使用cloud-init配置系统级CA证书信任-优快云博客

本文链接：https://blog.youkuaiyun.com/gitblog_00567/article/details/148579108

使用cloud-init配置系统级CA证书信任

cloud-init Official upstream for the cloud-init: cloud instance initialization 项目地址: https://gitcode.com/gh_mirrors/cl/cloud-init

什么是cloud-init的CA证书配置

在云环境中，安全通信是基础架构的重要组成部分。当我们需要在云实例启动时自动配置系统级的CA证书信任时，cloud-init提供的ca_certs模块就成为了一个强大的工具。这个功能允许我们在实例首次启动时，自动添加或移除系统信任的CA证书，确保SSL/TLS通信的安全性。

为什么需要配置CA证书

CA（证书颁发机构）证书是建立SSL/TLS信任链的基础。在以下场景中，我们可能需要自定义CA证书配置：

企业内部使用私有CA颁发的证书
需要添加特定机构的中间证书
安全合规要求移除某些默认CA证书
确保服务间通信使用特定CA链验证

配置详解

基础配置结构

cloud-init使用YAML格式的配置文件来定义CA证书设置。基本结构如下：

#cloud-config
ca_certs:
  remove_defaults: true|false
  trusted:
    - |
     -----BEGIN CERTIFICATE-----
     YOUR-CERTIFICATE-DATA
     -----END CERTIFICATE-----

remove_defaults参数

remove_defaults是一个布尔值参数，用于控制是否移除系统默认的CA证书：

设置为true：将禁用或删除系统默认安装的CA证书（如Ubuntu/Debian的ca-certificates包提供的证书）
设置为false或省略：保留系统默认CA证书，仅添加自定义证书

注意：此选项主要用于高度安全敏感的环境，普通用户通常不需要移除默认证书。

trusted参数

trusted参数用于指定要添加到系统信任库的自定义CA证书。它可以接受：

单个证书（单行字符串）
多个证书组成的列表（如示例所示）

证书必须采用标准的PEM格式，包含-----BEGIN CERTIFICATE-----和-----END CERTIFICATE-----标记。

实际应用示例

假设我们需要配置一个云实例，移除所有默认CA证书，并添加两个内部CA证书：

#cloud-config
ca_certs:
  remove_defaults: true
  trusted:
  - |
    -----BEGIN CERTIFICATE-----
    MIIDXTCCAkWgAwIBAgIJAN1Z5Z5Z5Z5ZMA0GCSqGSIb3DQEBCwUAMEUxCzAJBgNV
    ... [证书内容省略] ...
    -----END CERTIFICATE-----
  - |
    -----BEGIN CERTIFICATE-----
    MIIDXTCCAkWgAwIBAgIJAN2Z6Z6Z6Z6ZMA0GCSqGSIb3DQEBCwUAMEUxCzAJBgNV
    ... [证书内容省略] ...
    -----END CERTIFICATE-----