登陆harbor发现证书是错误的, 那么如何更新harbor的证书呢

ops/2024/12/18 17:49:22/

Error response from daemon: Get "https://172.16.21.35/v2/": tls: failed to verify certificate: x509: certificate is valid for 127.0.0.1, ::1, 172.16.21.30, not 172.16.21.35

版本 v2.10.1-b7b88476  不需要从头看, 直接看最下面的成功的证书创建

这里面首先遇到的坑是 openssl版本太低, 需要先升级到 1.1.1 

https://openssl-library.org/source/ 网站拿到最新版本 3.4wget https://github.com/openssl/openssl/releases/download/openssl-3.4.0/openssl-3.4.0.tar.gz
tar -zxvf openssl-3.4.0.tar.gz
cd openssl-3.4.0
mv /usr/local/openssl /usr/local/openssl_bak
./config --prefix=/usr/local/opensslmakemake installmv /usr/bin/openssl /usr/bin/openssl_bak
mv /usr/include/openssl /usr/include/openssl_bakln -s /usr/local/openssl/bin/openssl /usr/bin/opensslln -s /usr/local/openssl/include/openssl /usr/include/openssl

上述config报错

Can't locate IPC/Cmd.pm in @INC (@INC contains: /etc/yum.repos.d/openssl-3.4.0/util/perl /usr/local/lib64/perl5 /usr/local/share/perl5 /usr/lib64/perl5/vendor_perl /usr/share/perl5/vendor_perl /usr/lib64/perl5 /usr/share/perl5 . /etc/yum.repos.d/openssl-3.4.0/external/perl/Text-Template-1.56/lib) at /etc/yum.repos.d/openssl-3.4.0/util/perl/OpenSSL/config.pm line 19.
BEGIN failed--compilation aborted at /etc/yum.repos.d/openssl-3.4.0/util/perl/OpenSSL/config.pm line 19.
Compilation failed in require at /etc/yum.repos.d/openssl-3.4.0/Configure line 23.
BEGIN failed--compilation aborted at /etc/yum.repos.d/openssl-3.4.0/Configure line 23.解决办法: sudo yum install perl-IPC-Cmd

报错

openssl: error while loading shared libraries: libssl.so.3: cannot open shared object file: No such file or directory

openssl: error while loading shared libraries: libcrypto.so.3: cannot open shared object file: No such file or directory

解决办法

 find / -name libssl.so.3找到 
/usr/local/openssl/lib64/libssl.so.3创建软件链接sudo ln -sf /usr/local/openssl/lib64/libssl.so.3 /lib64/libssl.so.3sudo ln -sf /usr/local/openssl/lib64/libcrypto.so.3 /lib64/libcrypto.so.3

ssh 172.16.20.20 

cd /opt/harbor

更新 /opt/harbor 目录中的证书，通常是指更新 Harbor 的 HTTPS 证书。以下是更新 Harbor 证书的详细步骤：

生成 dockerhub.kubekey.local.key、dockerhub.kubekey.local.pem 和 dockerhub.kubekey.local-key.pem 这样的证书文件，通常是在生成自签名证书或证书签名请求（CSR）时进行的。根据您提供的文件名结构，它们可能涉及到私钥文件（.key）、证书文件（.pem）以及可能的密钥文件（.key.pem）。下面是生成这些文件的步骤：

1. 生成私钥文件 (dockerhub.kubekey.local.key)

生成私钥文件是生成 SSL 证书的第一步。使用 openssl 生成一个私钥文件。

根据 harbor.yml里面的配置

certificate: /etc/ssl/registry/ssl/dockerhub.kubekey.local.pem
private_key: /etc/ssl/registry/ssl/dockerhub.kubekey.local-key.pem
在目录  /etc/ssl/registry/ssl 清掉原来的文件, 重新生成

cd /etc/ssl/registry/ssl

openssl genpkey -algorithm RSA -out dockerhub.kubekey.local.key -pkeyopt rsa_keygen_bits:2048

这个命令会生成一个 2048 位的 RSA 私钥，并将其保存为 dockerhub.kubekey.local.key。

2. 生成证书签名请求（CSR） (dockerhub.kubekey.local.csr)

使用私钥生成证书签名请求（CSR）。CSR 用于向证书颁发机构（CA）申请签名证书，或者生成自签名证书。

 

openssl req -new -key dockerhub.kubekey.local.key -out dockerhub.kubekey.local.csr
 

 

执行此命令时，您需要提供一些信息：
 

  • Country Name (2 letter code): 国家代码，例如 CN（中国）。
  • State or Province Name: 省份名称。
  • Locality Name: 城市名称。
  • Organization Name: 公司名称。
  • Organizational Unit Name: 部门名称。
  • Common Name: 常见名称，通常是要为其创建证书的域名（例如 dockerhub.kubekey.local）。
  • Email Address: 联系邮箱。
  • 随机密码: 8ZNDyM4cTzLkwG5w
 

生成的 dockerhub.kubekey.local.csr 将包含该域名的证书请求信息。
 

3. 生成自签名证书（.pem 和 .key.pem）
 

如果您打算使用自签名证书，则可以使用 openssl 生成自签名证书。以下命令将生成 dockerhub.kubekey.local.pem 和 dockerhub.kubekey.local-key.pem：
 

 

openssl req -x509 -key dockerhub.kubekey.local.key -in dockerhub.kubekey.local.csr -out dockerhub.kubekey.local.pem -days 3650
 

 

此命令会创建一个有效期为 365 天的自签名证书，并将其保存为 dockerhub.kubekey.local.pem。
 

解释：
 

  • -x509: 生成自签名证书。
  • -key dockerhub.kubekey.local.key: 使用之前生成的私钥文件。
  • -in dockerhub.kubekey.local.csr: 使用 CSR 文件。
  • -out dockerhub.kubekey.local.pem: 输出自签名证书文件。
  • -days 365: 设置证书有效期为 365 天。
 

4. 如果需要将证书和私钥合并为 .pem 格式
 

有时您可能需要将私钥和证书合并为一个 .pem 文件：
 

 

cat dockerhub.kubekey.local.key dockerhub.kubekey.local.pem > dockerhub.kubekey.local-key.pem
 

 

这会将私钥和证书文件合并成一个文件，命名为 dockerhub.kubekey.local-key.pem。
 

 

执行以上步骤后，您应该会生成以下文件：
 

  • dockerhub.kubekey.local.key：私钥文件。
  • dockerhub.kubekey.local.csr：证书签名请求文件。
  • dockerhub.kubekey.local.pem：自签名证书文件。
  • dockerhub.kubekey.local-key.pem：合并后的证书和私钥文件。
 

 

 

 

5. 重启 Harbor 服务
 

在替换证书后，需要重启 Harbor 服务使新证书生效。
 

重启命令：
 

cd /opt/harborsudo docker-compose downsudo docker-compose up -d
 

验证服务状态：
 

 

sudo docker-compose ps
 

 

6. 验证证书是否生效
 

使用 curl 验证：
 

 

curl -v https://172.16.20.20
 

 

或通过浏览器访问：
 

打开浏览器访问 https://172.16.20.20，查看证书是否为更新后的版本。
 

 

 

上面的替换没有生效, 检查docker-compose.yml文件 , 这里的nginx对外的端口是 443, https的端口, 先替换这里的证书  /mnt/registry/secret/cert
 

 proxy:image: goharbor/nginx-photon:v2.10.1container_name: nginxrestart: alwayscap_drop:- ALLcap_add:- CHOWN- SETGID- SETUID- NET_BIND_SERVICEvolumes:- ./common/config/nginx:/etc/nginx:z- /mnt/registry/secret/cert:/etc/cert:z- type: bindsource: ./common/config/shared/trust-certificatestarget: /harbor_cust_certnetworks:- harborports:- 3880:8080- 443:8443depends_on:- registry- core- portal- loglogging:driver: "syslog"options:syslog-address: "tcp://localhost:1514"tag: "proxy"
 

在目录 /mnt/registry/secret/cert 重新生成这两个文件 server.crt  server.key
 

 

cd /mnt/registry/secret/cert生成新的私钥文件（server.key）如下命令不要用, 生成的是 PKCS#8格式 比较短openssl genpkey -algorithm RSA -out /mnt/registry/secret/cert/server.key经过验证 如下命令生成的是 PKCS#1 格式 的私钥, 
openssl genrsa -out server.key 2048生成新的证书请求文件（server.csr）openssl req -new -key /mnt/registry/secret/cert/server.key -out /mnt/registry/secret/cert/server.csrA challenge password: SmKc8QHpKBWu2RUJ生成自签名证书（server.crt）
openssl x509 -req -in /mnt/registry/secret/cert/server.csr -signkey /mnt/registry/secret/cert/server.key -out /mnt/registry/secret/cert/server.crt -days 36500最后生成文件列表server.crt  server.csr  server.key
 

然后重启harbor
 

cd /opt/harborsudo docker-compose downsudo docker-compose up -d
 

 

 

# 对于 Linux 客户端
将文件 /mnt/registry/secret/cert/server.crt 上传至 172.16.21.35:/etc/ssl/certsmv server.crt 172.16.20.20.server.crt然后更新
sudo update-ca-certificatesopenssl x509 -in /etc/ssl/certs/172.16.20.20.server.crt -noout -text
 

 

在172.16.21.35上验证证书
 

 


curl https://172.16.20.20  报错curl: (60) SSL certificate problem: self signed certificate
More details here: https://curl.haxx.se/docs/sslcerts.htmlcurl failed to verify the legitimacy of the server and therefore could not
establish a secure connection to it. To learn more about this situation and
how to fix it, please visit the web page mentioned above.cp ca.crt /etc/ssl/certs/172.16.20.20.server.crt
# 修改文件权限
sudo chmod 777 /etc/ssl/certs/172.16.20.20.server.crtcurl --cacert /etc/ssl/certs/172.16.20.20.server.crt https://172.16.20.20这条命令正常执行的curl -v https://172.16.20.20这条也是正常的curl https://172.16.20.20 也正常了  , 反而 curl --cacert /etc/ssl/certs/172.16.20.20.server.crt https://172.16.20.20 却不行了.
 

 

 

 

配置docker的自签证书
 

 

mkdir -p /etc/docker/certs.d/172.16.20.20
上传 server.crt 并命名 ca.crt
重启 docker生成 server.cert, 与 server.key 一并上传到目录 /etc/docker/certs.d/172.16.20.20openssl x509 -req -in server.csr -signkey server.key -out server.certsudo systemctl restart docker验证依然报错docker login 172.16.20.20
Username: admin
Password: 
Error response from daemon: Get "https://172.16.20.20/v2/": tls: failed to verify certificate: x509: certificate relies on legacy Common Name field, use SANs instead使用如下方法生成: openssl req -newkey rsa:4096 -nodes -sha256 -keyout server.key -x509 -days 36500 -out server.crt -addext "subjectAltName = DNS:172.16.20.20"
 

 

登陆docker harbor遇到报错
 

 

root@master:/etc/docker/certs.d# docker login 172.16.20.20
 Username: admin
 Password: 
 Error response from daemon: Get "https://172.16.20.20/v2/": tls: failed to verify certificate: x509: certificate relies on legacy Common Name field, use SANs instead
 

 

 

在上述生成证书的基础上 增加一个配置
 

 

vi openssl.cnf
 

[req]
default_bits        = 2048
default_keyfile     = server.key
distinguished_name  = req_distinguished_name
req_extensions      = v3_req
x509_extensions     = v3_ca
string_mask         = utf8only[req_distinguished_name]
countryName         = Country Name (2 letter code)
countryName_default = US
stateOrProvinceName = State or Province Name (full name)
stateOrProvinceName_default = California
localityName        = Locality Name (eg, city)
localityName_default = San Francisco
organizationalName = Organization Name (eg, company)
organizationalName_default = Example Inc.
commonName          = Common Name (e.g. server FQDN or YOUR name)
commonName_default  = 172.16.20.20
commonName_max      = 64[v3_req]
keyUsage = critical, digitalSignature, keyEncipherment
extendedKeyUsage = serverAuth, clientAuth
subjectAltName = @alt_names[alt_names]
DNS.1   = 172.16.20.20
IP.1    = 172.16.20.20
 

 

 


生成包含 SAN 的证书
openssl genrsa -out server.key 2048生成证书请求 (CSR)
openssl req -new -key server.key -out server.csr -config openssl.cnf自签署证书并加入 SANopenssl x509 -req -in server.csr -signkey server.key -days 36500 -out server.crt -extensions v3_req -extfile openssl.cnf经过这次重新设置, 生效了, 主要是把原来的 证书全部删除然后生成chmod 777 server*
 

 

 

 

 

 












http://www.ppmy.cn/ops/142970.html












相关文章










23.DDD与微服务









23.DDD与微服务




学习视频来源：DDD独家秘籍视频合集 https://space.bilibili.com/24690212/channel/collectiondetail?sid1940048&ctype0  文章目录 DDD与微服务的关系1. DDD可以用微服务实现，也可以不用微服务实现2. DDD是微服务拆分的必须参考项之一3. 微服务架构…




阅读更多...

















el-select多选设置默认值且默认值不可删除









el-select多选设置默认值且默认值不可删除




需求 <el-select>多选时&#xff0c;需要设置默认值&#xff0c;且默认值不可删除&#xff0c;但手动勾选的值可以删除。 实现原理 在el-select框中隐藏默认值的el-tag后面的叉在option中置灰默认值的选项使其不可被操作 代码实现 新建一个自定义指令&#xff0c;并在<…




阅读更多...

















学习笔记071——Java中的【线程】









学习笔记071——Java中的【线程】




文章目录 1、基础2、进程和线程3、什么是多线程4、Java 中线程的使用5、Java 中创建线程的方式5.1、继承 Thread 类5.2、实现 Runnable 接口5.3、继承 Thread 和实现 Runnable 接口的区别5.4、实现 Runnable 接口的优化 6、线程的状态7、线程调度7.1、线程休眠7.2、线程合并7.3…




阅读更多...

















selenium自动化测试基础知识









selenium自动化测试基础知识




目录 
一、概念知识 
(一)三大核心组件 
(二)Selenium 自动化测试的工作原理 
(三)Selenium 支持的操作 
(四)Selenium 自动化测试的优点 
(五)Selenium 自动化测试的缺点 
(六)Selenium 自动化测试的应用场景 
总结 
二、实操例子 
使用前提--安装步骤 
注意事项 
(一)浏览器的…




阅读更多...

















LruCache（本地cache）生产环境中遇到的问题及改进









LruCache（本地cache）生产环境中遇到的问题及改进




问题&#xff1a;单机qps增加时请求摘要后端&#xff0c;耗时也会增加&#xff0c;因为超过了后端处理能力&#xff08;最大qps&#xff0c;存在任务堆积&#xff09;。 版本一 引入LruCache。为了避免数据失效&#xff0c;cache数据的时效性要小于摘要后端物料的更新时间&…




阅读更多...

















高并发-缓存预热









高并发-缓存预热




缓存预热的必要性 
缓存预热是为了在系统面临高并发请求时&#xff0c;确保热点数据已经被加载到缓存中&#xff0c;从而提高系统响应速度和稳定性。通过缓存预热&#xff0c;可以避免因数据未命中而导致的数据库压力激增。 
典型应用场景 电商系统&#xff1a;在秒杀活动期间&…




阅读更多...

















火山引擎声音复刻API-2.0









火山引擎声音复刻API-2.0




火山引擎声音复刻API-2.0使用解释 
付费模式解释&#xff1a; 
1.字符版本按照字符付费 
2.并发版 是按 并发连接数 或 同时使用量 来收费的付费模式&#xff0c;常见于软件、API 服务、云服务等产品中。 上传音频文件demo代码 
import base64
import os
import requestshost  …




阅读更多...

















基于单片机的智能化教室环境系统设计









基于单片机的智能化教室环境系统设计




本设计的智能化教室环境系统选用STC89C52做为核心控制器&#xff0c;通过红外传感装置检测教室人数&#xff0c;温度感应模块及光强感应模块检测当前教室内的温度和光照强度&#xff0c;以此来为单片机提供数据来控制灯光与风扇。控制模式设有自动和手动&#xff0c;可调节温度…




阅读更多...















 
 
 
 










最新文章







 





















Copyright @ 2022~2023