PowerFlex: come utilizzare OpenSSL per generare una CSR e aggiungere il certificato SSL

1. SSH sull'appliance PowerFlex Manager e sudo su root:

   sudo su -

2. Passare alla directory root:

   cd /root/

3. Creare una directory denominata newcerts:

   mkdir newcerts

4. Passare alla nuova directory creata:

   cd newcerts

5. Creare un file CNF:

   vi cert.cnf

   1. Questo file contiene i campi necessari per il certificato, come i campi dei nomi distinti e le voci dei nomi alternativi (SAN). Questo file può essere denominato in qualsiasi modo, ma l'estensione del file deve essere .cnf. Copia nel file tutte le informazioni riportate di seguito. Gli unici campi che devono essere modificati nel file sono quelli della sezione req_distinguished_name e quelli della sezione alt_names (modificare le sezioni in grassetto). Vedere l'esempio riportato di seguito:

[req]
distinguished_name = req_distinguished_name
req_extensions = req_ext
prompt = no

[req_distinguished_name]
C   = US
ST  = California
L   = Woodland
O   = PinballDivision
OU  = Developer
CN  = pfxm99.vxflex.local
emailAddress = support@pinball.org

[req_ext]
subjectAltName = @alt_names

[alt_names]  
IP.1 = 192.168.150.11
IP.2 = 10.10.10.14
IP.3 = 10.10.10.17
DNS.1 = devpfxm.vxflex.local
DNS.2 = pinballstore.vxflex.local

2. Se un cliente non può avere un indirizzo e-mail nella propria CSR, è possibile rimuovere la riga emailAddress dal file CNF.
3. La sezione alt_names di questo file riguarda le voci SAN (Subject Alternate Name).
4. I campi DNS nella sezione alt_names sono nomi FQDN alternativi per l'host PowerFlex Manager. Non inserire gli indirizzi IP del server DNS in questi campi. Se non si dispone di nomi alternativi, non è necessario includere la sezione alt_names nel file.
5. Una volta terminata la modifica del file, salvare le modifiche:

   <ESC> :wq!

6. Creare una nuova chiave server (nell'esempio in cui si utilizza il nome file cert.key, questa può essere denominata in qualsiasi modo, ma deve avere il. Estensione file chiave):

   openssl genrsa -out cert.key 2048

7. Generare una nuova CSR con la configurazione CNF:

   openssl req -new -key cert.key -out cert.csr -config cert.cnf

   1. Il file della chiave è il file creato nel passaggio 6.
   2. Il file .csr può essere denominato in qualsiasi modo, ma deve avere l'estensione .csr. Nell'esempio stiamo usando cert.csr.
   3. Il file .cnf è il file creato nel passaggio 5.
8. Verificare che la CSR sia stata generata correttamente:

   openssl req -text -in cert.csr -noout

9. È necessario copiare il file CSR dalla VM di PowerFlex Manager da inviare all'autorità di certificazione (CA) da firmare. Poiché i file sono stati creati come root, se si utilizza WinSCP è necessario spostare il file e apportare alcune modifiche alle autorizzazioni per copiarlo poiché l'utente delladmin non ha accesso alla directory /root. Per copiare il file sul computer locale, attenersi alla seguente procedura:
   1. Copiare il file CSR nella directory /home/delladmin:

cp /root/newcerts/cert.csr /home/delladmin/

2. Modificare le autorizzazioni in proprietà delladmin:

   chown delladmin:delladmin /home/delladmin/cert.csr

3. Utilizzare WinSCP per copiare il file dall'appliance PFxM utilizzando l'account delladmin per accedere.

10. Quando si firma il certificato: Assicurarsi che il formato di esportazione selezionato sia codificato in Base-64 X.509 (. CER).

11. Copiare il file CER nell'appliance PFxM utilizzando WinSCP o uno strumento simile nella directory /home/delladmin.
12. Spostare il file CER nella directory newcerts e modificare le autorizzazioni:

cp /home/delladmin/cert.cer /root/newcerts/
chown root:root /root/newcerts/cert.cer

13. Eseguire il backup dei certificati esistenti in caso di problemi:

    mkdir /root/origcerts
    cp /etc/pki/tls/certs/localhost.crt  /root/origcerts/
    cp /etc/pki/tls/private/localhost.key /root/origcerts/

14. Sostituire i file di certificato e chiave esistenti con quelli appena generati:

    cp /root/newcerts/cert.cer /etc/pki/tls/certs/localhost.crt
    cp /root/newcerts/cert.key /etc/pki/tls/private/localhost.key

15. Riavviare l'appliance PFxM e verificare che il certificato venga applicato una volta che la VM PowerFlex è tornata online accedendo all'interfaccia utente e verificando che il certificato venga visualizzato correttamente nel browser.