Dell Unity: Unity에서 보안 CA CSR(Certificate Signing Request)을 생성하는 방법(사용자 수정 가능)

Unity에서 Unity CSR CA 인증서 서명 요청을 생성합니다.

Unity 5.5

1. 사용자 서비스로 Unity에 SSH를 연결합니다.

2. CA CSR(Certificate Signing Request) 구성 파일을 생성합니다.

vi 유니티 cert.cnf
두 #=== 사이에 있는 아래 작업 예제의 텍스트를 복사하여 unity-cert.cnf 파일에 붙여넣습니다.
Unity의 C, ST, L, OU, CN 및 emailAddress 요구 사항에 맞게 distinguished_name "dn" 세부 정보를 편집합니다.
Unity의 FQDN(Full Qualified Domain Name), 호스트 이름 및 IP 주소 요구 사항에 맞게 subjectAltName "alt_names" 세부 정보를 편집합니다.

DN(Distinguished Name) 세부 정보에 대한 정의 목록은 다음과 같습니다.
C=2 Letter Country Code
ST=State/Region
L=Location/City
O=Organization
OU=Organization Unit
CN=Common Name (Unity의 FQDN(Fully Qualified DNS Domain Name)
)emailAddress=Unity 및/또는 해당 인증서를 관리하는 그룹 또는 개인의 이메일 주소.

subjectAltName은 Unity를 탐색하는 데 사용할 수 있는 FQDN, 호스트 이름 및 IP 주소의 목록입니다.
DNS 항목이 하나뿐인 경우 DNS=DNS detail을 사용하여 DNS.1 및 DNS.2 항목을 제거하거나 주석으로 처리할 수 있습니다.
일부 사이트에서는 subjectAltName 섹션이 IP 주소를 지원하지 않도록 설정했습니다. 필요에 따라 IP 줄을 제거하거나 주석 처리합니다.

다음은 요구 사항에 맞게 편집해야 하는 unity-cert.cnf 의 실제 예입니다.

#===
[req]
default_bits=2048
prompt=no
default_md=sha256
distinguished_name=dn
req_extensions=v3_req # The extensions to add to a certificate request

[dn]
C=US
ST=Massachusetts
L=Hopkinton
O=Dell Technologies
OU=3CLAB
CN=unityf12.3clab.hop.ma.dell.com
emailAddress=3clabadmin@3clab.hop.ma.dell.com

[v3_req]
basicConstraints=critical,CA:FALSE
keyUsage=critical,nonRepudiation,digitalSignature,keyEncipherment,keyAgreement
extendedKeyUsage=serverAuth,clientAuth
subjectAltName=@alt_names

[alt_names]
DNS.1=unityf12.3clab.hop.ma.dell.com
DNS.2=unityf12
IP.1=10.20.30.40
#===

unity-cert.cnf 파일을 저장합니다. 

3. 비밀번호 문구로 보호되지 않는 CSR .csr(Certificate Signing Request) 및 개인 키(.pk)를 생성합니다. Unity는 암호문구로 보호되지 않는 개인 키만 허용합니다.

   openssl req -newkey rsa:2048 -nodes -keyout unity-cert.pk -config unity-cert.cnf -out unity-cert.csr

   CSR의 distinguished_name 및 subjectAltName 세부 정보가 Unity 요구 사항을 충족하는지 확인하고 확인합니다.

   openssl req -verify -noout -text -in unity-cert.csr

4. unity-cert.csr 파일을 서명할 CA 인증서 서명 서버로 보냅니다.
    scp 또는 WinSCP(scp 프로토콜 사용)를 사용하여 unity-cert.csr 파일을 전송합니다.
    팀은 CA의 인증서로 CSR에 서명하고 Unity용 CA 서명 인증서를 생성합니다.
     반환된 인증서가 (.cer)로 도착하는 경우 "DER" 형식일 수 있으며 확장자(.crt)가 있는 "PEM" 형식이어야 합니다.

5. 새로 생성된 CA 서명 인증서를 확인합니다.

   openssl x509 -noout -text -in unity-cert.crt

   새로 만든 인증서를 볼 수 없는 경우 다음 명령을 사용하여 인증서를 "DER" 형식(.cer 확장명)에서 "PEM" 형식(.crt 확장자)으로 변환합니다.

   openssl x509 -inform der -in unity-cert.cer -outform pem -out unity-cert.crt

6. 새로 생성된 CA 서명 인증서를 확인합니다.

   openssl x509 -noout -text -in unity-cert.crt

   CA 서명 인증서의 출력이 올바른지 확인한 후 다음 단계를 진행합니다.

7. Unity에서 CA 서명 인증서와 Unity의 개인 키를 가져옵니다.
   

         a. CA 서명 인증서와 (.crt) 확장자를 사용합니다.
         b. (.pk) 확장자를 사용합니다. 
 

   svc_custom_cert unity-cert

        오류 메시지가 표시되고 Unity에서 OE 5.5
를 실행하는 경우 "ERROR: Could not determine private key strength" 오류 메시지로 인해 실패합니다.
CA 서명 인증서를 가져오기 전에 선임 기술 지원 담당자에게 svc_custom_cert에 내부 업데이트를 적용하도록 요청하십시오.

   Unity의 관리 서비스가 재시작되고 새 인증서가 로드됩니다. 완료하는 데 2-5분 정도 걸립니다.
      
   

8. 새 인증서를 가져오면 웹 탐색을 열고 Unity에 연결합니다.
    필요에 따라 원하는 URL을 선택하여 인증서가 안전한지 확인합니다.

   https://FQDN/
   https://hostname/
   https://Unity_IP_Address/
   https://[Unity_IPv6_Address]/

   
참고: 내 임시 Unity의 예 :
FQDN은 unityf12.3clab.hop.ma.dell.com
이고 호스트 이름은 unityf12입니다 (내 워크 스테이션의 도메인 검색이 3clab.hop.ma.dell.com 포함되어 있는지 확인해야했습니다).
IP 주소는 10.20.30.40
입니다. 지정된 IPv6 주소가 없습니다.

예를 들어 Unity를 탐색하려면 다음을 사용할 수 있습니다.

   https://unityf12.3clab.hop.ma.dell.com/
   https://unityf12/ (Ensure your workstation's domain search includes Unity's Domain) 
   https://10.20.30.40/
   https://[Unity_IPv6_Address]/ (Note, My Unity does not have IPv6 address to test.)

위 절차를 사용하기 위해 서비스 셸을 스크립팅하거나 활성화하지 않아도 됩니다.

개인 키의 "모듈러스"(. PK), 인증서 서명 요청(. CSR) 및 CA 서명 인증서(. CRT)가 모두 일치합니다.

openssl rsa  -noout -modulus -in unity-cert.pk  | sha256sum
openssl req  -noout -modulus -in unity-cert.csr | sha256sum
openssl x509 -noout -modulus -in unity-cert.crt | sha256sum