### 預簽名證書 因為存在安全隱患，如果你能輔助簽名過程，最好避免使用自動簽名。 在一般情況下，如果你想自動加入大量的客戶端，最好在 Puppetmaster 上預先生成證書，然后將其作為構建過程的一部分推送給客戶端。 你可以使用 puppet cert --generate <hostname> 命令生成預簽名證書（pre-signed certificate）。 #### 操作步驟 1. 使用如下命令為 client1.example.com 生成預簽名證書： ``` puppet cert --generate client1.example.com ``` Puppet 現在將為客戶端 client1.example.com 生成并簽署客戶端證書。 2. 傳輸三個所需的文件到新的客戶端：包括客戶端私鑰、客戶端證書和 CA 證書。 這三個文件位于： ``` /etc/puppet/ssl/private_keys/client1.example.com.pem /etc/puppet/ssl/certs/client1.example.com.pem /etc/puppet/ssl/certs/ca.pem ``` 復制上述三個文件到客戶端相應的目錄下，Puppet 會自動進行身份驗證從而省略證書請求這一步驟。 值得注意的是 Puppet 的 SSL 證書的位置依賴于 puppet.conf 中的 ssldir 設置。 #### 參見本書 * 本章的 [使用自動簽名](#ch01sec06) 一節