PowerScale OneFS: Udskift eller forny SSL-certifikatet for Isilon-webadministrationen

Indledning

Denne artikel beskriver, hvordan du udskifter eller fornyer SSL-certifikatet (Secure Sockets Layer) til Isilon-webadministrationsgrænsefladen. Følgende procedurer omfatter muligheder for at fuldføre en selvsigneret certifikaterstatning eller fornyelse eller for at anmode om en SSL-erstatning eller fornyelse fra et nøglecenter.

Nødvendige værktøjer eller færdigheder

For at fuldføre denne opgave skal du have URL-adressen for at få adgang til Isilon-webadministrationsgrænsefladen. (Eksemplerne i denne artikel bruger https://isilon.example.com:8080/). Du skal også være komfortabel med at køre kommandoer fra kommandolinjen.

Forudsætninger.

Referenceoplysninger
Følgende lister indeholder standardplaceringerne for server.crt og server.key Filer: I de efterfølgende procedurer skal du opdatere trinnene, så de stemmer overens med disse oplysninger for den installerede OneFS-version.

Få listen over certifikater ved at køre denne kommando:

isi certificate server list 

Procedure

Opret en lokal arbejdsmappe:

mkdir /ifs/local
cd /ifs/local

Kontroller, om du vil forny et eksisterende certifikat, eller om du vil oprette et certifikat fra bunden.

• Forny et eksisterende selvsigneret certifikat:
  Dette opretter et fornyelsescertifikat, der er baseret på det eksisterende (lager) ssl.key. Kør følgende kommando for at oprette et toårigt certifikat. Forøg eller formindsk værdien for -dage for at generere et certifikat med en anden udløbsdato:

cp /usr/local/apache2/conf/ssl.key/server.key ./ ; openssl req -new -days 730 -nodes -x509 -key server.key -out server.crt

Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:Washington
Locality Name (eg, city) []:Seattle
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Isilon
Organizational Unit Name (eg, section) []:Support
Common Name (e.g. server FQDN or YOUR name) []:isilon.example.com
Email Address []:support@example.com

• • (Valgfrit) Kontroller certifikatets integritet og attributter:

openssl x509 -text -noout -in server.crt

• Opret et certifikat og en nøgle:Denne procedure viser,
  hvordan du opretter en ny privat nøgle og SSL-certifikat. Kør følgende kommando for at oprette en RSA 2048-bit Privat nøgle:

openssl genrsa -out server.key 2048

openssl req -new -nodes -key server.key -out server.csr

Country Name (2 letter code) [AU]:
State or Province Name (full name) [Some-State]:
Locality Name (eg, city) []:
Organization Name (eg, company) [Internet Widgits Pty Ltd]:
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:
Email Address []:
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

• • (Valgfrit) Generer en CSR for en certifikatmyndighed, der indeholder emne-alternative-navne. Hvis der er behov for yderligere DNS, kan det tilføjes ved hjælp af et komma (,)

openssl req -new -nodes -key server.key -out server.csr -reqexts SAN -config <(cat /etc/ssl/openssl.cnf <(printf "[SAN]\nsubjectAltName=DNS:example.com"))

• Selvsigner SSL-certifikatet:
  For selv at underskrive certifikatet med nøglen skal du køre nedenstående kommando, som opretter et nyt selvsigneret certifikat, der er gyldigt i to år:

openssl x509 -req -days 730 -in server.csr -signkey server.key -out server.crt

openssl x509 -noout -modulus -in server.crt | openssl md5           
openssl rsa -noout -modulus -in server.key | openssl md5

• Få en CA til at underskrive certifikatet:
  Hvis en CA signerer certifikatet, skal du sikre dig, at det nye SSL-certifikat er i x509 og omfatter hele certifikattillidskæden.
  
  Det er almindeligt, at CA returnerer det nye SSL-certifikat, det mellemliggende certifikat og rodcertifikatet i separate filer.
  
  Hvis nøglecenteret har gjort dette, SKAL du oprette det PEM-formaterede certifikat manuelt.
  
  Rækkefølgen betyder noget, når du opretter det PEM-formaterede certifikat. Dit certifikat skal være øverst i filen efterfulgt af de mellemliggende certifikater, og rodcertifikatet skal være nederst.
  
  Her er et eksempel på, hvordan den PEM-formaterede fil ser ud:

-----BEGIN CERTIFICATE-----
<The contents of your new TLS certificate>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the intermediate certificate>
<Repeat as necessary for every intermediate certificate provided by your CA>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the root certificate file>
-----END CERTIFICATE-----

cat CA_signed.crt intermediate.crt root.crt > onefs_pem_formatted.crt

Hvis en .cer filen modtages, omdøb den til en .crt Filtyper:

• (Valgfrit) Kontroller certifikatets integritet og attributter:

openssl x509 -text -noout -in server.crt

Føj certifikatet til klyngen:

1. Importer det nye certifikat og den nye nøgle til systemet:

isi certificate server import /ifs/local/server.crt /ifs/local/server.key

2. Kontroller, at certifikatet er importeret:

isi certificate server list -v

3. Angiv det importerede certifikat som standard:

isi certificate settings modify --default-https-certificate=<id_of_cert_to_set_as_default>

4. Brug nedenstående kommando til at bekræfte, at det importerede certifikat bruges som standard, ved at kontrollere status for "Default HTTPS Certificate":

isi certificate settings view

5. Hvis der er et ubrugt eller forældet certifikat, skal du slette det med denne kommando:

isi certificate server delete --id=<id_of_cert_to_delete>

6. Få vist det nye importerede certifikat med kommandoen:

isi certificate server view --id=<id_of_cert>

Kontrol

Der er to metoder til at verificere det opdaterede SSL-certifikat.

1. Åbn en webbrowser.

1. 1. Gå til: https://<common name>:8080Hvor <common name> er det værtsnavn, der bruges til at få adgang til Isilon-webadministrationsgrænsefladen. Eksempel: isilon.example.com
   2. Få vist sikkerhedsoplysningerne for websiden. Trinene til at gøre dette varierer fra browser til browser. I nogle browsere skal du klikke på hængelåsikonet i adresselinjen for at få vist sikkerhedsoplysningerne for websiden.
   3. I sikkerhedsoplysningerne for websiden skal du kontrollere, at emnelinjen og andre detaljer er korrekte. Der vises et output, der ligner det følgende, hvor <yourstate>, <yourcity>og... <your company> er staten, byen og navnet på din organisation:

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com

2. Fra en kommandolinje:

1. 1. Åbn en SSH-forbindelse på en hvilken som helst node i klyngen, og log på med root-kontoen. "root" Revisorer
   2. Kør følgende kommando:

echo QUIT | openssl s_client -connect localhost:8080

1. 3. Der vises et output, der ligner det følgende, hvor <yourstate>, <yourcity>og... <your company> er staten, byen og navnet på din organisation:

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com