PowerScale OneFS. Замена или обновление SSL-сертификата для веб-администрирования Isilon

Введение

В этой статье объясняется, как заменить или обновить сертификат Secure Sockets Layer (SSL) для веб-интерфейса администрирования Isilon. Следующие процедуры включают в себя варианты замены или обновления самозаверяющего сертификата или запроса на замену или обновление SSL в источнике сертификации.

Необходимые инструменты и навыки

Для выполнения этой задачи необходим URL-адрес для доступа к веб-интерфейсу администрирования Isilon. (В примерах в этой статье используются https://isilon.example.com:8080/.) Также удобно будет выполнять команды из командной строки.

Предварительные условия

Справочная информация
В следующих списках указаны местоположения по умолчанию для server.crt и server.key Файлы. В последующих процедурах адаптируйте действия так, чтобы они соответствовали установленной версии OneFS.

Получите список сертификатов, выполнив следующую команду:

isi certificate server list 

Последовательность действий

Создайте локальный рабочий каталог.

mkdir /ifs/local
cd /ifs/local

Проверьте, требуется ли продлить существующий сертификат или создать сертификат с нуля.

• Обновление существующего самозаверяющего сертификата

cp /usr/local/apache2/conf/ssl.key/server.key ./ ; openssl req -new -days 730 -nodes -x509 -key server.key -out server.crt

Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:Washington
Locality Name (eg, city) []:Seattle
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Isilon
Organizational Unit Name (eg, section) []:Support
Common Name (e.g. server FQDN or YOUR name) []:isilon.example.com
Email Address []:support@example.com

• (Дополнительно) Проверьте целостность и атрибуты сертификата:

openssl x509 -text -noout -in server.crt

• Создание сертификата и ключа

openssl genrsa -out server.key 2048

openssl req -new -nodes -key server.key -out server.csr

Country Name (2 letter code) [AU]:
State or Province Name (full name) [Some-State]:
Locality Name (eg, city) []:
Organization Name (eg, company) [Internet Widgits Pty Ltd]:
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:
Email Address []:
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

• (Дополнительно) Создание CSR для источника сертификатов, который включает альтернативное-имя-субъекта. Если требуется дополнительный DNS-сервер, его можно добавить через запятую (,)

openssl req -new -nodes -key server.key -out server.csr -reqexts SAN -config <(cat /etc/ssl/openssl.cnf <(printf "[SAN]\nsubjectAltName=DNS:example.com"))

• Самостоятельное заверение сертификата SSL

openssl x509 -req -days 730 -in server.csr -signkey server.key -out server.crt

openssl x509 -noout -modulus -in server.crt | openssl md5           
openssl rsa -noout -modulus -in server.key | openssl md5

• Доступ к источнику сертификатов для подписи сертификата

-----BEGIN CERTIFICATE-----
<The contents of your new TLS certificate>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the intermediate certificate>
<Repeat as necessary for every intermediate certificate provided by your CA>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the root certificate file>
-----END CERTIFICATE-----

cat CA_signed.crt intermediate.crt root.crt > onefs_pem_formatted.crt

• (Дополнительно) Проверьте целостность и атрибуты сертификата:

openssl x509 -text -noout -in server.crt

Добавьте сертификат в кластер:

1. Импортируйте новый сертификат и ключ в систему:

isi certificate server import /ifs/local/server.crt /ifs/local/server.key

2. Убедитесь, что сертификат импортирован успешно.

isi certificate server list -v

3. Установление импортированного сертификата сертификатом по умолчанию:

isi certificate settings modify --default-https-certificate=<id_of_cert_to_set_as_default>

4. Используйте следующую команду, чтобы подтвердить, что импортированный сертификат используется по умолчанию, подтвердив статус «Сертификат HTTPS по умолчанию».

isi certificate settings view

5. Если имеется неиспользуемый или устаревший сертификат, удалите его с помощью команды:

isi certificate server delete --id=<id_of_cert_to_delete>

6. Просмотрите новый импортированный сертификат с помощью команды:

isi certificate server view --id=<id_of_cert>

Проверка

Существует два способа проверки обновленного SSL-сертификата.

• В веб-браузере:

1. Перейдите к https://<common name>:8080, где <общее имя> — это имя хоста, используемое для доступа к веб-интерфейсу администрирования Isilon. Например, isilon.example.com
2. Просмотрите сведения о безопасности веб-страницы. Действия будут различаться в зависимости от браузера. В некоторых браузерах нужно нажать на значок с замком в адресной строке, чтобы просмотреть сведения о безопасности веб-страницы.
3. В сведениях о безопасности веб-страницы проверьте правильность строки темы и других сведений. Отобразится вывод, аналогичный следующему, где <yourstate>, <yourcity> и <ваша компания> — это штат, город и название вашей организации:

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com

• Из командной строки:

1. Установите соединение по протоколу SSH с узлом и войдите в систему с помощью учетной записи root.
2. Выполните следующую команду:

echo QUIT | openssl s_client -connect localhost:8080

3. Отобразится вывод, аналогичный следующему, где <yourstate>, <yourcity> и <your company> — это штат, город и название вашей организации:

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com