PowerScale OneFS: Výměna nebo obnovení certifikátu SSL pro webovou správu Isilon

Úvod

Tento článek vysvětluje, jak nahradit nebo obnovit certifikát SSL (Secure Sockets Layer) pro webové rozhraní správy systému Isilon. Následující postupy zahrnují možnosti dokončení výměny nebo obnovení certifikátu podepsaného držitelem nebo vyžádání výměny či obnovení certifikátu SSL od certifikační autority (CA).

Požadované nástroje nebo dovednosti

K dokončení této úlohy musíte mít adresu URL pro přístup k webovému rozhraní správy systému Isilon. (Příklady v tomto článku používají adresu https://isilon.example.com:8080/.) https://isilon.example.com:8080/.) Měli byste také umět spouštět příkazy z příkazového řádku.

Požadavky

Referenční informace
V následujících seznamech jsou uvedena výchozí umístění server.crt a server.key nezahrnujte mezery. V následujících postupech aktualizujte kroky, aby tyto údaje odpovídaly nainstalované verzi systému OneFS.

Pomocí následujícího příkazu získáte seznam certifikátů:

isi certificate server list 

Postup

Vytvořte místní pracovní adresář.

mkdir /ifs/local
cd /ifs/local

Ověřte, zda chcete obnovit stávající certifikát nebo zda chcete vytvořit certifikát zcela od začátku.

• Obnovení existujícího certifikátu podepsaného držitelem:
  Tímto se vytvoří obnovený certifikát, který je založen na stávajícím (skladovém) ssl.key. Spuštěním následujícího příkazu vytvořte certifikát s platností 2 roky. Zvýšením nebo snížením hodnoty -days vygenerujete certifikátu s jiným datem vypršení platnosti:

cp /usr/local/apache2/conf/ssl.key/server.key ./ ; openssl req -new -days 730 -nodes -x509 -key server.key -out server.crt

Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:Washington
Locality Name (eg, city) []:Seattle
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Isilon
Organizational Unit Name (eg, section) []:Support
Common Name (e.g. server FQDN or YOUR name) []:isilon.example.com
Email Address []:support@example.com

• • (Volitelné) Ověřte integritu a atributy certifikátu:

openssl x509 -text -noout -in server.crt

• Vytvořte certifikát a klíč:
  Tento postup ukazuje, jak vytvořit nový soukromý klíč a certifikát SSL. Spuštěním následujícího příkazu vytvořte balíček podpory: RSA 2048-bit Soukromý klíč:

openssl genrsa -out server.key 2048

openssl req -new -nodes -key server.key -out server.csr

Country Name (2 letter code) [AU]:
State or Province Name (full name) [Some-State]:
Locality Name (eg, city) []:
Organization Name (eg, company) [Internet Widgits Pty Ltd]:
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:
Email Address []:
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

• • (Volitelné) Vygenerujte certifikát CSR pro certifikační autoritu, který obsahuje alternativní názvy subjektů. Pokud potřebujete další server DNS, lze jej přidat pomocí čárky (například:

openssl req -new -nodes -key server.key -out server.csr -reqexts SAN -config <(cat /etc/ssl/openssl.cnf <(printf "[SAN]\nsubjectAltName=DNS:example.com"))

• Chcete-li certifikát podepsat sami pomocí klíče, spusťte následující příkaz, který vytvoří nový certifikát podepsaný držitelem s platností 2 roky:

openssl x509 -req -days 730 -in server.csr -signkey server.key -out server.crt

openssl x509 -noout -modulus -in server.crt | openssl md5           
openssl rsa -noout -modulus -in server.key | openssl md5

• Získání certifikační autority k podpisu certifikátu:
  Pokud certifikační autorita podepisuje certifikát, ujistěte se, že je nový certifikát SSL x509 a zahrnuje celý řetězec důvěryhodnosti certifikátů.
  
  Je běžné, že certifikační autorita vrací nový certifikát SSL, zprostředkující certifikát a kořenový certifikát v samostatných souborech.
  
  Pokud to certifikační autorita udělala, je NUTNÉ vytvořit certifikát ve formátu PEM ručně.
  
  Při vytváření certifikátu ve formátu PEM záleží na pořadí. Váš certifikát musí být v horní části souboru, následovaný zprostředkujícími certifikáty a kořenový certifikát musí být dole.
  
  Zde je příklad toho, jak vypadá soubor ve formátu PEM:

-----BEGIN CERTIFICATE-----
<The contents of your new TLS certificate>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the intermediate certificate>
<Repeat as necessary for every intermediate certificate provided by your CA>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the root certificate file>
-----END CERTIFICATE-----

cat CA_signed.crt intermediate.crt root.crt > onefs_pem_formatted.crt

Je-li .cer soubor, přejmenujte jej na a .crt Přípony:

• (Volitelné) Ověřte integritu a atributy certifikátu:

openssl x509 -text -noout -in server.crt

Přidání certifikátu do clusteru

1. Importujte nový certifikát a klíč do systému:

isi certificate server import /ifs/local/server.crt /ifs/local/server.key

2. Ověřte, zda byl certifikát úspěšně importován:

isi certificate server list -v

3. Nastavte importovaný certifikát jako výchozí:

isi certificate settings modify --default-https-certificate=<id_of_cert_to_set_as_default>

4. Pomocí níže uvedeného příkazu ověřte, zda je importovaný certifikát používán jako výchozí. Zobrazí se stav „Default HTTPS Certificate“: "Default HTTPS Certificate":

isi certificate settings view

5. Pokud existuje nepoužívaný nebo zastaralý certifikát, odstraňte ho pomocí příkazu:

isi certificate server delete --id=<id_of_cert_to_delete>

6. Zobrazte nový importovaný certifikát pomocí příkazu:

isi certificate server view --id=<id_of_cert>

Ověření

Aktualizovaný certifikát SSL lze ověřit dvěma způsoby.

1. Z webového prohlížeče

1. 1. Přejděte na: https://<common name>:8080kde <common name> je název hostitele, který se používá pro přístup k webovému rozhraní správy Isilon. Například isilon.example.com
   2. Prohlédněte si podrobnosti o zabezpečení webové stránky. Postup se liší podle prohlížeče. V některých prohlížečích můžete kliknutím na ikonu visacího zámku v adresním řádku zobrazit podrobnosti o zabezpečení webové stránky.
   3. V podrobnostech o zabezpečení webové stránky ověřte, zda jsou předmět a další podrobnosti správné. Zobrazí se výstup podobný následujícímu, kde <yourstate>, <yourcity>a <your company> jsou stát, město a název vaší organizace:

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com

2. Z příkazového řádku

1. 1. Navažte připojení SSH s libovolným uzlem v clusteru a přihlaste se pomocí účtu „root“. "root" Account:
   2. Zadejte následující příkaz:

echo QUIT | openssl s_client -connect localhost:8080

1. 3. Zobrazí se výstup podobný následujícímu, kde <yourstate>, <yourcity>a <your company> jsou stát, město a název vaší organizace:

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com