PowerScale OneFS: Reemplazar o renovar el certificado SSL para la administración web de Isilon

Introducción

En este artículo, se explica cómo reemplazar o renovar el certificado de capa de sockets seguros (SSL) para la interfaz de administración web de Isilon. Los siguientes procedimientos incluyen opciones para completar un reemplazo o una renovación de certificado autofirmado, o bien para solicitar un reemplazo o una renovación SSL de una autoridad de certificación (CA).

Herramientas o habilidades requeridas

Para completar esta tarea, debe tener la URL para acceder a la interfaz de administración web de Isilon. (En los ejemplos de este artículo, se usa https://isilon.example.com:8080/.) También debe sentirse cómodo ejecutando comandos desde la línea de comandos.

Requisitos

Información de referencia
Las siguientes listas incluyen las ubicaciones predeterminadas para el server.crt y server.key Archivos. En los procedimientos que se indican a continuación, actualice los pasos a fin de que coincidan con esta información para la versión de OneFS instalada.

Ejecute el siguiente comando para obtener la lista de certificados:

isi certificate server list 

Procedimiento

Cree un directorio de trabajo local.

mkdir /ifs/local
cd /ifs/local

Verifique si desea renovar un certificado existente o si desea crear un certificado desde cero.

• Renovar un certificado autofirmado existente.

cp /usr/local/apache2/conf/ssl.key/server.key ./ ; openssl req -new -days 730 -nodes -x509 -key server.key -out server.crt

Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:Washington
Locality Name (eg, city) []:Seattle
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Isilon
Organizational Unit Name (eg, section) []:Support
Common Name (e.g. server FQDN or YOUR name) []:isilon.example.com
Email Address []:support@example.com

• (Opcional) Verifique la integridad y los atributos del certificado:

openssl x509 -text -noout -in server.crt

• Crear un certificado y una clave.

openssl genrsa -out server.key 2048

openssl req -new -nodes -key server.key -out server.csr

Country Name (2 letter code) [AU]:
State or Province Name (full name) [Some-State]:
Locality Name (eg, city) []:
Organization Name (eg, company) [Internet Widgits Pty Ltd]:
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:
Email Address []:
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

• (Opcional) Genere una CSR para una autoridad de certificación que incluya nombres alternativos de sujeto. Si se necesita un DNS adicional, se puede agregar usando una coma (,)

openssl req -new -nodes -key server.key -out server.csr -reqexts SAN -config <(cat /etc/ssl/openssl.cnf <(printf "[SAN]\nsubjectAltName=DNS:example.com"))

• Autofirmar el certificado SSL.

openssl x509 -req -days 730 -in server.csr -signkey server.key -out server.crt

openssl x509 -noout -modulus -in server.crt | openssl md5           
openssl rsa -noout -modulus -in server.key | openssl md5

• Obtener una CA para firmar el certificado.

-----BEGIN CERTIFICATE-----
<The contents of your new TLS certificate>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the intermediate certificate>
<Repeat as necessary for every intermediate certificate provided by your CA>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the root certificate file>
-----END CERTIFICATE-----

cat CA_signed.crt intermediate.crt root.crt > onefs_pem_formatted.crt

• (Opcional) Verifique la integridad y los atributos del certificado:

openssl x509 -text -noout -in server.crt

Agregue el certificado al clúster:

1. Importe el certificado y la clave nuevos al sistema:

isi certificate server import /ifs/local/server.crt /ifs/local/server.key

2. Verifique que el certificado se haya importado correctamente:

isi certificate server list -v

3. Configure el certificado importado como predeterminado:

isi certificate settings modify --default-https-certificate=<id_of_cert_to_set_as_default>

4. Use el siguiente comando para confirmar que el certificado importado se está utilizando como predeterminado mediante la verificación del estado del “Certificado HTTPS predeterminado”:

isi certificate settings view

5. Si hay un certificado no utilizado u obsoleto, elimínelo con el comando:

isi certificate server delete --id=<id_of_cert_to_delete>

6. Vea el nuevo certificado importado con el comando:

isi certificate server view --id=<id_of_cert>

Verificación

Existen dos métodos para verificar el certificado SSL actualizado.

• Desde un navegador web:

1. Navegue a https://<common name>:8080, donde <el nombre> común es el nombre de host que se utiliza para acceder a la interfaz de administración web de Isilon. Por ejemplo: isilon.example.com
2. Vea los detalles de seguridad de la página web. Los pasos para hacer esto varían según el navegador. En algunos navegadores, haga clic en el icono de candado en la barra de direcciones para ver los detalles de seguridad de la página web.
3. En los detalles de seguridad de la página web, verifique que la línea de asunto y otros detalles sean correctos. Se muestra una salida similar a la siguiente, donde <suestado>, <tuciudad> y <su empresa> son el estado, la ciudad y el nombre de su organización:

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com

• En una línea de comandos:

1. Abra una conexión SSH en cualquier nodo en el clúster e inicie sesión con la cuenta “raíz”.
2. Ejecute el siguiente comando:

echo QUIT | openssl s_client -connect localhost:8080

3. Se muestra una salida similar a la siguiente, donde <suestado>, <tuciudad> y <su empresa> son el estado, la ciudad y el nombre de su organización:

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com