Cisco Elastic Services Controller は、デフォルトで証明書の検証を有効にします。また、有効または無効にするには、esc_params.conf ファイル の Openstack カテゴリで使用可能なパラメータ DISABLE_CERT_VALIDATION を変更するか、REST インターフェイスを使用するか、または escadm ツールを使用することもできます。

ESC アクティブノードで、コマンド sudo escadm enable-certificate または sudo escadm disable-certificate を使用して、証明書の検証をそれぞれ有効または無効にします。

ESC の起動中、または ESC の起動が完了した後でも、ルート証明書を追加できます。証明書を追加する前に、OpenStack 環境ファイルを確認します。 OpenStack RC ファイルには、OpenStack で認証とインストールを実行するためのパラメータがあります。パラメータを渡すときに --os_auth_url を指定する必要があります。--os_auth_url は、OpenStack が認証に使用するセキュア（https）または非セキュア（http）キーストーン URL を指定します。

• 起動時にスタンドアロン（のみ）の証明書を追加します。つまり、ESC VM のインストール時に次のようにします。

  
  ./bootvm.py test-vm --image <image_name> --net <network> [--cert_file CERT_FILE] [--confd_aes_key CONFD_AES_KEY]
   /home/cisco/openstack.crt 
  --user_pass <username>:<password> --user_confd_pass <username>:<password> 
  

  （注）	現在、ESC では、証明書の追加時に keepalived サービスが実行されていないため、インストール中に HA アクティブ/スタンバイの証明書を追加することはサポートされていません。

• ESC インスタンスを起動した後、スタンドアロン/HA アクティブ/スタンバイの証明書を追加します。escadm ツールには、次の引数を持つ truststore add オプションがあります。--file 引数は、CA 証明書ファイルを参照します。この引数を使用すると、Java keytool でサポートされている任意のファイル形式（X.509 v1、v2、v3 証明書、および PKCS＃7）をインポートできます。--alias 引数は一意であり、この特定の CA 証明書が付与されている名前を参照します。

  1. CA 証明書ファイルを ESC アクティブ VM にコピーまたは転送します。
  2. 証明書を ESC トラストストアに追加します。これを行うには、次のコマンドを実行します。

     
     sudo escadm escadm truststore add --alias [ca cert alias] --file [file path]

     または

     sudo escadm truststore escadm truststore --alias [ca cert alias] --file [file path]

  3. 証明書が追加されていることを確認します。

     
     sudo escadm truststore show

     または

     sudo escadm truststore show

escadm ツールには、--alias 引数のみを実行する「truststore delete」オプションがあります。--alias 引数は、削除する CA 証明書の名前を参照します。スタンドアロン/HA アクティブ/スタンバイ ESC VM でこの引数を使用します。

• escadm  keystore show

  escadm keystore show コマンドにより、キーストアに現在保存されている証明書に関する情報が表示されます。作成日、エイリアス、証明書のフィンガープリントなどの情報が表示されます。

  次に例を示します。

  $ sudo escadm keystore show
  Keystore type: PKCS12
  Keystore provider: SUN
  Your keystore contains 1 entry
  esc, Apr 13, 2020, PrivateKeyEntry,
  Certificate fingerprint (SHA1): FF:11:66:3E:93:DD:3A:0B:9A:72:40:16:35:34:D2:22:E1:25:07:80

• escadm keystore export [--out <file path>]

  export コマンドを実行すると、証明書のすべてのコンテンツが表示されます。out オプションが指定されている場合、コンテンツは、以前のオプションで指定されたパスのファイルに保存されます。

• escadm keystore set-- file <file path>

  set コマンドにより、現在の証明書が、file オプションで指定されたパスを持つファイル内に存在する新しい証明書に置き換えられます。

  ファイルが PEM 形式であり、証明書と秘密キーの両方が含まれていることを確認します。

  次の例は、新しい自己署名証明書を生成し、キーストアに対して設定する方法を示しています。

  1. 証明書を生成するには、次のコマンドを使用します。

     openssl req -newkey rsa:2048 -new -nodes -x509 -days 3650 -keyout key.pem -out cert.pem
     

     前のコマンドで、次の 2 つのファイルが作成されます。

     key.pem と cert.pem

  2. 次のコマンドを使用して、2 つのファイルを結合します。

     cat key.pem > server.pem

     cat cert.pem >> server.pem

  3. 新しい証明書をキーストアに対して設定するには、次のコマンドを使用します。

     $ sudo escadm keystore set --file server.pem

     Service "keystore" successfully updated ESC keystore and will take effect once ESC services are restarted by running "sudo escadm restart"

     （注）	設定が完了した後、秘密キーと証明書を含む残りのファイルすべてを削除してください。

     この変更を有効にするには、システムの再起動が必要です。スタンドアロンモードまたは H/A モードで再起動するには、次のコマンドを使用します。

     sudo escadm restart

     ESC がアクティブ/アクティブモードで実行されている場合は、同じクラスタ内のすべてのノードを再起動する必要があります。ただし、ESC がアクティブ/アクティブ GEO モードで実行されている場合は、すべてのクラスタの GEO サービスを停止して、GEO スイッチオーバーが実行されないようにする必要があります。

     GEO アクティブ/アクティブモードの場合に限り、GEO サービスを停止するには、各クラスタ内の任意のノードにログインして、次のコマンドを使用します。

     $ sudo escadm geo stop --cluster

     証明書が元々設定されているクラスタ内の任意のノードにログインできます。次のコマンドを使用します。

     
     
     $ sudo escadm stop --cluster
     $ sudo escadm start --cluster

     GEO アクティブ/アクティブモードの場合は、すべてのノードが稼働状態になったら、任意のノードに再度ログインして GEO サービスを開始します。サービスを開始するには、次のコマンドを使用します。

     $ sudo escadm geo start --cluster