Esercitazione sui certificati del server web iDRAC

Questo video illustra i certificati del server web iDRAC.

Salve. Mi chiamo Ted. Sono Senior Engineer nel gruppo Systems Management di Dell Technologies. In questo video, esaminerò i certificati IRA specificamente per il server web. Questo è il white paper a nostra disposizione per la gestione dei certificati IRA. Vengono descritte tre modalità principali di gestione dei certificati per IRA e CMC.

Il primo tipo è il certificato autofirmato, che è il tipo di certificato predefinito con cui I Direct viene spedito dalla fabbrica. Il vantaggio consiste nel fatto che non è necessario mantenere un'autorità di certificazione e i certificati stessi vengono generati automaticamente dall'IRA.

Uno svantaggio potrebbe essere che il certificato per ogni Ira deve essere aggiunto all'archivio certificati attendibili in ogni stazione di gestione perché ogni Ira dispone di una propria autorità di certificazione che deve essere considerata attendibile per rigenerare il certificato di auto-scienza. Usare il comando rack item SSL reset CFG.

È disponibile un'opzione per il certificato SSL con firma personalizzata che sfrutta un certificato di firma creato dalla propria autorità di certificazione. È possibile esportare il certificato in formato P FX con la chiave privata da utilizzare su ogni Ira. Questo non è un uso comune. I vantaggi di un certificato di firma personalizzato sarebbero che devi solo fidarti di un'autorità di certificazione per tutte le tue tracce oculari.

È possibile che l'utilizzo dell'autorità di certificazione interna sia già considerato attendibile in tutte le stazioni di gestione. Anche i certificati vengono generati automaticamente dall'IRA. Lo svantaggio è che è necessario gestire la propria autorità di certificazione. Per questo flusso di lavoro. È necessario esportare l'autorità di certificazione radice con la chiave privata in formato P FX dal proprio Ira.

Accedere quindi ai servizi di impostazioni IRA, al server Web, al certificato di firma SSL personalizzato e importare la chiave privata per la CA nell'IRA, che verrà quindi utilizzata per firmare tutti i certificati generati dall'IRA. La terza opzione più comune consiste nell'utilizzare un'autorità di certificazione come certificato SSL firmato utilizzando una richiesta di firma integrata inviata all'autorità di certificazione per creare il certificato del server Web.

I vantaggi di questo sono che puoi utilizzare qualsiasi autorità di certificazione commerciale e devi solo avere un'autorità di certificazione affidabile per tutte le tue tracce oculari. Probabilmente, se si utilizza un C A commerciale, questo è già considerato affidabile dalle stazioni di gestione.

Lo svantaggio sarebbe quello di dover acquistare certificati commerciali o di mantenere la propria autorità di certificazione. Esaminiamo un paio di queste opzioni. Qui nell'IRA, possiamo visualizzare il certificato che stiamo attualmente utilizzando e vedere che è stato rilasciato all'IRA dall'IRA.

Possiamo vedere i dettagli del certificato che stiamo utilizzando nello shot 2 56 con 2048 bit per la nostra chiave pubblica per generare un certificato di firma personalizzato dall'Ira.

andando avanti e accedendo e procedendo all'impostazione appropriata qui sotto Servizi di impostazioni Ira. Abbiamo l'opzione del server web in cui possiamo creare una richiesta di firma qui nell'Ira fornendo il nome comune, il paese, la località, l'organizzazione, l'e-mail dello stato e qualsiasi nome alternativo del soggetto di cui abbiamo bisogno per il nostro certificato.

È importante notare che i browser più recenti richiedono il nome alternativo del soggetto o ti daranno comunque un avviso di certificato quando accedi al tuo Ira. Una volta inserite queste informazioni, verrà generato il CS R. Il file verrà scaricato sul tuo sistema, che potrai quindi trasferire alla tua autorità di certificazione e firmare per caricarlo di nuovo.

A questo punto, è possibile caricare un certificato personalizzato con il file P FX. È importante notare che funziona solo sul firmware Ira 4.40, 0.0, 0.0 o più recente. Di seguito è riportata l'opzione per caricare un certificato di firma personalizzato in cui si estrae la chiave privata dall'autorità di certificazione e la si fornisce all'Ira per firmare i propri certificati, consentendo così alla stazione di gestione di considerare attendibili tutti i certificati emessi dall'autorità di certificazione interna.

Ora, esaminerò questo processo usando rack atom prima dell'IRA 4.40 0.0 0.0. Firmware. È necessario separare la coppia di chiavi dal certificato direttamente qui. Come si può vedere, ho caricato il file P FX in questa posizione in cui sto usando Open SSL per dividerlo.

Per prima cosa, è necessario utilizzare l'opzione no search per estrarre la chiave da questo file. Gli fornirò la password per P FX e poi inserirò una nuova passphrase per la penna stessa. Ora che abbiamo estratto la chiave, dobbiamo metterla in un formato in modo che Ira possa accettarla. Dovrò anche fornire la nuova frase di passaggio della penna che ho appena usato.

Quando si estrae il file chiave da P FX. Questo comando estrae quindi il file penna, che è il certificato, direttamente dal CS PK. Devo anche fornire la password della chiave per questo. Ora che ho la mia chiave e i file della carta jolly Ira, posso caricarli direttamente sull'IRA utilizzando l'atomo del rack.

Ho impostato una finestra PowerShell qui in modo da non dover digitare nomi utente o password o l'indirizzo IP IRA e usarlo come tale. Per prima cosa, caricherò il certificato. Ora devo fornirgli la chiave privata. A questo punto è necessario reimpostare l'IRA in modo che il nuovo certificato possa avere effetto.

Questa operazione richiederà qualche istante una volta che l'IRA carica il nuovo certificato, possiamo confrontarlo con il certificato corrente che abbiamo installato ora che l'IRA è tornato attivo e possiamo vedere che è stato emesso dalla mia autorità di certificazione come certificato con caratteri jolly.

Per prima cosa, cancellerò nuovamente il certificato SSL. Poiché lo stiamo reimpostando, è importante reimpostare l'IRA in modo che il nuovo certificato possa avere effetto. Ora, torniamo al nostro certificato originale perché il sidetrack è specificamente la versione 4.40 0.0 0.0.

È inoltre possibile utilizzare questo comando per caricare direttamente il certificato senza separare la chiave e il certificato. Si tratta del tipo 16 ed è necessario anche per fornire la password per l'estrazione della chiave dalla penna. Come in altri casi, è necessario reimpostare la traccia oculare per rendere effettivo il nuovo certificato.

Ora che l'IRA è di nuovo attivo, possiamo vedere che il nostro certificato jolly è stato installato correttamente. Come nota, viene visualizzato l'avviso di sicurezza qui perché non sto utilizzando un FQDN. È punto punto locale. Se si utilizza l'FQDN dell'IRA con quel nome di dominio, non viene più visualizzata l'avvertenza del certificato.

Ho intenzione di reimpostare le impostazioni predefinite I direct in modo da poterti mostrare come generare un CS R usando rank atom. Ora che siamo tornati al certificato originale, proseguirò e mostrerò come è possibile creare un CS R personalizzato. Ecco i comandi che eseguirò per creare un CS R personalizzato con questo.

Aggiornerò questi campi, genererò un nuovo CS R, quindi lo caricherò nella mia CA per la firma. Ho creato questo piccolo script powershell per visualizzare i campi, compilarli e quindi visualizzarli di nuovo prima di generare la richiesta di firma. Ora che i valori sono completamente popolati.

Genererò un CS R per farlo firmare alla mia autorità di certificazione quando utilizzo il mio CS R per questo con la mia autorità di certificazione, richiedo un certificato e invio una richiesta con le informazioni codificate in base 64 che sono state fornite. Devo scegliere un certificato del server web e poi è importante scegliere base 64 codificata e scaricare l'intera catena di certificati.

Ora che il nuovo certificato è stato caricato, è necessario reimpostare anche l'IRA per rendere effettivo il nuovo certificato. Ora che il certificato è stato caricato, possiamo vedere che è stato firmato dalla mia autorità di certificazione e possiamo confermare i dettagli che stiamo utilizzando una chiave RS er S A a 40 a 96 bit nella pagina dei servizi di impostazione IRA sotto il nostro server web.

Scegliamo il certificato di firma personalizzato SSL TLS. Ora che il certificato di firma personalizzato è stato installato correttamente, è possibile reimpostare l'IRA per rendere effettivo il nuovo certificato, in cui l'IRA rigenererà un certificato autofirmato utilizzando le chiavi private appena caricate dalla CA.

Ora che la nostra IRA è di nuovo attiva. Possiamo vedere che è stato generato automaticamente ed è stato emesso dalla nostra autorità di certificazione perché ora utilizza il certificato di firma del certificato fornito. Se non si desidera più utilizzare il certificato di firma personalizzato, è possibile eliminare il certificato di firma da questa interfaccia qui.

Il processo del flusso di lavoro di questo certificato viene rimosso, verrà automaticamente rigenerato un nuovo certificato autofirmato e quindi verrà chiesto se si desidera reimpostare l'IRA per rendere effettivo il nuovo certificato. Ora che il nostro IRA è di nuovo attivo, possiamo controllare il nostro certificato e vedere che lo è di nuovo, tornare al certificato autoemesso.

Possiamo verificarlo anche con un comando per visualizzare il certificato SSL che conclude il mio video sui certificati IRA. Grazie per la visione. Vi auguro una buona giornata.