---
title: 分发TLS证书
description: "以SmartKit方式安装OmniShuffle特性时，需要分发TLS证书以开启OmniShuffle的安全特性。分发TLS证书操作仅在管理节点上进行。出于安全考虑，安装部署完成后建议禁止root用户或运维用户远程登录，后续操作均在ockadmin用户下进行。"
url: https://www.hikunpeng.com/document/detail/zh/kunpengboostkithistory/2300/bds/kunpengbds_omniruntime_20_0135.html
sourcePath: /source/zh/kunpengboostkithistory/2300/bds/kunpengbds_omniruntime_20_0135.html
indexId: 9875921e99fab2db15a71ca8310c85d42b6e969e0185bcc2a6a26c347abf009378
---
# 分发TLS证书

以SmartKit方式安装OmniShuffle特性时，需要分发TLS证书以开启OmniShuffle的安全特性。分发TLS证书操作仅在管理节点上进行。出于安全考虑，安装部署完成后建议禁止root用户或运维用户远程登录，后续操作均在ockadmin用户下进行。

- 出于安全考虑，建议将各节点运维账户umask修改为077及以上。
- 如果在当前环境中执行过kmc_tool相关操作，需要在集群环境中删除kmc信号量。
  1 2 ipcs ipcrm -S 0x20161316


1. 配置业务流，选择“执行命令”，导入获取的certificate.json文件。将json文件说明中的certificate.json文件复制并保存为certificate.json文件。json文件详情请参见certificate.json。
2. 更新修改后的agent_node_list文件的路径，agent_node_list修改方法请参见agent_node_list。
  a. 修改本地路径为当前的配置文件路径。
  b. 修改文件放置的远端路径为安装目录下的路径。
3. 修改CA_node_list的路径。

  a. 修改本地路径为当前的配置文件路径。
  b. 修改文件放置的远端路径为安装目录下的路径。
4. 配置脚本参数。

  - 若服务器间未做互信，回显交互处执行命令部分都填写安装账户的密码。
  - 若服务器间已经做了互信，回显交互处执行命令部分都填写1。ockadmin为ock安装时的用户名，与实际写成一致即可。
  - 脚本第三个参数为ockadmin所在属组，按实际修改即可。
  - sparkadmin为提交spark任务用户名，按实际修改即可。
    1 su - ockadmin -c 'bash $OCK_HOME/security/certificate/cert_manager.sh 运维用户 ockadmin ockadmin sparkadmin'

    目前密文生成所在目录分为ock安装用户与提交spark任务用户。 ock用户：“$OCK_HOME/security/tls/”目录。 提交spark任务用户：“${HOME}/huawei/ock/security/tls”目录。

5. 单击“执行业务流”。
6. 检查是否执行成功。
7. 执行完成后生成安全所需要的文件。

  - agent_node_list中的节点存在server目录“${OCK_HOME}/security/tls/server”，目录下包含如下文件。| 文件 | 说明 |
| --- | --- |
| server.cert.pem | 节点证书文件 |
| server.private.key.pem | 节点私钥 |
| ca.cert.pem | CA证书文件 |
| server.keypass.key | 节点私钥口令 |


    server

    ├── ca.cert.pem

    ├── server.cert.pem

    ├── server.keypass.key

    └── server.private.key.pem

  - CA_node_list中的节点存在CACerts目录“${OCK_HOME}/security/tls/CACerts”，目录结构如下所示。
    CACerts/

    ├── certs

    │ ├── *.*.*.*.server.cert.pem

    │ ├── *.*.*.*.server.cert.pem

    │ ├── *.*.*.*.server.cert.pem

    │ └── ca.cert.pem

    ├── crl

    ├── csr

    ├── index.txt

    ├── index.txt.attr

    ├── index.txt.attr.old

    ├── index.txt.old

    ├── newcerts

    │ ├── 01.pem

    │ ├── 02.pem

    │ ├── 03.pem

    ├── openssl.cnf

    ├── private

    │ └── ca.private.key.pem

    ├── public

    │ └── ca.public.key.pem

    ├── serial

    ├── serial.old

    └── server.keypass.key

- “CACerts/certs”目录下包含上述所有节点证书文件和CA证书文件，上图中表示agent_node_list中有三个节点，对应生成三个证书。
- 若agent_node_list有n个节点，“CACerts/certs”下将生成n个server.cert.pem后缀文件和1个ca.cert.pem文件。
- 出于安全目的，安装部署完成后建议禁止root用户或运维用户远程登录（请参见  SSH加固(https://www.hikunpeng.com/document/detail/zh/kunpengboostkithistory/2300/bds/kunpengbds_omniruntime_20_0098.html)
），后续操作请在ockadmin用户下进行操作。