PowerScale OneFS: Byt ut eller förnya SSL-certifikatet för Isilon Web Administration

Introduktion

I den här artikeln beskrivs hur du byter ut eller förnyar SSL-certifikatet (Secure Sockets Layer) för Isilon-webbadministrationsgränssnittet. Följande procedurer omfattar alternativ för att slutföra en självsignerad certifikatersättning eller förnyelse, eller för att begära en SSL-ersättning eller -förnyelse från en certifikatutfärdare (CA).

Nödvändiga verktyg eller färdigheter

För att kunna utföra den här uppgiften måste du ha URL-adressen för åtkomst till Isilon-webbadministrationsgränssnittet. (I exemplen i den här artikeln används https://isilon.example.com:8080/.) Du bör också vara bekväm med att köra kommandon från kommandoraden.

Förutsättningar

Referensinformation
Följande listor innehåller standardplatserna för server.crt och server.key filer. I procedurerna som följer uppdaterar du stegen så att de matchar den här informationen för den version av OneFS som är installerad.

Hämta listan över certifikat genom att köra kommandot nedan:

isi certificate server list 

Procedur

Skapa en lokal arbetskatalog.

mkdir /ifs/local
cd /ifs/local

Kontrollera om du vill förnya ett befintligt certifikat eller om du vill skapa ett certifikat från grunden.

• Förnya ett befintligt självsignerat certifikat.

cp /usr/local/apache2/conf/ssl.key/server.key ./ ; openssl req -new -days 730 -nodes -x509 -key server.key -out server.crt

Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:Washington
Locality Name (eg, city) []:Seattle
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Isilon
Organizational Unit Name (eg, section) []:Support
Common Name (e.g. server FQDN or YOUR name) []:isilon.example.com
Email Address []:support@example.com

• (Valfritt) Kontrollera certifikatets integritet och attribut:

openssl x509 -text -noout -in server.crt

• Skapa ett certifikat och en nyckel.

openssl genrsa -out server.key 2048

openssl req -new -nodes -key server.key -out server.csr

Country Name (2 letter code) [AU]:
State or Province Name (full name) [Some-State]:
Locality Name (eg, city) []:
Organization Name (eg, company) [Internet Widgits Pty Ltd]:
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:
Email Address []:
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

• (Valfritt) Generera en CSR för en certifikatutfärdare som innehåller Subject-Alternative-Names. Om ytterligare DNS behövs kan den läggas till med hjälp av ett kommatecken (,)

openssl req -new -nodes -key server.key -out server.csr -reqexts SAN -config <(cat /etc/ssl/openssl.cnf <(printf "[SAN]\nsubjectAltName=DNS:example.com"))

• Signera SSL-certifikatet själv.

openssl x509 -req -days 730 -in server.csr -signkey server.key -out server.crt

openssl x509 -noout -modulus -in server.crt | openssl md5           
openssl rsa -noout -modulus -in server.key | openssl md5

• Skaffa en certifikatutfärdare för att signera certifikatet.

-----BEGIN CERTIFICATE-----
<The contents of your new TLS certificate>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the intermediate certificate>
<Repeat as necessary for every intermediate certificate provided by your CA>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the root certificate file>
-----END CERTIFICATE-----

cat CA_signed.crt intermediate.crt root.crt > onefs_pem_formatted.crt

• (Valfritt) Kontrollera certifikatets integritet och attribut:

openssl x509 -text -noout -in server.crt

Lägg till certifikatet i klustret:

1. Importera det nya certifikatet och nyckeln till systemet:

isi certificate server import /ifs/local/server.crt /ifs/local/server.key

2. Kontrollera att certifikatet har importerats:

isi certificate server list -v

3. Ange det importerade certifikatet som standard:

isi certificate settings modify --default-https-certificate=<id_of_cert_to_set_as_default>

4. Använd kommandot nedan för att bekräfta att det importerade certifikatet används som standard genom att verifiera statusen för "Default HTTPS Certificate":

isi certificate settings view

5. Om det finns ett oanvänt eller inaktuellt certifikat tar du bort detta med kommandot:

isi certificate server delete --id=<id_of_cert_to_delete>

6. Visa det nya importerade certifikatet med kommandot:

isi certificate server view --id=<id_of_cert>

Verifiering

Det finns två metoder för att verifiera det uppdaterade SSL-certifikatet.

• Från en webbläsare:

1. Bläddra till https://<common name>:8080, där <eget namn> är det värdnamn som används för åtkomst till Isilon-webbadministrationsgränssnittet. Till exempel isilon.example.com
2. Visa säkerhetsinformationen för webbsidan. Stegen för att göra detta varierar beroende på webbläsare. I vissa webbläsare klickar du på hänglåsikonen i adressfältet för att visa säkerhetsinformation för webbsidan.
3. Kontrollera att ämnesraden och annan information är korrekta i säkerhetsinformationen för webbsidan. Utdata som liknar följande visas där <yourstate>, <yourcity> och <ditt företag> är delstat, stad och namn på din organisation:

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com

• Från en kommandorad:

1. Öppna en SSH-anslutning på en nod i klustret och logga in med ”rot”-kontot.
2. Kör följande kommando:

echo QUIT | openssl s_client -connect localhost:8080

3. Utdata som liknar följande visas, där <yourstate>, <yourcity> och <ditt företag> är delstat, stad och namn på din organisation:

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com