ssl - puppet 大师没有将代理主机名/fqdn 传递给 enc 脚本

Question

puppet 版本:3.6.2

为了简化 ssl 证书的管理，我们的 puppet 代理使用相同的 certname，certname=agent.puppet.com

当 puppet master 收到来自代理 (主机名:web00.xxx.com) 的请求时，它会以 certname 作为参数执行 Enc 脚本。

node_terminus = exec
external_nodes = /home/ocean/puppet/conf/bce_puppet_bns

puppet 日志:

2015-05-06 09:55:34 +0800 Puppet (debug): Executing '/home/ocean/puppet/conf/bce_puppet_bns agent.puppet.com'

如何配置使 puppet master pass agent 的真实主机名/FQDN 到 Enc 脚本，如:

/home/ocean/puppet/conf/bce_puppet_bns web00.xxx.com

或者如何在 Enc 脚本中获取代理的主机名/FQDN？

Answer 1

不要。

不要使用代理传递的 $clientcert 以外的任何信息。

不要在不同代理之间共享证书。

Puppet 中有根深蒂固的假设，即每个代理节点都有一个单独的证书。尝试这样的特技，您将对您的基础设施造成破坏。

例如，PuppetDB 数据通常按拥有代理的certnames 分组。这些数据将很快变得不一致，因为所有代理都称自己相同，但当然是完全不同的。