PowerScale OneFS: Замініть або поновіть SSL-сертифікат для веб-адміністрації Isilon

Введення

У цій статті пояснюється, як замінити або поновити сертифікат Secure Sockets Layer (SSL) для веб-інтерфейсу адміністрування isilon. Нижче наведено процедури, за допомогою яких можна виконати заміну або поновлення сертифіката, підписаного власним підписом, або надіслати запит на заміну чи поновлення SSL до центру сертифікації (CA).

Необхідні інструменти або навички

Щоб виконати це завдання, у вас повинен бути URL-адреса для доступу до інтерфейсу веб-адміністрування Isilon. (У прикладах у цій статті використовується https://isilon.example.com:8080/.) Вам також має бути зручно виконувати команди з командного рядка.

Передумови

Довідкова інформація
Наступні списки містять розташування за замовчуванням для server.crt і server.key Файли. У наведених нижче процедурах оновіть кроки, щоб вони відповідали цій інформації для інстальованої версії OneFS.

Отримайте список сертифікатів, виконавши команду нижче:

isi certificate server list 

Процедура

Створіть локальну робочу директорію.

mkdir /ifs/local
cd /ifs/local

Перевірте, чи хочете ви поновити наявний сертифікат або створити сертифікат з нуля.

• Поновіть існуючий Сертифікат із власним підписом.

cp /usr/local/apache2/conf/ssl.key/server.key ./ ; openssl req -new -days 730 -nodes -x509 -key server.key -out server.crt

Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:Washington
Locality Name (eg, city) []:Seattle
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Isilon
Organizational Unit Name (eg, section) []:Support
Common Name (e.g. server FQDN or YOUR name) []:isilon.example.com
Email Address []:support@example.com

• (Необов'язково) Перевірте цілісність та атрибути сертифіката:

openssl x509 -text -noout -in server.crt

• Створіть сертифікат і ключ.

openssl genrsa -out server.key 2048

openssl req -new -nodes -key server.key -out server.csr

Country Name (2 letter code) [AU]:
State or Province Name (full name) [Some-State]:
Locality Name (eg, city) []:
Organization Name (eg, company) [Internet Widgits Pty Ltd]:
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:
Email Address []:
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

• (Необов'язково) Створіть CSR для центру сертифікації, який включає Subject-Alternative-Names. Якщо потрібен додатковий DNS, його можна додати за допомогою коми (,)

openssl req -new -nodes -key server.key -out server.csr -reqexts SAN -config <(cat /etc/ssl/openssl.cnf <(printf "[SAN]\nsubjectAltName=DNS:example.com"))

• Самостійно підпишіть SSL-сертифікат.

openssl x509 -req -days 730 -in server.csr -signkey server.key -out server.crt

openssl x509 -noout -modulus -in server.crt | openssl md5           
openssl rsa -noout -modulus -in server.key | openssl md5

• Отримайте ЦС для підписання сертифіката.

-----BEGIN CERTIFICATE-----
<The contents of your new TLS certificate>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the intermediate certificate>
<Repeat as necessary for every intermediate certificate provided by your CA>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the root certificate file>
-----END CERTIFICATE-----

cat CA_signed.crt intermediate.crt root.crt > onefs_pem_formatted.crt

• (Необов'язково) Перевірте цілісність та атрибути сертифіката:

openssl x509 -text -noout -in server.crt

Додайте сертифікат до кластера:

1. Імпортуйте новий сертифікат та ключ у систему:

isi certificate server import /ifs/local/server.crt /ifs/local/server.key

2. Переконайтеся, що сертифікат успішно імпортовано.

isi certificate server list -v

3. Встановіть імпортований сертифікат за замовчуванням:

isi certificate settings modify --default-https-certificate=<id_of_cert_to_set_as_default>

4. Скористайтеся наведеною нижче командою, щоб підтвердити, що імпортований сертифікат використовується за замовчуванням, перевіривши статус «Сертифікат HTTPS за замовчуванням»:

isi certificate settings view

5. Якщо є невикористаний або застарілий сертифікат, видаліть його за допомогою команди:

isi certificate server delete --id=<id_of_cert_to_delete>

6. Перегляньте новий імпортований сертифікат за допомогою команди:

isi certificate server view --id=<id_of_cert>

Верифікація

Існує два методи перевірки оновленого SSL-сертифіката.

• У веб-браузері:

1. Перейдіть до https://<common name>:8080, де <загальне ім'я> – це ім'я хоста, яке використовується для доступу до інтерфейсу веб-адміністрування Isilon. Наприклад isilon.example.com
2. Перегляньте відомості про безпеку веб-сторінки. Кроки для цього залежать від браузера. У деяких браузерах натисніть значок замка в адресному рядку, щоб переглянути відомості про безпеку веб-сторінки.
3. У відомостях про безпеку веб-сторінки перевірте правильність рядка теми та інших даних. Відображається результат, подібний до наведеного нижче, де <ваш штат<>, ваше місто> та <ваша компанія> є штатом, містом та назвою вашої організації:

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com

• З командного рядка:

1. Відкрийте SSH-з'єднання на будь-якому вузлі кластера та авторизуйтесь за допомогою облікового запису "root".
2. Виконайте наступну команду:

echo QUIT | openssl s_client -connect localhost:8080

3. Відображається результат, аналогічний наступному, де <ваш стан>, <ваше місто> та <ваша компанія> є штатом, містом та назвою вашої організації:

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com