问题描述
在年度更新SSL证书的过程中，遇到了关于Chef的问题。在更新证书时，用户通常也会更新基础架构，其中包括了Chef。然而，每次更新后，都需要让每个节点重新获取基于新证书重新生成的自签名chef-server证书，这个过程是繁琐且痛苦的。用户一直以为如果不更新证书，Chef就会崩溃。
用户最近仔细查看了一下，发现Chef实际使用的自签名证书（特别是nginx组件）的过期时间在未来十年内。这让用户产生了疑问：
- 是否无需更新Chef的SSL证书？
- 如果我让年度证书过期，Chef会崩溃并停止所有部署、chef-client运行和引导吗？
用户已知的信息包括：
– 使用的是 Ubuntu Linux 18.04 上的 Chef Server 13.0.17。
– Chef使用一个自签名证书，该证书分发给所有引导的节点。证书存储在 /etc/ssl/private 中，生成路径为 /var/opt/opscode/nginx/ca，生成命令为 chef-server-ctl reconfigure。
– 使用 cat <the_crt> | openssl x509 -noout -enddate 命令可以查看证书的到期日期约为十年后。
– 当更新Chef Server的证书时，每个节点都必须通过 knife ssl fetch 命令获取证书。
用户不清楚的是：
– Chef的功能是否实际上取决于 /var/opt/opscode/nginx/ca 路径下证书的过期日期，从而使得更新今年的证书是不必要的？
– 当Chef自签名证书过期时，我是否只需要重新生成证书？这似乎会使这种情况变得非常罕见。
用户认为逻辑上来说，可能并不需要更新证书，但他从未遇到过类似的情况，这让他感到相当奇怪。他在这里提问是因为他想避免所有系统突然变得不可访问并导致所有部署失败。如果实际上不需要每年都进行更新，这还可以节省大量时间。
解决方案
解决方案概述
根据您的情况，您无需每年更新Chef的SSL证书，除非您在Chef客户端的配置中将SSL验证设置为忽略。chef-server-ctl reconfigure 命令会在需要时生成新的自签名证书，如果您没有使用特定的由内部或外部机构签名的证书。
方案1：仅在证书过期时更新
根据您提供的信息，Chef的功能不会实际上取决于 /var/opt/opscode/nginx/ca 路径下证书的过期日期。只有在证书真正过期时，您才需要更新证书。
步骤
- 在证书即将过期时，使用
chef-server-ctl reconfigure命令生成一个新的自签名证书。 - 通过
knife ssl fetch命令，确保所有节点都获取了新的证书。
方案2：SSL验证设置为忽略
如果您不希望在每次证书过期时手动更新证书，您可以将Chef客户端的SSL验证设置为忽略。这是一个不推荐的做法，因为它会降低安全性，但在某些情况下可能会有用。
步骤
- 在 Chef 客户端的配置文件
client.rb中，将ssl_verify_mode设置为:verify_none。 - 这会导致 Chef 客户端忽略SSL证书验证，但这样做会降低通信的安全性。
请记住，不推荐忽略SSL证书验证，因为它可能会导致安全风险。在正式环境中，应始终使用正确的证书管理方法来保护您的基础架构。
方案3：使用特定的由内部或外部机构签名的证书
如果您关心安全性并且希望在更新证书时使用特定的由内部或外部机构签名的证书，您可以考虑以下步骤。
步骤
- 获取一个由受信任的机构签名的SSL证书，用于您的Chef服务器。
- 将证书应用到Chef服务器的配置中，以取代自签名证书。
- 在节点中安装受信任的根证书，以确保它们信任您的Chef服务器证书。
请注意，使用受信任的证书会增加安全性，但可能需要一些额外的配置步骤。
结论
根据您提供的信息，您不必每年更新Chef的SSL证书，除非证书真正过期。chef-server-ctl reconfigure 命令会在需要时生成新的自签名证书。如果您希望保持高安全性，您还可以考虑使用由受信任机构签名的证书，以及将Chef客户端的SSL验证配置为验证服务器证书。无论您选择哪种方式，都应该在确保您的基础架构安全的前提下进行。