PowerEdge: Importera ett externt skapat anpassat certifikat och en privat nyckel till iDRAC

Bakgrund

Från och med iDRAC6 har det varit möjligt att skapa ett certifikat som utnyttjar PKI (Public Key Infrastructure) och importera certifikat till iDRAC. Det ger mer kontroll över processen för att skapa certifikat och möjliggör automatisering av dessa processer. Slutligen kan den här processen användas för att skapa och importera ett jokerteckencertifikat till iDRAC. Ur säkerhetssynpunkt är det inte bästa praxis att använda jokertecken. Den process som används för att skapa ett externt certifikat kan dock också användas för ett jokerteckencertifikat.
 

Innehållsförteckning

1. Skapa certifikat med OpenSSL
2. Skapande av privat nyckel och certifikatsignering
3. Ladda upp certifikat i iDRAC

För att kunna importera SSL-certifikatet behöver du en privat nyckel och ett signerat certifikat för den nyckeln. Certifikat kan tillhandahållas av tredje part eller genereras automatiskt. Här är ett rudimentärt exempel på processen för att skapa certifikat med OpenSSL i en Windows-miljö: 

 Privat OpenSSL-nyckel och certifikat för användning som certifikatutfärdare

Installationen måste fungera som en certifikatutfärdare. Detta gör det möjligt för oss att utfärda eller underteckna en certifikatbegäran. Här är dessa steg:

1. Skapa den privata nyckeln för certifikatutfärdaren:
   • Du måste ange ett lösenord för den privata nyckeln. Detta behövs senare, så kom ihåg detta.

 bin>openssl.exe genrsa -aes256 -out keys/ca.key 2048

1. Skapa CA-certifikatet med hjälp av den skapade nyckeln:
   • Du uppmanas att ange information om certifikatet. Dessa inkluderar nätverksnamn och platsdata. Det viktigaste fältet här är Common Name. Detta går till certifikatutfärdarens identitet och återspeglas i certifikatet. Vanligtvis måste detta matcha det namn som används för åtkomst till systemet (t.ex. DNS-värdnamn). Det här fältet är markerat i skärmbilden nedan.

bin>openssl.exe req -config openssl.conf -new -x509 -days 3650 -key keys/ca.key -out certs/ca.cer

Nu när en privat nyckel och ett certifikat är tillgängliga för användning för en certifikatutfärdare kan vi skapa en privat nyckel och CSR för iDRAC och sedan signera denna begäran med vårt certifikat som certifikatutfärdare.

 

Skapa den privata nyckeln, begäran om certifikatsignering och certifikat för iDRAC-webbtjänsterna

För iDRAC måste vi ha en nyckel och ett signerat certifikat att importera till webbtjänsterna. Vi kan använda OpenSSL för att uppnå dessa mål.

1. Först måste vi skapa en privat nyckel och en begäran om certifikatsignering (CSR) som vi sedan kan signera med hjälp av CA-certifikatet. Nyckeln och CSR kan skapas i samma steg:
   1. Du måste fylla i certifikatuppgifterna. Det gemensamma namnet för det här certifikatet ska matcha det namn som vi använder för åtkomst till iDRAC. Markerat nedan
   2. Observera också att du måste inkludera en lösenfras för den privata nyckel som skapas. Markerat nedan

bin>openssl.exe req -new -config openssl.conf -newkey rsa:2048  -nodes -keyout idrac.key -out idrac.csr

2. Därefter måste certifikatutfärdaren signera certifikatet som vi skapade.

bin>openssl.exe ca -policy policy_anything -config openssl.conf -cert certs/ca.cer -in requests/idrac_web.csr -keyfile keys/ca.key -days 365 -out certs/idrac_web.cer

3. Nu har vi de nödvändiga komponenterna att ladda upp till iDRAC. Den första av dessa är den privata nyckeln (idrac_web.key) och det andra av dessa är det undertecknade certifikatet (idrac_web.cer). 
   
    

Ladda upp certifikat i iDRAC

Med ett privat nyckel- och certifikatpar kan vi ladda upp nyckeln och certifikatet till iDRAC.

1. Först måste vi ladda upp certifikatet:
   • Jag använde fjärranslutning racadm kommandot med det interaktiva alternativet

racadm -r 10.14.177.107 -i sslkeyupload -t 1 -f C:\idrac_web.key

1. När nyckeln har laddats upp måste vi ladda upp certifikatet. Kommandot för detta är:

racadm -r 10.14.177.107 -i sslcertupload -t 1 -f c:\idrac_web.cer

1. När webbgränssnittet har kommit tillbaka måste vi verifiera vårt certifikat. Detta kan göras genom att komma åt webbgränssnittet i valfri webbläsare och sedan inspektera certifikatet. Du bör se att certifikatet återspeglar det konfigurerade nätverksnamnet och utfärdas av det nätverksnamn som konfigurerats i certifikatutfärdaren:

Om du har problem med iDRAC6-, iDRAC7- och iDRAC8-certifikat kan du ta en titt i den här artikeln:

IDRAC: iDRAC6, iDRAC7 eller iDRAC8 – standard-SSL-webbservercertifikat har upphört att gälla