Puppet Master-Client 证书是否会过期？

Question

在 Puppet 代理的初始配置期间，代理会获得由主人（通常是主人本身）认可的权威机构签署的安全证书，随后它将通过该证书向主人表明自己的身份。此证书是否过期或需要更新？

Answer 1

是的，所有由 Puppet CA 签署的证书都有到期日期，包括代理证书、主证书和 CA 自己的自签名证书（如果实际上正在使用此类证书）。过期时间戳是通过将固定偏移量（由配置设置 ca_ttl 指定）添加到证书签名的日期和时间来设置的。默认的 ttl 是五年，足以覆盖许多组织中所有机器的整个使用寿命。

比代理证书过期更麻烦的是 CA 证书过期。如果您在没有配置新 CA 证书的情况下让这种情况发生，那么主节点和节点将拒绝彼此的证书，迫使您手动为所有节点配置新证书。