Puppet SSL Sertifika Modülü

Puppet, sunucu filosunda sertifika dosyalarının her zaman doğru yerde, doğru izinle ve güncel halde bulunmasını sağlayan bildirimsel bir araçtır. Dikkat edilecek nokta: Puppet'ın kendi iç CA'sı, web sitenizin halka açık sertifikasından ayrıdır.

Sertifika Dosyalarını Yönetme

file { '/etc/ssl/private/ornek.key':
  ensure    => file,
  owner     => 'root',
  group     => 'root',
  mode      => '0600',
  content   => lookup('ornek::ssl_key'),
  show_diff => false,
  notify    => Service['nginx'],
}

file { '/etc/ssl/ornek-fullchain.pem':
  ensure => file,
  mode   => '0644',
  source => 'puppet:///modules/ornek/ornek-fullchain.pem',
  notify => Service['nginx'],
}

show_diff => false ayarı, anahtar içeriğinin raporlara yazılmasını engeller.

Gizli Değerler

• Anahtarı düz metin olarak koda koymayın; Hiera eyaml gibi şifreli veri çözümü kullanın.
• Sürüm kontrolüne yalnızca şifreli değerleri gönderin.
• Özel anahtarı mümkünse her sunucuda üretin, merkezden dağıtmaktan kaçının.

Otomatik Sertifika Modülleri

Forge'da ACME/Let's Encrypt için topluluk modülleri bulunur; bunlar DV sertifikaları yeniler. OV/EV gibi kuruluş doğrulamalı sertifikalarda ise dosya tabanlı dağıtım yaygındır. Kullanmadan önce modülün bakım durumunu ve sürüm uyumunu kontrol edin.

Doğrulama

1. puppet agent -t --noop ile değişiklikleri önceden görün.
2. Uygulamadan sonra openssl x509 -in /etc/ssl/ornek-fullchain.pem -noout -dates ile tarihleri kontrol edin.
3. Dışarıdan SSL kontrol aracıyla sınayın.

Sertifika ihtiyacınız için SSL sertifikaları sayfasına bakabilirsiniz.