PowerScale OneFS: Zastąp lub odnów certyfikat SSL dla administracji sieciowej Isilon

Wprowadzenie

W tym artykule wyjaśniono, jak wymienić lub odnowić certyfikat Secure Sockets Layer (SSL) dla sieciowego interfejsu administracyjnego Isilon. Poniższe procedury obejmują opcje wymiany lub odnowienia certyfikatu z podpisem własnym, lub wniosku o certyfikat SSL z instytucji certyfikującej (CA).

Wymagane narzędzia lub umiejętności

Aby wykonać to zadanie, musisz mieć adres URL umożliwiający dostęp do sieciowego interfejsu administracyjnego Isilon. (W przykładach w tym artykule wykorzystano https://isilon.example.com:8080/). Użytkownik powinien również umieć swobodnie korzystać z wiersza poleceń.

Wymagania wstępne

Informacje
referencyjneNa poniższych listach przedstawiono domyślne lokalizacje server.crt i server.key Pliki. Spośród poniższych procedur wybierz te, które odpowiadają zainstalowanej wersji OneFS.

Uzyskaj listę certyfikatów, uruchamiając poniższe polecenie:

isi certificate server list 

Procedura

Utwórz lokalny katalog roboczy.

mkdir /ifs/local
cd /ifs/local

Sprawdź, czy chcesz odnowić istniejący certyfikat, czy też chcesz utworzyć certyfikat od podstaw.

• Odnawianie istniejących certyfikatów z podpisem własnym

cp /usr/local/apache2/conf/ssl.key/server.key ./ ; openssl req -new -days 730 -nodes -x509 -key server.key -out server.crt

Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:Washington
Locality Name (eg, city) []:Seattle
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Isilon
Organizational Unit Name (eg, section) []:Support
Common Name (e.g. server FQDN or YOUR name) []:isilon.example.com
Email Address []:support@example.com

• (Opcjonalnie) Zweryfikuj integralności i atrybuty certyfikatu:

openssl x509 -text -noout -in server.crt

• Tworzenie certyfikatu i klucza

openssl genrsa -out server.key 2048

openssl req -new -nodes -key server.key -out server.csr

Country Name (2 letter code) [AU]:
State or Province Name (full name) [Some-State]:
Locality Name (eg, city) []:
Organization Name (eg, company) [Internet Widgits Pty Ltd]:
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:
Email Address []:
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

• (Opcjonalnie) Wygeneruj CSR dla instytucji certyfikującej, która zawiera nazwy podmiotów alternatywnych. Jeśli potrzebny jest dodatkowy serwer DNS, można go dodać, używając przecinka (,)

openssl req -new -nodes -key server.key -out server.csr -reqexts SAN -config <(cat /etc/ssl/openssl.cnf <(printf "[SAN]\nsubjectAltName=DNS:example.com"))

• Certyfikat SSL z podpisem własnym

openssl x509 -req -days 730 -in server.csr -signkey server.key -out server.crt

openssl x509 -noout -modulus -in server.crt | openssl md5           
openssl rsa -noout -modulus -in server.key | openssl md5

• Uzyskiwanie podpisu certyfikatu od instytucji certyfikującej

-----BEGIN CERTIFICATE-----
<The contents of your new TLS certificate>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the intermediate certificate>
<Repeat as necessary for every intermediate certificate provided by your CA>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the root certificate file>
-----END CERTIFICATE-----

cat CA_signed.crt intermediate.crt root.crt > onefs_pem_formatted.crt

• (Opcjonalnie) Zweryfikuj integralności i atrybuty certyfikatu:

openssl x509 -text -noout -in server.crt

Dodaj certyfikat do klastra:

1. Zaimportuj nowy certyfikat i klucz do systemu:

isi certificate server import /ifs/local/server.crt /ifs/local/server.key

2. Sprawdź, czy certyfikat został pomyślnie zaimportowany:

isi certificate server list -v

3. Ustaw importowany certyfikat jako domyślny:

isi certificate settings modify --default-https-certificate=<id_of_cert_to_set_as_default>

4. Użyj poniższego polecenia, aby potwierdzić, że importowany certyfikat jest używany jako domyślny, sprawdzając stan „Domyślny certyfikat HTTPS”:

isi certificate settings view

5. Jeśli istnieje nieużywany lub nieaktualny certyfikat, usuń go za pomocą polecenia:

isi certificate server delete --id=<id_of_cert_to_delete>

6. Wyświetl nowy zaimportowany certyfikat za pomocą polecenia:

isi certificate server view --id=<id_of_cert>

Weryfikacja

Istnieją dwie metody weryfikacji zaktualizowanego certyfikatu SSL.

• W przeglądarce internetowej:

1. Przejdź do https://<common name>:8080, gdzie <nazwa> pospolita to nazwa hosta używana do uzyskiwania dostępu do sieciowego interfejsu administracyjnego Isilon. Na przykład: isilon.example.com
2. Wyświetl szczegóły dotyczące zabezpieczeń strony internetowej. Czynności te różnią się w zależności od przeglądarki. W niektórych przeglądarkach należy kliknąć ikonę kłódki na pasku adresu, aby wyświetlić szczegóły zabezpieczeń strony internetowej.
3. W szczegółach zabezpieczeń strony internetowej sprawdź, czy wiersz tematu i inne szczegóły są poprawne. Zostaną wyświetlone dane wyjściowe podobne do poniższych, w których <twojestan>, <twojemiasto> i <twoja firma> to stan, miasto i nazwa organizacji:

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com

• Z wiersza polecenia:

1. Otwórz połączenie SSH w węźle w klastrze i zaloguj się przy użyciu konta „root”.
2. Uruchom następujące polecenie:

echo QUIT | openssl s_client -connect localhost:8080

3. Zostaną wyświetlone dane wyjściowe podobne do poniższych, gdzie <twojstan>, <twojemiasto> i <twoja firma> to stan, miasto i nazwa organizacji:

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com