解决基于cephadm部署的Ceph集群SSL证书验证问题

一、全局注入自定义 CA 证书（推荐） #

cephadm 支持通过集群配置全局注入CA证书，无需逐个容器手动配置：

• 将你的CA证书文件（如custom-ca.crt）上传至任意集群节点，执行命令将证书存入Ceph配置存储：

  ceph config-key set mgr/cephadm/ca_cert "$(cat custom-ca.crt)"
  

• 重启ceph-mgr服务使配置生效：

  ceph mgr fail
  

  重启后，cephadm后续启动的所有容器都会自动加载该CA证书，解决容器访问外部服务的SSL验证问题。

二、全局关闭SSL证书验证（仅应急使用） #

若无法获取合法CA证书，可临时全局禁用SSL验证（存在安全风险，不建议生产环境使用）：

• 设置集群全局参数关闭证书验证：

  ceph config set global ssl_no_verify true
  

• 重新部署所有服务让配置生效：

  ceph orch redeploy --all
  

三、验证配置有效性 #

启动临时容器测试外部SSL连接，确认问题解决：

ceph orch run --command "curl -v https://目标外部服务地址" test-ssl-check

内容的提问来源于stack exchange，提问作者Gaspode