在实用程序节点上安装了 puppet

Question

我正在实用程序节点上运行版本 6 puppet，当我尝试从 puppet 代理连接到 puppet master 时，出现此错误。

[root@utility ~]# puppet agent --test
Warning: Unable to fetch my node definition, but the agent run will continue:
Warning: SSL_connect returned=1 errno=0 state=error: certificate verify failed: [unable to get certificate CRL for /CN=utility.example.com]
Info: Retrieving pluginfacts
Error: /File[/opt/puppetlabs/puppet/cache/facts.d]: Failed to generate additional resources using 'eval_generate': SSL_connect returned=1 errno=0 state=error: certificate verify failed: [unable to get certificate CRL for /CN=utility.example.com]
Error: /File[/opt/puppetlabs/puppet/cache/facts.d]: Could not evaluate: Could not retrieve file metadata for puppet:///pluginfacts: SSL_connect returned=1 errno=0 state=error: certificate verify failed: [unable to get certificate CRL for /CN=utility.example.com]
Info: Retrieving plugin
Error: /File[/opt/puppetlabs/puppet/cache/lib]: Failed to generate additional resources using 'eval_generate': SSL_connect returned=1 errno=0 state=error: certificate verify failed: [unable to get certificate CRL for /CN=utility.example.com]
Error: /File[/opt/puppetlabs/puppet/cache/lib]: Could not evaluate: Could not retrieve file metadata for puppet:///plugins: SSL_connect returned=1 errno=0 state=error: certificate verify failed: [unable to get certificate CRL for /CN=utility.example.com]
Info: Loading facts
Error: Could not retrieve catalog from remote server: SSL_connect returned=1 errno=0 state=error: certificate verify failed: [unable to get certificate CRL for /CN=utility.example.com]
Warning: Not using cache on failed catalog
Error: Could not retrieve catalog; skipping run

此外，当我运行puppet cert list --all时，puppet 代理上的证书不会显示在 puppet master 上

Warning: `puppet cert` is deprecated and will be removed in a future release.
   (location: /opt/puppetlabs/puppet/lib/ruby/vendor_ruby/puppet/application.rb:370:in `run')

Answer 1

由于代理未发出证书签名请求，因此它必须已具有签名证书。 但是好像不是master认可的证书，所以master不会接受。 可能代理也不接受主人的证书。

如果未经授权的节点试图检索目录，主节点拒绝向无法识别的代理提供服务正是人们所期望和想要的。 如果代理的目录请求被传递给冒充主的冒名顶替者，代理拒绝完成与主的连接正是人们所期望和想要的。

但是，如果授权代理在向它应该识别的真正主服务器请求目录时遇到这样的问题，那么您就存在信任故障。 这可能会发生，例如，如果代理的原始 master 被替换为新的 master，或者如果 Puppet 从 master 中删除然后重新安装。

如果该主机确实没有相关代理的证书，那么您应该能够通过关闭代理（如果它作为守护程序运行）来解决问题，然后清除其证书，以便它在它的下一次运行。 Puppet 文档描述了如何做到这一点（您应该只需要第 3 步，“清除并重新生成 Puppet 代理的证书”，并且仅适用于受影响的代理）。