PowerFlex 4.x: Anleitung zum Signieren und Hochladen einer Kette von SSL-Zertifikaten in PowerFlex Manager

Das Appliance-SSL-Zertifikat ist das Standardzertifikat für die PowerFlex Manager-Benutzeroberfläche. Es kann jedoch durch ein Zertifikat ersetzt werden, das von einer externen Zertifizierungsstelle (CA) signiert wurde.

Schritt 1.
Navigieren Sie zu Einstellungen> Sicherheit Appliance> SSL-Zertifikate> Signierungsanforderung erstellen.
Dadurch wird die CSR-Zeichenfolge erzeugt, die einem nutzerdefinierten Zertifikat hinzugefügt werden muss.
Die CSR kann nur einmal erzeugt und hochgeladen werden. Mit anderen Worten: Nachdem die CSR generiert wurde, können Sie sie nur einmal hochladen (Generate>Sign>Upload every time).

Schritt 2:

Die Datei, die die in Schritt 1 heruntergeladene CSR enthält, muss in das Feld SSL Certificate unter Settings > Security > Appliance SSL Certificates > Upload SSL Certificate hochgeladen werden. Wenn nur ein CA-Zertifikat vorhanden ist, laden Sie es mithilfe der Option Trusted CA Certificate hoch, um das Zertifikat hochzuladen. Wenn eine Kette von Zertifikaten vorhanden ist, versuchen Sie NICHT, eine Datei mit allen Zertifikaten oder einzeln hochzuladen, da ein solches Feld nur ein Zertifikat akzeptiert. Laden Sie das Zwischenzertifikat hoch, mit dem das PowerFlex Manager-Zertifikat signiert wurde.

Schritt 3: (Wenn Sie über eine Kette von Zertifikaten verfügen, die hochgeladen werden müssen.)

 Die restlichen Zertifikate in der Kette wurden nacheinander unter Einstellungen> Sicherheit> SSL Vertrauenswürdige Zertifikate> Hinzufügen hochgeladen.

Führen Sie diesen Befehl aus, um zu bestätigen, dass die CSR-Datei korrekt hochgeladen wurde. Wenn die tls.key und die tls.crt die gleiche Bytegröße hat, wurde die CSR korrekt hochgeladen.

 Wenn die tls.key und die tls.crt eine andere Bytegröße als die zuvor verwendete CSR-Datei aufweist, muss eine neue CSR-Datei erzeugt werden, um das Zertifikat erneut zu signieren und hochzuladen:

kubectl describe secret -n powerflex default-ingress-tls

Sobald alle Zertifikate hochgeladen wurden, finden Sie sie im Keycloack-Pod im Truststore. Die Zertifikate können überprüft werden, indem Sie die folgenden Befehle von einem der MVMs ausführen.

kubectl exec -n powerflex keycloak-0 --keytoll -list -keystore /opt/keycloak/certs/trustore..jks -storepass $(kubectl -n powerflex get secret keycloak-store-credential -o jsonpath='{.data.storepass}' |  base64 --decode ; echo)

kubectl exec -n powerflex keycloak-0 --keytoll -list -keystore /opt/keycloak/certs/trustore..jks -storepass $(kubectl -n powerflex get secret keycloak-store-credential -o jsonpath='{.data.storepass}' |  base64 --decode ; echo) -v