Unix Puppet主客户端证书是否过期？

在傀儡代理的初始配置期间，代理获得一个由主机认可的机构（通常是主机本身）签署的安全证书，随后将使用该证书向主机标识自己。此证书是否过期或需要更新？

是的，由傀儡CA签署的所有证书都有一个过期日期，包括代理证书、主证书和CA自己的自签名证书（如果事实上正在使用）。通过将固定偏移量（由配置设置

ca_ttl

指定）添加到证书签名的日期和时间来设置到期时间戳。默认的ttl为五年，这足以覆盖许多组织中所有机器的全部使用寿命

---

比代理证书过期更麻烦的是CA证书过期。如果在未配置新CA证书的情况下让这种情况发生，则主机和节点将在此后拒绝彼此的证书，迫使您手动为所有证书配置新证书。

CA证书持续多长时间？或者它也是5年？傀儡CA对所有证书（包括自己的证书）以相同的方式计算证书到期日。因此，是的，在默认设置下，CA的自签名CA证书有效期为5年。