Puppet cacert与localcacert区别及CA证书更新问题咨询

首先，先明确这两个文件的核心差异，帮你理清困惑：

• /etc/puppetlabs/puppet/ssl/ca/ca_crt.pem：这是Puppet CA服务器的根CA证书原件，是整个Puppet证书生态的核心——所有agent、server的证书都是由这个CA签署的。CA服务器用它来完成证书签署、验证等核心操作。
• /etc/puppetlabs/puppet/ssl/certs/ca.pem：这是**所有客户端（包括Puppet agent，甚至Puppet server本身作为客户端角色时）**存储的CA证书副本。客户端通过这个文件来验证服务器证书的合法性，确保自己连接的是可信的Puppet服务器。

能不能直接覆盖？ #

答案是：完全可以，而且必须这么做——这两个文件的内容本来就应该完全一致。你更新了CA服务器的根证书后，必须把新证书同步到所有节点（包括server自己）的ca.pem位置，否则客户端会继续用旧的过期证书验证，自然会报错。

具体操作步骤 #

1. 验证新CA证书的有效性
   先确认你替换的CA证书确实是未过期的：

   openssl x509 -in /etc/puppetlabs/puppet/ssl/ca/ca_crt.pem -text -noout
   

   查看输出里的Not Before和Not After字段，确认有效期是新的。

2. 同步CA证书到Puppet Server的客户端位置
   Puppet Server本身也需要信任新的CA证书（比如它作为客户端和自己通信时），所以先在server上完成覆盖：

   # 复制新CA证书到客户端信任路径
   cp /etc/puppetlabs/puppet/ssl/ca/ca_crt.pem /etc/puppetlabs/puppet/ssl/certs/ca.pem
   # 确保权限正确，puppet用户能读取
   chown puppet:puppet /etc/puppetlabs/puppet/ssl/certs/ca.pem
   chmod 644 /etc/puppetlabs/puppet/ssl/certs/ca.pem
   

3. 同步到所有Puppet Agent节点
   对于每个agent节点，你有几种选择：

   • 手动复制（适合少量节点）：把CA服务器上的ca_crt.pem通过scp等方式复制到agent的/etc/puppetlabs/puppet/ssl/certs/ca.pem，然后调整权限和server端一样。
   • 用Puppet命令拉取：如果agent还能和server通信（比如只是证书刚过期，还没完全阻断连接），可以在agent上运行：

     puppet agent --ca-server <你的CA服务器主机名> --fetch-ca-cert
     

     这个命令会自动从CA服务器拉取最新的CA证书到本地的ca.pem位置。

4. 重启相关服务
   同步完成后，重启服务让更改生效：

   # 重启Puppet Server
   systemctl restart puppetserver
   # 重启每个Agent节点的服务
   systemctl restart puppet
   

额外注意事项 #

• 旧证书失效问题：如果你替换了CA根证书，之前由旧CA签署的所有agent证书都会失效（因为新CA无法验证旧证书的合法性）。这时候你需要让agent重新生成证书请求，并由新CA签署：
  • 在agent上运行：

    puppet agent --test --certname <你的agent证书名> --waitforcert 60
    

  • 然后在CA服务器上签署证书：

    puppetserver ca sign --certname <你的agent证书名>
    

• 系统时间同步：证书过期问题经常和节点间时间不同步有关，确保所有Puppet节点（server和agent）的系统时间是同步的，可以用NTP服务来维护。

内容的提问来源于stack exchange，提问作者Philip Kirkbride