PowerScale OneFS: Substituir ou renovar o certificado SSL para a administração da Web do Isilon

Introdução

Este artigo explica como substituir ou renovar o Secure Sockets Layer (SSL) da interface Web de administração do Isilon. Os procedimentos a seguir incluem opções para concluir uma substituição ou renovação de certificado autoassinado ou solicitar uma substituição ou renovação de SSL de uma Autoridade de Certificação (CA).

Ferramentas ou habilidades necessárias

Para concluir essa tarefa, você deve ter a URL para acessar a interface Web de administração do Isilon. (Os exemplos neste artigo usam https://isilon.example.com:8080/.) Você também precisa ter familiaridade com a execução de comandos na linha de comando.

Pré-requisitos

Informações de referência
As listas a seguir incluem os locais padrão para o server.crt e server.key limas. Nos procedimentos a seguir, atualize as etapas para corresponder essas informações com a versão do OneFS instalada.

Obtenha a lista de certificados a partir da execução do comando abaixo:

isi certificate server list 

Procedimento

Crie um diretório de trabalho local.

mkdir /ifs/local
cd /ifs/local

Verifique se você deseja renovar um certificado existente ou se deseja criar um certificado do zero.

• Renovar um certificado autoassinado existente.

cp /usr/local/apache2/conf/ssl.key/server.key ./ ; openssl req -new -days 730 -nodes -x509 -key server.key -out server.crt

Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:Washington
Locality Name (eg, city) []:Seattle
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Isilon
Organizational Unit Name (eg, section) []:Support
Common Name (e.g. server FQDN or YOUR name) []:isilon.example.com
Email Address []:support@example.com

• Verifique a integridade e os atributos do certificado (opcional):

openssl x509 -text -noout -in server.crt

• Criar um certificado e uma chave.

openssl genrsa -out server.key 2048

openssl req -new -nodes -key server.key -out server.csr

Country Name (2 letter code) [AU]:
State or Province Name (full name) [Some-State]:
Locality Name (eg, city) []:
Organization Name (eg, company) [Internet Widgits Pty Ltd]:
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:
Email Address []:
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

• Gere uma CSR para uma autoridade de certificação que inclua nomes alternativos da entidade (opcional). Se um DNS adicional for necessário, ele poderá ser adicionado usando uma vírgula (,)

openssl req -new -nodes -key server.key -out server.csr -reqexts SAN -config <(cat /etc/ssl/openssl.cnf <(printf "[SAN]\nsubjectAltName=DNS:example.com"))

• Autoassinar o certificado SSL.

openssl x509 -req -days 730 -in server.csr -signkey server.key -out server.crt

openssl x509 -noout -modulus -in server.crt | openssl md5           
openssl rsa -noout -modulus -in server.key | openssl md5

• Obter o certificado assinado por uma CA.

-----BEGIN CERTIFICATE-----
<The contents of your new TLS certificate>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the intermediate certificate>
<Repeat as necessary for every intermediate certificate provided by your CA>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the root certificate file>
-----END CERTIFICATE-----

cat CA_signed.crt intermediate.crt root.crt > onefs_pem_formatted.crt

• Verifique a integridade e os atributos do certificado (opcional):

openssl x509 -text -noout -in server.crt

Adicione o certificado ao cluster:

1. Importe o novo certificado e a nova chave para o sistema:

isi certificate server import /ifs/local/server.crt /ifs/local/server.key

2. Verifique se o certificado foi importado com sucesso:

isi certificate server list -v

3. Defina o certificado importado como padrão:

isi certificate settings modify --default-https-certificate=<id_of_cert_to_set_as_default>

4. Use o comando abaixo para confirmar se o certificado importado está sendo usado como padrão, verificando o status de "Default HTTPS Certificate":

isi certificate settings view

5. Se houver um certificado não utilizado ou desatualizado, exclua-o com o comando:

isi certificate server delete --id=<id_of_cert_to_delete>

6. Visualize o novo certificado importado com o comando:

isi certificate server view --id=<id_of_cert>

Verificação

Há dois métodos para verificar o certificado SSL atualizado.

• Em um navegador da Web:

1. Navegue até https://<common name>:8080, em <que nome comum> é o nome do host usado para acessar a interface Web de administração do Isilon. Por exemplo, isilon.example.com
2. Visualize os detalhes de segurança da página da Web. As etapas para fazer isso variam de acordo com o navegador. Em alguns navegadores, basta clicar no ícone de cadeado na barra de endereços para visualizar os detalhes de segurança da página da Web.
3. Nos detalhes de segurança da página da Web, verifique se a linha de assunto e outros detalhes estão corretos. Um resultado semelhante ao seguinte será exibido em <que seu estado>, <sua cidade> e <sua empresa> são o estado, a cidade e o nome de sua organização:

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com

• Em uma linha de comando:

1. Abra uma conexão SSH com algum nó do cluster e faça login usando a conta "root".
2. Execute o seguinte comando:

echo QUIT | openssl s_client -connect localhost:8080

3. Um resultado semelhante ao seguinte será exibido, em <que seu estado>, <sua cidade> e <sua empresa> são o estado, a cidade e o nome de sua organização:

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com