PowerScale OneFS: Výměna nebo obnovení certifikátu SSL pro webovou správu Isilon

Úvod

Tento článek vysvětluje, jak nahradit nebo obnovit certifikát SSL (Secure Sockets Layer) pro webové rozhraní správy systému Isilon. Následující postupy zahrnují možnosti dokončení výměny nebo obnovení certifikátu podepsaného držitelem nebo vyžádání výměny či obnovení certifikátu SSL od certifikační autority (CA).

Požadované nástroje nebo dovednosti

K dokončení tohoto úkolu potřebujete zadat adresu URL pro přístup k webovému rozhraní správy Isilon. (Příklady v tomto článku používají https://isilon.example.com:8080/.) Měli byste také umět spouštět příkazy z příkazového řádku.

Požadavky

Referenční informace
V následujících seznamech jsou uvedena výchozí umístění server.crt a server.key soubory. V následujících postupech aktualizujte kroky, aby tyto údaje odpovídaly nainstalované verzi systému OneFS.

Pomocí následujícího příkazu získáte seznam certifikátů:

isi certificate server list 

Postup

Vytvořte místní pracovní adresář.

mkdir /ifs/local
cd /ifs/local

Ověřte, zda chcete obnovit stávající certifikát nebo vytvořit certifikát od začátku.

• Obnovení stávajícího certifikátu podepsaného držitelem

cp /usr/local/apache2/conf/ssl.key/server.key ./ ; openssl req -new -days 730 -nodes -x509 -key server.key -out server.crt

Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:Washington
Locality Name (eg, city) []:Seattle
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Isilon
Organizational Unit Name (eg, section) []:Support
Common Name (e.g. server FQDN or YOUR name) []:isilon.example.com
Email Address []:support@example.com

• (Volitelné) Ověřte integritu a atributy certifikátu:

openssl x509 -text -noout -in server.crt

• Vytvoření certifikátu a klíče

openssl genrsa -out server.key 2048

openssl req -new -nodes -key server.key -out server.csr

Country Name (2 letter code) [AU]:
State or Province Name (full name) [Some-State]:
Locality Name (eg, city) []:
Organization Name (eg, company) [Internet Widgits Pty Ltd]:
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:
Email Address []:
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

• (Volitelné) Vygenerujte certifikát CSR pro certifikační autoritu, který obsahuje alternativní názvy subjektů. Pokud je potřeba další DNS, lze jej přidat pomocí čárky (,)

openssl req -new -nodes -key server.key -out server.csr -reqexts SAN -config <(cat /etc/ssl/openssl.cnf <(printf "[SAN]\nsubjectAltName=DNS:example.com"))

• Podepsání certifikátu SSL držitelem

openssl x509 -req -days 730 -in server.csr -signkey server.key -out server.crt

openssl x509 -noout -modulus -in server.crt | openssl md5           
openssl rsa -noout -modulus -in server.key | openssl md5

• Podepsání certifikátu certifikační autoritou

-----BEGIN CERTIFICATE-----
<The contents of your new TLS certificate>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the intermediate certificate>
<Repeat as necessary for every intermediate certificate provided by your CA>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the root certificate file>
-----END CERTIFICATE-----

cat CA_signed.crt intermediate.crt root.crt > onefs_pem_formatted.crt

• (Volitelné) Ověřte integritu a atributy certifikátu:

openssl x509 -text -noout -in server.crt

Přidejte certifikát do clusteru:

1. Importujte nový certifikát a klíč do systému:

isi certificate server import /ifs/local/server.crt /ifs/local/server.key

2. Ověřte, zda byl certifikát úspěšně importován:

isi certificate server list -v

3. Nastavte importovaný certifikát jako výchozí:

isi certificate settings modify --default-https-certificate=<id_of_cert_to_set_as_default>

4. Pomocí níže uvedeného příkazu ověřte, zda je importovaný certifikát používán jako výchozí. Zobrazí se stav „Default HTTPS Certificate“:

isi certificate settings view

5. Pokud existuje nepoužívaný nebo zastaralý certifikát, odstraňte jej pomocí příkazu:

isi certificate server delete --id=<id_of_cert_to_delete>

6. Zobrazte nový importovaný certifikát pomocí příkazu:

isi certificate server view --id=<id_of_cert>

Ověření

Aktualizovaný certifikát SSL lze ověřit dvěma způsoby.

• Z webového prohlížeče:

1. Přejděte na https://<common name>:8080, kde <běžný název> je název hostitele, který se používá pro přístup k webovému rozhraní správy Isilon. Například isilon.example.com
2. Prohlédněte si podrobnosti o zabezpečení webové stránky. Postup se liší podle prohlížeče. V některých prohlížečích můžete kliknutím na ikonu visacího zámku v adresním řádku zobrazit podrobnosti o zabezpečení webové stránky.
3. V podrobnostech o zabezpečení webové stránky ověřte, zda jsou předmět a další podrobnosti správné. Zobrazí se výstup podobný následujícímu, kde <yourstate>, <yourcity> a <vaše společnost> představují stát, město a název vaší organizace:

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com

• Z příkazového řádku:

1. Navažte připojení SSH s libovolným uzlem v clusteru a přihlaste se pomocí účtu „root“.
2. Zadejte následující příkaz:

echo QUIT | openssl s_client -connect localhost:8080

3. Zobrazí se výstup podobný následujícímu, kde <yourstate>, <yourcity> a <vaše společnost> jsou stát, město a název vaší organizace:

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com