PowerScale OneFS: Udskift eller forny SSL-certifikatet for Isilon Web Administration

Indledning

Denne artikel beskriver, hvordan du udskifter eller fornyer SSL-certifikatet (Secure Sockets Layer) til Isilon-webadministrationsgrænsefladen. Følgende procedurer omfatter muligheder for at fuldføre en selvsigneret certifikaterstatning eller fornyelse eller for at anmode om en SSL-erstatning eller fornyelse fra et nøglecenter.

Nødvendige værktøjer eller færdigheder

For at fuldføre denne opgave skal du have URL-adressen for at få adgang til Isilon-webadministrationsgrænsefladen. (Eksemplerne i denne artikel bruger https://isilon.example.com:8080/). Du skal også være komfortabel med at køre kommandoer fra kommandolinjen.

Forudsætninger

Referenceoplysninger
Følgende lister indeholder standardplaceringerne for server.crt og server.key filer. I de efterfølgende procedurer skal du opdatere trinnene, så de stemmer overens med disse oplysninger for den version af OneFS, der er installeret.

Få listen over certifikater ved at køre nedenstående kommando:

isi certificate server list 

Procedure

Opret en lokal arbejdsmappe.

mkdir /ifs/local
cd /ifs/local

Kontroller, om du vil forny et eksisterende certifikat, eller om du vil oprette et certifikat fra bunden.

• Forny et eksisterende selvsigneret certifikat.

cp /usr/local/apache2/conf/ssl.key/server.key ./ ; openssl req -new -days 730 -nodes -x509 -key server.key -out server.crt

Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:Washington
Locality Name (eg, city) []:Seattle
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Isilon
Organizational Unit Name (eg, section) []:Support
Common Name (e.g. server FQDN or YOUR name) []:isilon.example.com
Email Address []:support@example.com

• (Valgfrit) Kontroller certifikatets integritet og attributter:

openssl x509 -text -noout -in server.crt

• Opret et certifikat og en nøgle.

openssl genrsa -out server.key 2048

openssl req -new -nodes -key server.key -out server.csr

Country Name (2 letter code) [AU]:
State or Province Name (full name) [Some-State]:
Locality Name (eg, city) []:
Organization Name (eg, company) [Internet Widgits Pty Ltd]:
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:
Email Address []:
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

• (Valgfrit) Generer en CSR for en certifikatmyndighed, der indeholder emne-alternative-navne. Hvis der er behov for yderligere DNS, kan det tilføjes ved hjælp af et komma (,)

openssl req -new -nodes -key server.key -out server.csr -reqexts SAN -config <(cat /etc/ssl/openssl.cnf <(printf "[SAN]\nsubjectAltName=DNS:example.com"))

• Selvsigner SSL-certifikatet.

openssl x509 -req -days 730 -in server.csr -signkey server.key -out server.crt

openssl x509 -noout -modulus -in server.crt | openssl md5           
openssl rsa -noout -modulus -in server.key | openssl md5

• Få et nøglecenter til at signere certifikatet.

-----BEGIN CERTIFICATE-----
<The contents of your new TLS certificate>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the intermediate certificate>
<Repeat as necessary for every intermediate certificate provided by your CA>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the root certificate file>
-----END CERTIFICATE-----

cat CA_signed.crt intermediate.crt root.crt > onefs_pem_formatted.crt

• (Valgfrit) Kontroller certifikatets integritet og attributter:

openssl x509 -text -noout -in server.crt

Føj certifikatet til klyngen:

1. Importer det nye certifikat og den nye nøgle til systemet:

isi certificate server import /ifs/local/server.crt /ifs/local/server.key

2. Kontroller, at certifikatet er importeret:

isi certificate server list -v

3. Angiv det importerede certifikat som standard:

isi certificate settings modify --default-https-certificate=<id_of_cert_to_set_as_default>

4. Brug nedenstående kommando til at bekræfte, at det importerede certifikat bruges som standard, ved at kontrollere status for "Standard HTTPS-certifikat":

isi certificate settings view

5. Hvis der er et ubrugt eller forældet certifikat, skal du slette dette med kommandoen:

isi certificate server delete --id=<id_of_cert_to_delete>

6. Få vist det nye importerede certifikat med kommandoen:

isi certificate server view --id=<id_of_cert>

Verifikation

Der er to metoder til at verificere det opdaterede SSL-certifikat.

• Fra en webbrowser:

1. Gå til https://<common name>:8080, hvor <almindeligt navn> er det værtsnavn, der bruges til at få adgang til Isilon-webadministrationsgrænsefladen. F.eks. isilon.example.com
2. Få vist sikkerhedsoplysningerne for websiden. Trinene til at gøre dette varierer fra browser til browser. I nogle browsere skal du klikke på hængelåsikonet i adresselinjen for at få vist sikkerhedsoplysningerne for websiden.
3. I sikkerhedsoplysningerne for websiden skal du kontrollere, at emnelinjen og andre detaljer er korrekte. Der vises et output, der ligner det følgende, hvor <dinstat>, <dinhed> og <din virksomhed> er staten, byen og navnet på din organisation:

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com

• Fra en kommandolinje:

1. Åbn en SSH -forbindelse på en hvilken som helst node i klyngen, og log ind ved hjælp af "root"-kontoen.
2. Kør følgende kommando:

echo QUIT | openssl s_client -connect localhost:8080

3. Der vises et output, der ligner det følgende, hvor <dinstat>, <dinhed> og <din virksomhed> er staten, byen og navnet på din organisation:

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com