PowerScale OneFS: Het SSL-certificaat voor de Isilon Web Administration vervangen of vernieuwen

Inleiding

In dit artikel wordt uitgelegd hoe u het SSL-certificaat (Secure Sockets Layer) voor de Isilon-webbeheerinterface kunt vervangen of vernieuwen. De volgende procedures omvatten opties voor het vervangen of vernieuwen van een zelfondertekend certificaat, of het aanvragen van een SSL-vervanging of -verlenging bij een certificeringsinstantie (CA).

Vereiste tools of vaardigheden

Om deze taak te voltooien, moet u de URL hebben voor toegang tot de Isilon-webbeheerinterface. (De voorbeelden in dit artikel gebruiken https://isilon.example.com:8080/.) U moet zich ook op uw gemak voelen bij het uitvoeren van opdrachten vanaf de opdrachtregel.

Vereisten

Referentie-informatie
De volgende lijsten bevatten de standaardlocaties voor de server.crt als server.key archief. Werk in de volgende procedures de stappen bij zodat deze overeenkomen met deze informatie voor de versie van OneFS die is geïnstalleerd.

Verkrijg de lijst met certificaten door de onderstaande opdracht uit te voeren:

isi certificate server list 

Procedure

Maak een lokale werkmap.

mkdir /ifs/local
cd /ifs/local

Controleer of u een bestaand certificaat wilt vernieuwen of dat u een geheel nieuw certificaat wilt maken.

• Een bestaand zelfondertekend certificaat vernieuwen.

cp /usr/local/apache2/conf/ssl.key/server.key ./ ; openssl req -new -days 730 -nodes -x509 -key server.key -out server.crt

Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:Washington
Locality Name (eg, city) []:Seattle
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Isilon
Organizational Unit Name (eg, section) []:Support
Common Name (e.g. server FQDN or YOUR name) []:isilon.example.com
Email Address []:support@example.com

• (Optioneel) Controleer de integriteit en kenmerken van het certificaat:

openssl x509 -text -noout -in server.crt

• Maak een certificaat en sleutel.

openssl genrsa -out server.key 2048

openssl req -new -nodes -key server.key -out server.csr

Country Name (2 letter code) [AU]:
State or Province Name (full name) [Some-State]:
Locality Name (eg, city) []:
Organization Name (eg, company) [Internet Widgits Pty Ltd]:
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:
Email Address []:
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

• (Optioneel) Genereer een CSR voor een certificeringsinstantie met Subject-Alternative-Names. Als er extra DNS nodig is, kan deze worden toegevoegd met een komma (,)

openssl req -new -nodes -key server.key -out server.csr -reqexts SAN -config <(cat /etc/ssl/openssl.cnf <(printf "[SAN]\nsubjectAltName=DNS:example.com"))

• Onderteken zelf het SSL-certificaat.

openssl x509 -req -days 730 -in server.csr -signkey server.key -out server.crt

openssl x509 -noout -modulus -in server.crt | openssl md5           
openssl rsa -noout -modulus -in server.key | openssl md5

• Laat een CA het certificaat ondertekenen.

-----BEGIN CERTIFICATE-----
<The contents of your new TLS certificate>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the intermediate certificate>
<Repeat as necessary for every intermediate certificate provided by your CA>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the root certificate file>
-----END CERTIFICATE-----

cat CA_signed.crt intermediate.crt root.crt > onefs_pem_formatted.crt

• (Optioneel) Controleer de integriteit en kenmerken van het certificaat:

openssl x509 -text -noout -in server.crt

Voeg het certificaat toe aan het cluster:

1. Importeer het nieuwe certificaat en de nieuwe sleutel in het systeem:

isi certificate server import /ifs/local/server.crt /ifs/local/server.key

2. Controleer of het certificaat is geïmporteerd:

isi certificate server list -v

3. Stel het geïmporteerde certificaat in als standaard:

isi certificate settings modify --default-https-certificate=<id_of_cert_to_set_as_default>

4. Gebruik de onderstaande opdracht om te bevestigen dat het geïmporteerde certificaat als standaard wordt gebruikt door de status van "Default HTTPS Certificate" te controleren:

isi certificate settings view

5. Als er een ongebruikt of verouderd certificaat is, verwijdert u dit met de opdracht:

isi certificate server delete --id=<id_of_cert_to_delete>

6. Bekijk het nieuw geïmporteerde certificaat met de opdracht:

isi certificate server view --id=<id_of_cert>

Controle

Er zijn twee methoden om het bijgewerkte SSL-certificaat te verifiëren.

• In een webbrowser:

1. Blader naar https://<common name>:8080, waarbij <de algemene naam> de hostnaam is die wordt gebruikt om toegang te krijgen tot de Isilon-webbeheerinterface. Bijvoorbeeld, isilon.example.com
2. Bekijk de beveiligingsgegevens voor de webpagina. De stappen om dit te doen verschillen per browser. In sommige browsers klikt u op het hangslotpictogram in de adresbalk om de beveiligingsgegevens voor de webpagina weer te geven.
3. Controleer in de beveiligingsgegevens voor de webpagina of de onderwerpregel en andere gegevens correct zijn. Een uitvoer die vergelijkbaar is met het volgende wordt weergegeven, waarbij <uwstaat>, <uwstad> en <uw bedrijf> de staat, plaats en naam van uw organisatie zijn:

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com

• Via een opdrachtregel:

1. Open een SSH-verbinding op een knooppunt in het cluster en meld u aan met het hoofdaccount ("root").
2. Voer de volgende opdracht uit:

echo QUIT | openssl s_client -connect localhost:8080

3. Er wordt een uitvoer weergegeven die vergelijkbaar is met het volgende, waarbij <uwstaat>, <uwstad> en <uw bedrijf> de staat, plaats en naam van uw organisatie zijn:

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com