
      }
    }
  end
end

在 Puppet 中调用函数时，散列中的 domains 数组仅包含一个条目(“domain.tld”)而不是两个(“domain.tld”和“www.domain.tld” ”)。数据库中的大多数 SSL 证书包含两个 SAN 名称。

一个非常简单的测试函数产生了我们期望的结果:

Puppet::Functions.create_function(:'certificates_test') do
  dispatch :up do
  end

  def up
    test = "DNS:domain.tld, DNS:www.domain.tld, DNS: www2.domain.tld"

    domains = test.split(',').map { |name| name.strip.sub!('DNS:', '') }

    {
      'domains' => domains
    }
  end
end

输出:

{
    "domains" => ["domain.tld", "www.domain.tld"]
}

在 Puppet 中执行代码时，仅返回“domains”数组中的第一个条目。该函数在 Puppet 中的调用方式类似于以下:

certificates().each |$certificate| {
    $domains = $certificate['domains']

    # Omitted defining of hosts based on $certificate
}

在 CentOS 上的 Puppet 4.10.12(服务器 2.8.1)上运行。

facter ruby​​sitedir ruby​​version 的输出:

rubysitedir => /opt/puppetlabs/puppet/lib/ruby/site_ruby/2.1.0
rubyversion => 2.1.9

如有任何帮助，我们将不胜感激!

Answer 1

通过更新证书类的“subject_alt_names”方法解决了这个问题。我认为 Puppet 有时会使开发扩展变得困难，因为自定义函数是使用 JRuby 执行的(它有其不同之处)。在这种情况下，我使用的 OpenSSL 扩展不会在一个字符串中返回所有 SAN 名称，而是将其拆分并使其成为一个哈希数组。

以下代码适用于 JRuby 和 Ruby 的 OpenSSL 扩展(其中 x509 参数是 OpenSSL::X509::Certificate 的实例):

def subject_alt_names x509
  names = []

  x509.extensions.each do |e|
    next if e.oid != 'subjectAltName'

    names << e.value.split(',').map { |name|
      name.strip.sub!('DNS:', '')
    }
  end

  names
end

感谢大家的评论!它真的帮助我解决了这个问题:)