Échec du certificat d'agent de marionnette

J'ai un maître / agent de marionnettes configuré et j'ai réussi à signer le certificat de l'agent sur le maître. Cependant, lorsque je cours, puppet agent --testj'obtiens un échec qui ressemble à ceci:

Warning: Unable to fetch my node definition, but the agent run will continue:  
Warning: SSL_connect returned=1 errno=0 state=SSLv3 read server certificate B: certificate verify failed: [certificate signature failure for /CN=hostname.domain.com]  
Info: Retrieving plugin  
Error: /File[/var/lib/puppet/lib]: Failed to generate additional resources using 'eval_generate: SSL_connect returned=1 errno=0 state=SSLv3 read server certificate B: certificate verify failed: [certificate signature failure for /CN=hostname.domain.com]  
Error: /File[/var/lib/puppet/lib]: Could not evaluate: SSL_connect returned=1 errno=0 state=SSLv3 read server certificate B: certificate verify failed: [certificate signature failure for /CN=hostname.domain.com] Could not retrieve file metadata for puppet://hostname.domain.com/plugins: SSL_connect returned=1 errno=0 state=SSLv3 read server certificate B: certificate verify failed: [certificate signature failure for /CN=hostname.domain.com]  
Error: Could not retrieve catalog from remote server: SSL_connect returned=1 errno=0 state=SSLv3 read server certificate B: certificate verify failed: [certificate signature failure for /CN=hostname.domain.com]  
Warning: Not using cache on failed catalog   
Error: Could not retrieve catalog; skipping run  
Error: Could not send report: SSL_connect returned=1 errno=0 state=SSLv3 read server certificate B: certificate verify failed: [certificate signature failure for /CN=hostname.domain.com]  

la hostname.domain.comest le maître

Comment puis-je réparer ça? Je me suis assuré que les deux horloges sont au bon moment dans le même fuseau horaire, j'ai tout supprimé dans le /var/lib/puppet/sslrépertoire des agents et j'ai démissionné, je ne sais pas quoi faire d'autre.

Recréez la configuration complète du certificat client. Cela a toujours résolu tous les problèmes de certification que nous avons rencontrés dans le passé. L'instruction suivante suppose que le nom d'hôte de votre agent est agenthost.hostname.com

Sur le client, supprimez tous les certificats stockés, y compris l'autorité de certification:

find /var/lib/puppet/ssl -name '*.pem' -delete

Sur le maître, supprimez les CSR en attente ou les anciens certificats clients pour ce client:

find /var/lib/puppet/ssl -name agenthost.domain.com.pem -delete

Ensuite, sur le client, reconnectez-vous au maître et envoyez un CSR:

puppet agent -t --waitforcert=60

et lorsqu'il attend (si vous n'avez pas activé la signature automatique activée), le maître approuve le CSR pour qu'un nouveau certificat client soit renvoyé:

puppet cert sign agenthost.domain.com

Cela devrait obliger l'agent à télécharger à nouveau les certificats de CA fantoche et à réappliquer son propre certificat.

Nous avons dû utiliser cette procédure dans le passé lorsque nous avons changé de serveur de marionnettes et que les certificats de l'autorité de certification ont changé, ou lorsque nous avons reconstruit un hôte avec le même nom d'hôte.

Assurez-vous que votre agent connaît son véritable nom d'hôte complet; utilisez la commande 'hostname' pour vous assurer que c'est ce que vous attendez.

J'ai le même problème. J'ai mis en place un environnement vagabond avec un marionnettiste et plusieurs clients. Le problème est que lorsque je détruis et crée le marionnettiste, les clients détectent le nouveau marionnettiste comme un imposteur.

La suppression /etc/puppet/sslsur le client résout le problème.

N'oubliez pas que votre configuration SSL sera mise en cache, donc un redémarrage du maître de marionnettes est nécessaire, si vous décidez de supprimer également votre /etc/puppet/sslsur cet hôte:

sudo /etc/init.d/puppetmaster restart