PowerScale OneFS: Ersetzen oder Erneuern des SSL-Zertifikats für die Isilon-Webadministration

Einführung

In diesem Artikel wird erläutert, wie Sie das SSL-Zertifikat (Secure Sockets Layer) für die Isilon-Webverwaltungsoberfläche ersetzen oder erneuern. Die folgenden Verfahren umfassen Optionen für das Ersetzen oder Erneuern eines selbstsignierten Zertifikats und für das Anfordern eines SSL-Zertifikatersatzes oder einer -erneuerung von einer Zertifizierungsstelle (CA).

Erforderliche Tools oder Fähigkeiten

Zum Ausführen dieser Aufgabe benötigen Sie die URL für den Zugriff auf die Webverwaltungsschnittstelle von Isilon. (In den Beispielen in diesem Artikel wird https://isilon.example.com:8080/.) Sie sollten auch mit dem Ausführen von Befehlen über die Befehlszeile vertraut sein.

Voraussetzungen

Referenzinformationen
Die folgenden Listen enthalten die Standardspeicherorte für die server.crt und server.key Dateien. Verwenden Sie für die Schritte der folgenden Verfahren die entsprechenden Informationen für Ihre installierte Version von OneFS.

Rufen Sie die Liste der Zertifikate mit dem folgenden Befehl ab:

isi certificate server list 

Verfahren

Erstellen Sie ein lokales Arbeitsverzeichnis.

mkdir /ifs/local
cd /ifs/local

Überprüfen Sie, ob Sie ein vorhandenes Zertifikat erneuern oder ein Zertifikat von Grund auf neu erstellen möchten.

• Erneuern eines vorhandenen selbstsignierten Zertifikats

cp /usr/local/apache2/conf/ssl.key/server.key ./ ; openssl req -new -days 730 -nodes -x509 -key server.key -out server.crt

Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:Washington
Locality Name (eg, city) []:Seattle
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Isilon
Organizational Unit Name (eg, section) []:Support
Common Name (e.g. server FQDN or YOUR name) []:isilon.example.com
Email Address []:support@example.com

• (Optional) Überprüfen Sie die Integrität und Attribute des Zertifikats:

openssl x509 -text -noout -in server.crt

• Erzeugen eines Zertifikats und Schlüssels

openssl genrsa -out server.key 2048

openssl req -new -nodes -key server.key -out server.csr

Country Name (2 letter code) [AU]:
State or Province Name (full name) [Some-State]:
Locality Name (eg, city) []:
Organization Name (eg, company) [Internet Widgits Pty Ltd]:
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:
Email Address []:
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

• (Optional) Erzeugen Sie eine Signieranforderung für eine Zertifizierungsstelle, die „Subject-Alternative-Names“ enthält. Wenn zusätzliches DNS erforderlich ist, kann es durch ein Komma (,) hinzugefügt werden.

openssl req -new -nodes -key server.key -out server.csr -reqexts SAN -config <(cat /etc/ssl/openssl.cnf <(printf "[SAN]\nsubjectAltName=DNS:example.com"))

• Selbstsignierung des SSL-Zertifikats

openssl x509 -req -days 730 -in server.csr -signkey server.key -out server.crt

openssl x509 -noout -modulus -in server.crt | openssl md5           
openssl rsa -noout -modulus -in server.key | openssl md5

• Signierung des Zertifikats durch eine Zertifizierungsstelle

-----BEGIN CERTIFICATE-----
<The contents of your new TLS certificate>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the intermediate certificate>
<Repeat as necessary for every intermediate certificate provided by your CA>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the root certificate file>
-----END CERTIFICATE-----

cat CA_signed.crt intermediate.crt root.crt > onefs_pem_formatted.crt

• (Optional) Überprüfen Sie die Integrität und Attribute des Zertifikats:

openssl x509 -text -noout -in server.crt

Fügen Sie das Zertifikat zum Cluster hinzu:

1. Importieren Sie das neue Zertifikat und den neuen Schlüssel in das System:

isi certificate server import /ifs/local/server.crt /ifs/local/server.key

2. Überprüfen Sie, ob das Zertifikat erfolgreich importiert wurde:

isi certificate server list -v

3. Legen Sie das importierte Zertifikat als Standard fest:

isi certificate settings modify --default-https-certificate=<id_of_cert_to_set_as_default>

4. Verwenden Sie den folgenden Befehl, um zu bestätigen, dass das importierte Zertifikat als Standard verwendet wird, indem Sie den Status von „Default HTTPS Certificate“ überprüfen:

isi certificate settings view

5. Wenn ein nicht verwendetes oder veraltetes Zertifikat vorhanden ist, löschen Sie es mit dem Befehl:

isi certificate server delete --id=<id_of_cert_to_delete>

6. Zeigen Sie das neue importierte Zertifikat mit dem folgenden Befehl an:

isi certificate server view --id=<id_of_cert>

Überprüfung:

Es gibt zwei Methoden zur Überprüfung des aktualisierten SSL-Zertifikats.

• Über einen Webbrowser:

1. Navigieren Sie zu https://<common name>:8080, wobei <"Common Name"> der Hostname ist, der für den Zugriff auf die Isilon-Webverwaltungsschnittstelle verwendet wird. Zum Beispiel: isilon.example.com
2. Überprüfen Sie die Sicherheitsdetails für die Webseite. Die Schritte dazu variieren je nach Browser. Bei manchen Browsern klicken Sie hierfür auf das Vorhängeschloss in der Adressleiste.
3. Überprüfen Sie in den Sicherheitsdetails für die Webseite, ob die Betreffzeile und andere Details korrekt sind. Es wird eine Ausgabe ähnlich der folgenden angezeigt, wobei <Ihr Staat>, <Ihre Stadt> und Ihr Unternehmen> das Bundesland, die Stadt und <der Name Ihrer Organisation sind:

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com

• Über eine Befehlszeile:

1. Öffnen Sie eine SSH-Verbindung auf einem beliebigen Node im Cluster und melden Sie sich mit dem „root“-Konto an.
2. Führen Sie den folgenden Befehl aus:

echo QUIT | openssl s_client -connect localhost:8080

3. Es wird eine Ausgabe ähnlich der folgenden angezeigt, wobei <Ihr Staat>, <Ihre Stadt> und Ihr Unternehmen> das Bundesland, die Stadt und <der Name Ihrer Organisation sind:

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com