PowerScale OneFS: Erstatte eller fornye SSL-sertifikatet for Isilon-nettadministrasjon

Innledning

Denne artikkelen forklarer hvordan du bytter ut eller fornyer SSL-sertifikatet (Secure Sockets Layer) for grensesnittet for webadministrasjon i Isilon. Følgende fremgangsmåter omfatter alternativer for å fullføre en selvsignert sertifikatutskifting eller fornyelse, eller for å be om SSL-erstatning eller fornyelse fra en sertifiseringsinstans (CA).

Nødvendige verktøy eller ferdigheter

For å fullføre denne oppgaven må du ha URL-adressen for å få tilgang til grensesnittet for Isilon-webadministrasjon. (Eksemplene i denne artikkelen bruker https://isilon.example.com:8080/.) Du bør også være komfortabel med å kjøre kommandoer fra kommandolinjen.

Forutsetninger

Referanseinformasjon
Følgende lister inkluderer standardplasseringene for server.crt og server.key Filer. I fremgangsmåtene nedenfor må du oppdatere trinnene slik at de samsvarer med denne informasjonen for OneFS-versjonen som er installert.

Hent listen over sertifikater ved å kjøre kommandoen nedenfor:

isi certificate server list 

Fremgangsmåte

Opprett en lokal arbeidskatalog.

mkdir /ifs/local
cd /ifs/local

Kontroller om du vil fornye et eksisterende sertifikat, eller hvis du vil opprette et sertifikat fra grunnen av.

• Forny et eksisterende selvsignert sertifikat.

cp /usr/local/apache2/conf/ssl.key/server.key ./ ; openssl req -new -days 730 -nodes -x509 -key server.key -out server.crt

Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:Washington
Locality Name (eg, city) []:Seattle
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Isilon
Organizational Unit Name (eg, section) []:Support
Common Name (e.g. server FQDN or YOUR name) []:isilon.example.com
Email Address []:support@example.com

• (Valgfritt) Kontroller integriteten og attributtene til sertifikatet:

openssl x509 -text -noout -in server.crt

• Opprett et sertifikat og en nøkkel.

openssl genrsa -out server.key 2048

openssl req -new -nodes -key server.key -out server.csr

Country Name (2 letter code) [AU]:
State or Province Name (full name) [Some-State]:
Locality Name (eg, city) []:
Organization Name (eg, company) [Internet Widgits Pty Ltd]:
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:
Email Address []:
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

• (Valgfritt) Generer en CSR for en sertifiseringsinstans som inkluderer emne-alternative navn. Hvis ytterligere DNS er nødvendig, kan den legges til ved hjelp av komma (,)

openssl req -new -nodes -key server.key -out server.csr -reqexts SAN -config <(cat /etc/ssl/openssl.cnf <(printf "[SAN]\nsubjectAltName=DNS:example.com"))

• Signer SSL-sertifikatet selv.

openssl x509 -req -days 730 -in server.csr -signkey server.key -out server.crt

openssl x509 -noout -modulus -in server.crt | openssl md5           
openssl rsa -noout -modulus -in server.key | openssl md5

• Få en sertifiseringsinstans til å signere sertifikatet.

-----BEGIN CERTIFICATE-----
<The contents of your new TLS certificate>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the intermediate certificate>
<Repeat as necessary for every intermediate certificate provided by your CA>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the root certificate file>
-----END CERTIFICATE-----

cat CA_signed.crt intermediate.crt root.crt > onefs_pem_formatted.crt

• (Valgfritt) Kontroller integriteten og attributtene til sertifikatet:

openssl x509 -text -noout -in server.crt

Legg til sertifikatet i klyngen:

1. Importer det nye sertifikatet og nøkkelen inn i systemet:

isi certificate server import /ifs/local/server.crt /ifs/local/server.key

2. Kontroller at sertifikatet er importert:

isi certificate server list -v

3. Angi det importerte sertifikatet som standard:

isi certificate settings modify --default-https-certificate=<id_of_cert_to_set_as_default>

4. Bruk kommandoen nedenfor for å bekrefte at det importerte sertifikatet brukes som standard ved å bekrefte statusen "Standard HTTPS-sertifikat":

isi certificate settings view

5. Hvis det er et ubrukt eller utdatert sertifikat, slett dette med kommandoen:

isi certificate server delete --id=<id_of_cert_to_delete>

6. Vis det nye importerte sertifikatet med kommandoen:

isi certificate server view --id=<id_of_cert>

Verifisering

Det finnes to metoder for å verifisere det oppdaterte SSL-sertifikatet.

• Fra en nettleser:

1. Bla til https://<common name>:8080, der <vanlig navn> er vertsnavnet som brukes til å få tilgang til Isilon-grensesnittet for webadministrasjon. For eksempel, isilon.example.com
2. Vis sikkerhetsdetaljene for nettsiden. Fremgangsmåten for å gjøre dette varierer fra nettleser til nettleser. I noen nettlesere klikker du hengelåsikonet på adresselinjen for å vise sikkerhetsdetaljene for nettsiden.
3. I sikkerhetsdetaljene for nettsiden må du kontrollere at emnelinjen og andre detaljer er riktige. En utdata som ligner på følgende, vises der <delstaten>, <byen> din og <firmaet> er staten, byen og navnet på organisasjonen:

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com

• Fra en kommandolinje:

1. Åpne en SSH-tilkobling på en hvilken som helst node i klyngen, og logg inn ved hjelp av «rot»-kontoen.
2. Kjør følgende kommando:

echo QUIT | openssl s_client -connect localhost:8080

3. En utdata som ligner på følgende, vises, der <delstaten>, <byen> din og <firmaet> er staten, byen og navnet på organisasjonen:

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com