PowerScale OneFS : Remplacer ou renouveler le certificat SSL pour l’administration Web d’Isilon

Introduction

Cet article explique comment remplacer ou renouveler le certificat SSL (Secure Sockets Layer) pour l’interface d’administration Web Isilon. Les procédures suivantes incluent des options permettant d’effectuer un remplacement ou un renouvellement de certificat auto-signé, ou de demander un remplacement ou un renouvellement SSL auprès d’une autorité de certification (CA).

Outils ou compétences requis

Pour effectuer cette tâche, vous devez disposer de l’URL permettant d’accéder à l’interface d’administration Web Isilon. (Les exemples donnés dans cet article utilisent https://isilon.example.com:8080/.) Vous devez également être à l’aise avec l’exécution de commandes depuis l’interface de ligne de commande.

Prérequis

Informations de
référenceLes listes suivantes incluent les emplacements par défaut du server.crt et server.key Fichiers. Dans les procédures qui suivent, mettez à jour les étapes de telle sorte qu’elles correspondent à ces informations pour la version de OneFS installée.

Obtenez la liste des certificats en exécutant la commande ci-dessous :

isi certificate server list 

Procédure

Créez un répertoire de travail local.

mkdir /ifs/local
cd /ifs/local

Vérifiez si vous souhaitez renouveler un certificat existant ou si vous souhaitez créer un certificat à partir de zéro.

• Renouveler un certificat auto-signé existant.

cp /usr/local/apache2/conf/ssl.key/server.key ./ ; openssl req -new -days 730 -nodes -x509 -key server.key -out server.crt

Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:Washington
Locality Name (eg, city) []:Seattle
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Isilon
Organizational Unit Name (eg, section) []:Support
Common Name (e.g. server FQDN or YOUR name) []:isilon.example.com
Email Address []:support@example.com

• (Facultatif) Vérifiez l’intégrité et les attributs du certificat :

openssl x509 -text -noout -in server.crt

• Créer un certificat et une clé.

openssl genrsa -out server.key 2048

openssl req -new -nodes -key server.key -out server.csr

Country Name (2 letter code) [AU]:
State or Province Name (full name) [Some-State]:
Locality Name (eg, city) []:
Organization Name (eg, company) [Internet Widgits Pty Ltd]:
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:
Email Address []:
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

• (Facultatif) Générez une CSR à destination d’une autorité de certification incluant des noms alternatifs d’objet. Si un DNS supplémentaire est nécessaire, il peut être ajouté en utilisant une virgule (,)

openssl req -new -nodes -key server.key -out server.csr -reqexts SAN -config <(cat /etc/ssl/openssl.cnf <(printf "[SAN]\nsubjectAltName=DNS:example.com"))

• Auto-signer le certificat SSL.

openssl x509 -req -days 730 -in server.csr -signkey server.key -out server.crt

openssl x509 -noout -modulus -in server.crt | openssl md5           
openssl rsa -noout -modulus -in server.key | openssl md5

• Demander à une autorité de certification de signer le certificat.

-----BEGIN CERTIFICATE-----
<The contents of your new TLS certificate>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the intermediate certificate>
<Repeat as necessary for every intermediate certificate provided by your CA>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the root certificate file>
-----END CERTIFICATE-----

cat CA_signed.crt intermediate.crt root.crt > onefs_pem_formatted.crt

• (Facultatif) Vérifiez l’intégrité et les attributs du certificat :

openssl x509 -text -noout -in server.crt

Ajoutez le certificat au cluster :

1. Importez le nouveau certificat et la nouvelle clé dans le système :

isi certificate server import /ifs/local/server.crt /ifs/local/server.key

2. Vérifiez que le certificat a bien été importé :

isi certificate server list -v

3. Définissez le certificat importé comme certificat par défaut :

isi certificate settings modify --default-https-certificate=<id_of_cert_to_set_as_default>

4. Utilisez la commande ci-dessous pour confirmer que le certificat importé est utilisé comme certificat par défaut en vérifiant que l’état indique « Default HTTPS Certificate » :

isi certificate settings view

5. S’il existe un certificat inutilisé ou obsolète, supprimez-le à l’aide de la commande :

isi certificate server delete --id=<id_of_cert_to_delete>

6. Affichez le nouveau certificat importé à l’aide de la commande suivante :

isi certificate server view --id=<id_of_cert>

Vérification

Il existe deux méthodes permettant de vérifier le certificat SSL mis à jour.

• À partir d’un navigateur Web :

1. Accédez à https://<common name>:8080, où <le nom> commun est le nom d’hôte utilisé pour accéder à l’interface d’administration Web Isilon. Par exemple : isilon.example.com
2. Affichez les détails de sécurité de la page Web. Les étapes à suivre varient selon le navigateur. Dans certains navigateurs, cliquez sur l’icône de cadenas dans la barre d’adresse pour afficher les détails de sécurité de la page Web.
3. Dans les détails de sécurité de la page Web, vérifiez que la ligne d’objet et les autres détails sont corrects. Un résultat similaire à ce qui suit s’affiche où <votreétat>, <votreville> et <votre entreprise> sont l’état, la ville et le nom de votre organisation :

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com

• À partir d’une ligne de commande :

1. Ouvrez une connexion SSH sur n’importe quel nœud du cluster et connectez-vous à l’aide du compte « root ».
2. Exécutez la commande suivante :

echo QUIT | openssl s_client -connect localhost:8080

3. Un résultat similaire à ce qui suit s’affiche, où <votre état>, <votre ville> et <votre entreprise> sont l’état, la ville et le nom de votre organisation :

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com