PowerFlex: como usar o OpenSSL para gerar uma CSR e adicionar o certificado SSL

1. SSH para o equipamento PowerFlex Manager e sudo para root:

   sudo su -

2. Mude para o diretório raiz:

   cd /root/

3. Crie um diretório chamado newcerts:

   mkdir newcerts

4. Mude para o novo diretório que você criou:

   cd newcerts

5. Crie um arquivo CNF:

   vi cert.cnf

   1. Esse arquivo contém os campos necessários para o certificado, como campos de nomes distintos e entradas de nomes alternativos (SAN). Esse arquivo pode ser nomeado como qualquer coisa, mas a extensão de arquivo deve ser .cnf. Copie todas as informações abaixo para o arquivo. Os únicos campos que devem ser editados no arquivo são os campos na seção req_distinguished_name e os campos na seção alt_names (editar seções em negrito). Veja o exemplo abaixo:

[req]
distinguished_name = req_distinguished_name
req_extensions = req_ext
prompt = no

[req_distinguished_name]
C   = US
ST  = California
L   = Woodland
O   = PinballDivision
OU  = Developer
CN  = pfxm99.vxflex.local
emailAddress = support@pinball.org

[req_ext]
subjectAltName = @alt_names

[alt_names]  
IP.1 = 192.168.150.11
IP.2 = 10.10.10.14
IP.3 = 10.10.10.17
DNS.1 = devpfxm.vxflex.local
DNS.2 = pinballstore.vxflex.local

2. Se um cliente não puder ter um endereço de e-mail na CSR, você poderá remover a linha emailAddress do arquivo CNF.
3. A seção alt_names deste arquivo é para as entradas SAN (Subject Alternate Name, nome alternativo do assunto).
4. Os campos DNS na seção alt_names são nomes FQDN alternativos para o host do PowerFlex Manager. Não coloque endereços IP do servidor DNS nesses campos. Se você não tiver nomes alternativos, não será necessário incluir a seção alt_names no arquivo.
5. Quando terminar de editar o arquivo, salve suas alterações:

   <ESC> :wq!

6. Crie uma nova chave de servidor (no exemplo em que estamos usando o nome do arquivo cert.key, ela pode ser nomeada como qualquer coisa, mas deve ter. Extensão de arquivo chave):

   openssl genrsa -out cert.key 2048

7. Gere uma nova CSR com a configuração de CNF:

   openssl req -new -key cert.key -out cert.csr -config cert.cnf

   1. O arquivo de chave é o arquivo criado na Etapa 6.
   2. O arquivo .csr pode ser nomeado como qualquer coisa, mas deve ter a extensão de arquivo .csr. No exemplo, estamos usando cert.csr.
   3. O arquivo .cnf é o arquivo criado na etapa 5.
8. Confirme se o CSR foi gerado corretamente:

   openssl req -text -in cert.csr -noout

9. Você deve copiar seu arquivo CSR da VM do PowerFlex Manager para enviar à autoridade de certificação (CA) para assinatura. Como os arquivos foram criados como root, se você estiver usando o WinSCP, deverá mover o arquivo e fazer algumas alterações de permissões para copiá-lo, pois o usuário delladmin não tem acesso ao diretório /root. Use estas etapas para copiar o arquivo para sua máquina local:
   1. Copie o arquivo CSR para o diretório /home/delladmin:

cp /root/newcerts/cert.csr /home/delladmin/

2. Altere as permissões para propriedade delladmin:

   chown delladmin:delladmin /home/delladmin/cert.csr

3. Use o WinSCP para copiar o arquivo do equipamento PFxM usando a conta delladmin para fazer login.

10. Ao assinar o certificado, certifique-se de que o formato de exportação selecionado seja X.509 codificado em Base-64 (. CER).

11. Copie seu arquivo CER no equipamento PFxM usando WinSCP ou ferramenta semelhante no diretório /home/delladmin.
12. Mova o arquivo CER para o diretório newcerts e altere as permissões:

cp /home/delladmin/cert.cer /root/newcerts/
chown root:root /root/newcerts/cert.cer

13. Faça backup dos certificados existentes em caso de problemas:

    mkdir /root/origcerts
    cp /etc/pki/tls/certs/localhost.crt  /root/origcerts/
    cp /etc/pki/tls/private/localhost.key /root/origcerts/

14. Substitua os arquivos de chave e certificado existentes pelos recém-gerados:

    cp /root/newcerts/cert.cer /etc/pki/tls/certs/localhost.crt
    cp /root/newcerts/cert.key /etc/pki/tls/private/localhost.key

15. Reinicialize o equipamento PFxM e verifique se o certificado foi aplicado assim que a VM do PowerFlex estiver on-line novamente. Para isso, faça log-in na interface do usuário e verifique se o certificado é exibido corretamente no navegador.