时间戳

首页 > 解决方案 > Puppet 4.10 中的自定义函数仅返回哈希中的第一个数组项

ruby - Puppet 4.10 中的自定义函数仅返回哈希中的第一个数组项

问题描述

Puppet 中从数据库读取 SSL 证书的自定义函数，将其结果作为哈希数组返回。此功能用于使我们的代理服务器上的 SSL 证书保持最新。

在创建代理虚拟主机时，我们读取 SSL 证书以确定虚拟主机应该在哪些主机上处于活动状态。我们通过从证书中检索“主题替代名称”并将它们解析成一个数组来做到这一点。

以下代码提取 SAN：

def subject_alt_names
  san = @x509.extensions.find { |e| e.oid == 'subjectAltName' }
  san.value.split(',').map { |name| name.strip.sub!('DNS:', '') }
end

该@x509变量包含一个实例，OpenSSL::X509::Certificate.new并subject_alt_names生成证书中的预期名称数组。

到目前为止，一切都很好！

现在，在收集所有证书时，我们根据从数据库中检索到的结果创建一个哈希数组。

代码类似于：

Puppet::Functions.create_function(:'certificates') do
  dispatch :up do
  end

  def up
    # Omitted DB calls

    mappings.map { |mapping|
      certificate = Certificate.new(
        OpenSSL::X509::Certificate.new(mapping['certificate']),
        OpenSSL::PKey::RSA.new(mapping['private_key']),
        mapping['intermediates']
      )

      {
        'common_name' => certificate.common_name,
        'domains' => certificate.subject_alt_names,
        'private_key' => certificate.private_key,
        'certificate' => certificate.x509,
        'intermediates' => certificate.chain
      }
    }
  end
end

在 Puppet 中调用函数时，domains哈希中的数组只包含一个条目（“domain.tld”）而不是两个条目（“domain.tld”和“www.domain.tld”）。数据库中的大多数 SSL 证书都包含两个 SAN 名称。

一个非常简单的测试函数会产生我们期望的结果：

Puppet::Functions.create_function(:'certificates_test') do
  dispatch :up do
  end

  def up
    test = "DNS:domain.tld, DNS:www.domain.tld, DNS: www2.domain.tld"

    domains = test.split(',').map { |name| name.strip.sub!('DNS:', '') }

    {
      'domains' => domains
    }
  end
end

输出：

{
    "domains" => ["domain.tld", "www.domain.tld"]
}

在 Puppet 中执行代码时，仅返回“domains”数组中的第一个条目。该函数在 Puppet 中以类似如下的方式调用：

certificates().each |$certificate| {
    $domains = $certificate['domains']

    # Omitted defining of hosts based on $certificate
}

在 CentOS 上的 Puppet 4.10.12（服务器 2.8.1）上运行。

输出facter rubysitedir rubyversion：

rubysitedir => /opt/puppetlabs/puppet/lib/ruby/site_ruby/2.1.0
rubyversion => 2.1.9

任何帮助将非常感激！

标签： rubypuppet

解决方案

通过更新证书类的“subject_alt_names”方法解决了这个问题。我认为 Puppet 有时会使开发扩展变得困难，因为自定义函数是使用 JRuby 执行的（这有其不同）。在这种情况下，我使用的 OpenSSL 扩展不会在一个字符串中返回所有 SAN 名称，而是将其拆分并使其成为一个哈希数组。

以下代码适用于 JRuby 和 Ruby 的 OpenSSL 扩展（其中x509参数是 的实例OpenSSL::X509::Certificate）：

def subject_alt_names x509
  names = []

  x509.extensions.each do |e|
    next if e.oid != 'subjectAltName'

    names << e.value.split(',').map { |name|
      name.strip.sub!('DNS:', '')
    }
  end

  names
end

感谢所有的评论！它真的帮助我解决了这个问题:)

推荐阅读