本系列文章演示如何搭建一个mini的云平台和DevOps实践环境。
基于这套实践环境，可以部署微服务架构的应用栈，演练提升DevOps实践能力。
1 名词说明
- CSR： Certificate Signing Request，即证书签名请求， 这个并不是证书，而是向权威证书颁发机构获得签名证书的申请,其核心内容是一个公钥；
- CRT：证书文件，certificate的缩写，可以通过修改扩展名的方式与PEM文件互相转换；
- PEM：X.509证书的一种编码格式，内容以"-----BEGIN"开头，以"-----END"结尾，内容是BASE64编码；
- 服务器： 这里是指安装UCP/DTR的主机，或者作为Docker Remote API场景中被访问的服务器端主机，本文中UCP服务器IP为192.168.1.101，DTR服务器IP为192.168.1.102；
- 客户端： 这里是指需要访问UCP/DTR的主机，或者作为Docker Remote API场景中发起访问请求的客户端主机，本文中客户端IP为192.168.1.103， 192.168.1.104。
2 生成自签名CA证书
2.1 编辑CA配置文件
$ vi /etc/pki/tls/openssl.cnf[ policy_match ]# 除了country name，其它都改成optional[ req_distinguished_name ]# CommonName设置为IROOTECH CA，这个会显示为证书的【颁发者】和【颁发给】的属性值
2.2 生成CA私钥
创建到CentOS系统默认的CA私钥文件位置：
$ cd /etc/pki/CA/$ openssl genrsa -out private/cakey.pem 2048
2.3 生成CA证书
创建到CentOS系统默认的CA证书文件位置：
$ openssl req -new -x509 -key private/cakey.pem -out cacert.pem
如果步骤2.1设置好了默认值，一路回车即可完成。
3 生成服务器证书
3.1 生成服务器私钥
创建到自定义文件夹：
$ mkdir /home/tls/$ openssl genrsa -out server.key 2048
3.2 生成服务器证书签名请求
创建到自定义文件夹：
$ mkdir /home/tls/$ openssl req -new -key server.key -out server.csr
commonName(CN)设置为UCP（DTR）所在主机名或FQDN。也可以设置为一个泛域名（*.yourcompany.com），其它都使用默认值。
3.3 生成服务器证书
一般情况下，服务器证书和CA证书不在同一个服务器上，所以需要将3.2节生成的服务器证书签名请求发送到CA证书所在服务器上。
创建到自定义文件夹：$ mkdir /home/tls/$ openssl ca -in server.csr -out server.pem
注意：生成服务器证书过程默认使用了-cert cacert.pem -keyfile cakey.pem，这两个文件就是2.2和2.3两步生成的，位于/etc/pki/CA下的CA密钥和CA证书。
4 如何使用
现在我们已经生成了必须的几个文件：
- /etc/pki/CA/cacert.pem
- /home/tls/server.pem
- /home/tls/server.key
4.1 UCP设置证书
在UCP Web UI中， 导航到管理员设置页面，在左侧菜单中，单击证书
依次上传：
- CA证书：
cacert.pem； - 服务器证书：
server.pem； - 私钥：
server.key。
点击保存
4.2 DTR设置证书
在DTR Web UI中，导航到系统页面， 在右侧页面中，点击常规，定位到域和代理，点击显示TLS设置
依次上传：
- CA证书：
cacert.pem； - 服务器证书：
server.pem； - 私钥：
server.key。
点击保存
4.3 浏览器导入CA证书
如果希望自己本地浏览器访问UCP Web UI时不显示安全证书警告，需要如下操作：
- a. 将cacert.pem文件复制到本地，然后修改扩展名为.crt；
- b. 右键点击，在弹出窗口中选择【安装证书】；
- c. 导出【证书导入向导】，点击【下一步】；
- d. 单选框选择【将所有的证书放入下列存储】，点击【浏览】按钮，弹出窗口中选择【受信任的根证书颁发机构】，点击【确认】，点击【下一步】；
- e. 点击【完成】。
系列文章
Docker Data Center系列（五）- 使用自定义的TLS安全认证