Powerflex 4.x: Jak podepsat a nahrát řetězec certifikátů SSL do nástroje PowerFlex Manager

Certifikát SSL zařízení je výchozím certifikátem pro uživatelské rozhraní nástroje PowerFlex Manager. lze jej však nahradit certifikátem podepsaným externí certifikační autoritou (CA).

Krok 1.
Přejděte do Nastavení>> SSL certifikáty bezpečnostního zařízení> Vygenerovat požadavek na podpis.
Tím se vygeneruje řetězec CSR, který je nutné přidat do vlastního certifikátu.
Požadavek CSR lze vygenerovat a nahrát pouze jednou. Jinými slovy, po vygenerování CSR jej můžete nahrát pouze jednou (Generate>Sign>Upload pokaždé).

2. krok:

Soubor, který obsahuje požadavek CSR stažený v kroku 1, je nutné nahrát do pole SSL Certificate v části Settings >> Security Appliance SSL Certificates> Upload SSL Certificate. Pokud existuje pouze jeden certifikát certifikační autority, nahrajte jej pomocí možnosti Certifikát důvěryhodné certifikační autority . Pokud existuje řetězec certifikátů, NEPOKOUŠEJTE se nahrát soubor se všemi certifikáty nebo je nahrávat jeden po druhém, protože takové pole přijímá pouze jeden certifikát. Nahrajte zprostředkující certifikát, který podepsal certifikát PowerFlex Manager.

3. krok: (Pokud máte řetěz certifikátů, které je nutné nahrát.)

 Zbytek certifikátů v řetězci nahráli jeden po druhém v Nastavení> Zabezpečení> SSL Důvěryhodné certifikáty> Přidat

Chcete-li ověřit, že se soubor CSR správně nahrál, spusťte tento příkaz. V případě, že se tls.key a tls.crt má stejnou velikost bajtů, CSR se nahrálo správně.

 V případě, že se tls.key a tls.crt má jinou velikost bajtů než dříve použitý soubor CSR, je nutné vygenerovat nový soubor CSR, aby bylo možné certifikát znovu podepsat a nahrát:

kubectl describe secret -n powerflex default-ingress-tls

Po nahrání všech certifikátů je najdete v klíčovém modulu v úložišti důvěryhodnosti. Certifikáty je možné zkontrolovat spuštěním následujících příkazů z jednoho z MVM.

kubectl exec -n powerflex keycloak-0 --keytoll -list -keystore /opt/keycloak/certs/trustore..jks -storepass $(kubectl -n powerflex get secret keycloak-store-credential -o jsonpath='{.data.storepass}' |  base64 --decode ; echo)

kubectl exec -n powerflex keycloak-0 --keytoll -list -keystore /opt/keycloak/certs/trustore..jks -storepass $(kubectl -n powerflex get secret keycloak-store-credential -o jsonpath='{.data.storepass}' |  base64 --decode ; echo) -v