Поддомены Jupyterhub и несколько сертификатов ssl

Question

Я настраиваю многопользовательский сервер JupyterHub. Я реализовал механизм субдомена, рекомендованный в документации JupyterHub. Пользователь вводит URL-адрес для входа в сервер в своем веб-браузере, например, https://notebook.example.com, а при входе в систему JupyterHub создает для них субдомен, например https://username.notebook.example.com.

У меня подстановочный DNS работает нормально. Проблема в том, что для этой установки требуется несколько сертификатов SSL. Мой центр сертификации был достаточно любезен, чтобы предоставить мне сертификаты как для notebook.example.com, так и для подстановочного сертификата * .notebook.example.com. Если у меня есть такая конфигурация для сертификата notebook.example.com:

c.JupyterHub.ssl_cert = '/etc/pki/tls/certs/notebook.example.com.cer' 

тогда браузер пользователя будет принимать сертификат для входа в URL, но даст сообщение неопознанный сертификат, когда пользователь перенаправляется на подобласти пользователя URL. Если я использую другой сертификат, например.

c.JupyterHub.ssl_cert = '/etc/pki/tls/certs/wildcard.notebook.example.com.cer' 

тогда браузер пользователя будет жаловаться, что «notebook.example.com» не соответствует * .notebook.example.com в сертификате, но принимает сертификат, если пользователь перенаправляется на их подобласти.

Очевидно, что я могу сказать пользователям согласиться на исключение сертификата в одном случае или в другом случае, но это может вызвать проблемы с долгосрочной поддержкой (я должен указать им, как принимать нераспознанный сертификат для всех браузеров; они могут привыкнуть слепо принимать сертификаты).

Есть ли способ настроить JupyterHub для использования одного сертификата для первоначального входа и другого для поддоменов?

Answer 1

Я думаю, что нашел решение самостоятельно. Я отправил запрос CSR в мой авторитет на сертификат нескольких доменов, в который включены как notebook.example.com, так и * .notebook.example.com. Я следил за указаниями здесь, чтобы создать CSR: http://apetec.com/support/generatesan-csr.htm

К моему удивлению, они приняли запрос на сертификат с несколькими доменами с именем подстановочного узла. Я все еще тестирую, но похоже, что он работает как с URL-адресом входа, так и с адресом субдомена Jupyterhub без проблем.