doc/_includes/_multi_host_install_custom_certificates.liquid

   1 {% comment %}
   2 Copyright (C) The Arvados Authors. All rights reserved.
   3
   4 SPDX-License-Identifier: CC-BY-SA-3.0
   5 {% endcomment %}
   6
   7 You will need certificates for each DNS name and DNS wildcard previously listed in the "DNS hostnames for each service":#DNS .
   8
   9 To simplify certificate management, we recommend creating a single certificate for all of the hostnames, or creating a wildcard certificate that covers all possible hostnames (with the following patterns in subjectAltName):
  10
  11 <pre>
  12 xarv1.example.com
  13 *.xarv1.example.com
  14 *.collections.xarv1.example.com
  15 </pre>
  16
  17 (Replacing xarv1 with your own ${CLUSTER}.${DOMAIN})
  18
  19 Copy your certificates to the directory specified with the variable @CUSTOM_CERTS_DIR@ in the remote directory where you copied the @provision.sh@ script. The provision script will find the certificates there.
  20
  21 The script expects cert/key files with these basenames (matching the role except for <i>keepweb</i>, which is split in both <i>download / collections</i>):
  22
  23 # @controller@
  24 # @websocket@        -- note: corresponds to default domain @ws.${CLUSTER}.${DOMAIN}@
  25 # @keepproxy@        -- note: corresponds to default domain @keep.${CLUSTER}.${DOMAIN}@
  26 # @download@         -- Part of keepweb
  27 # @collections@      -- Part of keepweb, must be a wildcard for @*.collections.${CLUSTER}.${DOMAIN}@
  28 # @workbench@
  29 # @workbench2@
  30 # @webshell@
  31
  32 For example, for the @keepproxy@ service the script will expect to find this certificate:
  33
  34 <notextile>
  35 <pre><code>${CUSTOM_CERTS_DIR}/keepproxy.crt
  36 ${CUSTOM_CERTS_DIR}/keepproxy.key
  37 </code></pre>
  38 </notextile>
  39
  40 Make sure that all the FQDNs that you will use for the public-facing applications (API/controller, Workbench, Keepproxy/Keepweb) are reachable.
  41
  42 Note: because the installer currently looks for a different certificate file for each service, if you use a single certificate, we recommend creating a symlink for each certificate and key file to the primary certificate and key, e.g.
  43
  44 <notextile>
  45 <pre><code>ln -s xarv1.crt ${CUSTOM_CERTS_DIR}/controller.crt
  46 ln -s xarv1.key ${CUSTOM_CERTS_DIR}/controller.key
  47 ln -s xarv1.crt ${CUSTOM_CERTS_DIR}/keepproxy.crt
  48 ln -s xarv1.key ${CUSTOM_CERTS_DIR}/keepproxy.key
  49 ...
  50 </code></pre>
  51 </notextile>