PowerScale OneFS: sostituzione o rinnovo del certificato SSL per Isilon Web Administration

Introduzione

Questo articolo spiega come sostituire o rinnovare il certificato SSL (Secure Sockets Layer) per l'interfaccia di amministrazione web di Isilon. Le seguenti procedure includono opzioni per completare la sostituzione o il rinnovo di un certificato autofirmato o per richiedere una sostituzione o un rinnovo di un certificato SSL a una CA.

Strumenti o competenze richiesti

Per completare questa attività, è necessario disporre dell'URL per accedere all'interfaccia di amministrazione web di Isilon. Gli esempi riportati in questo articolo utilizzano https://isilon.example.com:8080/. https://isilon.example.com:8080/). È inoltre opportuno essere in grado di eseguire i comandi dalla riga di comando.

Prerequisiti

Informazioni di
riferimentoGli elenchi seguenti includono le posizioni predefinite per server.crt e server.key Nelle procedure seguenti, aggiornare i passaggi in modo che corrispondano a queste informazioni per la versione di OneFS installata.

Ottenere l'elenco dei certificati eseguendo il comando riportato di seguito:

isi certificate server list 

Procedura

Creare una directory di lavoro locale.

mkdir /ifs/local
cd /ifs/local

Decidere se si desidera rinnovare un certificato esistente o crearne uno da zero.

• Rinnovo di un certificato autofirmato esistente:
  crea un certificato di rinnovo basato sul certificato esistente (stock) ssl.key. Eseguire il seguente comando per creare un certificato di due anni: Aumentare o diminuire il valore di -days per generare un certificato con una data di scadenza diversa:

cp /usr/local/apache2/conf/ssl.key/server.key ./ ; openssl req -new -days 730 -nodes -x509 -key server.key -out server.crt

Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:Washington
Locality Name (eg, city) []:Seattle
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Isilon
Organizational Unit Name (eg, section) []:Support
Common Name (e.g. server FQDN or YOUR name) []:isilon.example.com
Email Address []:support@example.com

• • (Opzionale) Verificare l'integrità e gli attributi del certificato:

openssl x509 -text -noout -in server.crt

• Creare un certificato e una chiave:
  questa procedura mostra come creare una nuova chiave privata e un nuovo certificato SSL. Eseguire il comando seguente per creare un checkpoint: RSA 2048-bit private key

openssl genrsa -out server.key 2048

openssl req -new -nodes -key server.key -out server.csr

Country Name (2 letter code) [AU]:
State or Province Name (full name) [Some-State]:
Locality Name (eg, city) []:
Organization Name (eg, company) [Internet Widgits Pty Ltd]:
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:
Email Address []:
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

• • (Opzionale) Generare una CSR per una CA che includa nomi di oggetto alternativi. Se è necessario un DNS aggiuntivo, può essere aggiunto utilizzando una virgola (ad esempio:

openssl req -new -nodes -key server.key -out server.csr -reqexts SAN -config <(cat /etc/ssl/openssl.cnf <(printf "[SAN]\nsubjectAltName=DNS:example.com"))

• Per firmare autonomamente il certificato con la chiave, eseguire il comando riportato di seguito che crea un nuovo certificato autofirmato valido per 2 anni:

openssl x509 -req -days 730 -in server.csr -signkey server.key -out server.crt

openssl x509 -noout -modulus -in server.crt | openssl md5           
openssl rsa -noout -modulus -in server.key | openssl md5

• Ottenere una CA per firmare il certificato:
  se una CA sta firmando il certificato, assicurarsi che il nuovo certificato SSL sia in x509 e include l'intera catena di attendibilità del certificato.
  
  È comune che la CA restituisca il nuovo certificato SSL, il certificato intermedio e il certificato root in file separati.
  
  Se la CA ha eseguito questa operazione, è NECESSARIO creare manualmente il certificato in formato PEM.
  
  L'ordine è importante quando si crea il certificato in formato PEM. Il certificato deve essere all'inizio del file, seguito dai certificati intermedi e il certificato radice deve essere alla fine.
  
  Di seguito è riportato un esempio dell'aspetto del file formattato PEM:

-----BEGIN CERTIFICATE-----
<The contents of your new TLS certificate>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the intermediate certificate>
<Repeat as necessary for every intermediate certificate provided by your CA>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the root certificate file>
-----END CERTIFICATE-----

cat CA_signed.crt intermediate.crt root.crt > onefs_pem_formatted.crt

Se un .cer ricevuto il file, rinominarlo in un .crt Estensioni:

• (Opzionale) Verificare l'integrità e gli attributi del certificato:

openssl x509 -text -noout -in server.crt

Aggiungere il certificato al cluster.

1. Importare il nuovo certificato e la nuova chiave nel sistema:

isi certificate server import /ifs/local/server.crt /ifs/local/server.key

2. Verificare che il certificato sia stato importato:

isi certificate server list -v

3. Impostare il certificato importato come predefinito:

isi certificate settings modify --default-https-certificate=<id_of_cert_to_set_as_default>

4. Utilizzare il comando riportato di seguito per verificare che il certificato importato venga utilizzato come predefinito verificando lo stato di "Default HTTPS Certificate": "Default HTTPS Certificate":

isi certificate settings view

5. Se è presente un certificato inutilizzato oppure obsoleto, eliminarlo con il comando:

isi certificate server delete --id=<id_of_cert_to_delete>

6. Visualizzare il nuovo certificato importato con il comando:

isi certificate server view --id=<id_of_cert>

Verifica

Esistono due metodi per verificare il certificato SSL aggiornato.

1. Da un web browser

1. 1. Accedere a: https://<common name>:8080Dove <common name> è il nome host utilizzato per accedere all'interfaccia di amministrazione web di Isilon. Per esempio: isilon.example.com
   2. Visualizzare i dettagli di sicurezza per la pagina web. La procedura per eseguire questa operazione varia in base al browser. In alcuni browser, cliccare sull'icona del lucchetto nella barra degli indirizzi per visualizzare i dettagli di sicurezza per la pagina web.
   3. Nei dettagli di sicurezza della pagina web, verificare che la riga dell'oggetto e altri dettagli siano corretti. Viene visualizzato un output simile al seguente: <yourstate>, <yourcity>E <your company> sono lo stato, la città e il nome dell'organizzazione:

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com

2. Da una riga di comando

1. 1. Aprire una connessione SSH a qualsiasi nodo nel cluster e accedere utilizzando l'account "root". "root" Accounts
   2. Eseguire questo comando:

echo QUIT | openssl s_client -connect localhost:8080

1. 3. Viene visualizzato un output simile al seguente: <yourstate>, <yourcity>E <your company> sono lo stato, la città e il nome dell'organizzazione:

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com