ssl - 使用 cfssl 和 multirootca 进行远程签名发送 HTTP 而不是 HTTPS

Question

在遵循 Mike Newswanger 关于为 Kubernetes 构建安全 PKI 的文章 (https://www.mikenewswanger.com/posts/2018/kubernetes-pki/) 之后，我运行指南中的最后一步以从我的客户端计算机请求证书:

cfssl gencert -config=request-profile.json -hostname=myhost.example.com -tls-remote-ca ca.pem -profile=default csr.json | cfssljson -裸机

错误是

{"code":7300,"message":"read tcp 192.168.122.106:37618-\u003e192.168.122.1:8888: read: connection reset by peer"}

在 multirootca 主机上使用 tcpdump，我看到 cfssl 在 multirootca 需要 HTTPS 时发送 HTTP 请求。

我能找到的 cfssl 文档中没有任何内容表明如何强制 cfssl 在证书请求上使用 HTTPS，而 Mike 的帖子表明此时它应该“工作”。

有没有人成功使用了最新版本的 cfssl 还是我遗漏了一些微不足道的东西？

注意:在达到这一点之前，我确实必须修改 request-profile.json 以从 ca-server 中删除 <:port>

Answer 1

所以经过几次尝试/磨难，解决方案非常简单。在 request-profile.json URI 需要是 https://<ca_server>:<port> .

这个 github 问题 https://github.com/cloudflare/cfssl/issues/898帮助我指明了正确的方向。

此外，如果其他人遇到此问题并卡住，请不要从 https://pkg.cfssl.org/ 下载二进制文件因为它们已经严重过时了。使用 Go 安装是获取最新版本的最佳方式，该版本在我的 Q(以及 CloudFlare 博客)中提到的文章中实际有效。