PowerFlex 4.x: Come firmare e caricare una catena di certificati SSL in PowerFlex Manager

Il certificato SSL dell'appliance è il certificato predefinito per l'interfaccia utente di PowerFlex Manager. tuttavia, può essere sostituito con un certificato firmato da un'autorità di certificazione (CA) esterna.

Passaggio 1.
Andare a Settings> Security> Appliance SSL Certificates> Generate Signing Request.
In questo modo viene generata la stringa CSR che deve essere aggiunta a un certificato personalizzato.
La CSR può essere generata e caricata solo una volta. In altre parole, dopo che la CSR è stata generata, è possibile caricarla solo una volta (Generate>Sign>Upload every single time).

Passaggio 2.

Il file contenente la CSR scaricata nel passaggio 1 deve essere caricato nel campo SSL Certificate in Settings > Security > Appliance SSL Certificates> Upload SSL Certificate. Se è presente un solo certificato CA, caricarlo utilizzando l'opzione Trusted CA Certificate per caricare il certificato. Se è presente una catena di certificati, NON tentare di caricare un file con tutti questi certificati o caricarli uno alla volta, poiché tale campo accetta un solo certificato. Caricare il certificato intermedio che ha firmato il certificato di PowerFlex Manager.

Passaggio 3. (se si dispone di una catena di certificati che devono essere caricati).

 Caricato il resto dei certificati nella catena uno per uno in Impostazioni> Sicurezza> SSL Certificati attendibili Aggiungi>

Per verificare che il file CSR sia stato caricato correttamente, eseguire questo comando. Se tls.key e il tls.crt ha la stessa dimensione in byte, la CSR è stata caricata correttamente.

 Se tls.key e il tls.crt ha una dimensione di byte diversa da quella del file CSR utilizzato in precedenza, è necessario generare un nuovo file CSR per firmare e caricare nuovamente il certificato:

kubectl describe secret -n powerflex default-ingress-tls

Una volta caricati tutti i certificati, è possibile trovarli nel pod Keycloack nel truststore. I certificati possono essere esaminati eseguendo i seguenti comandi da uno degli MVM.

kubectl exec -n powerflex keycloak-0 --keytoll -list -keystore /opt/keycloak/certs/trustore..jks -storepass $(kubectl -n powerflex get secret keycloak-store-credential -o jsonpath='{.data.storepass}' |  base64 --decode ; echo)

kubectl exec -n powerflex keycloak-0 --keytoll -list -keystore /opt/keycloak/certs/trustore..jks -storepass $(kubectl -n powerflex get secret keycloak-store-credential -o jsonpath='{.data.storepass}' |  base64 --decode ; echo) -v