Dell PowerEdge : Importer un certificat personnalisé et une clé privée créés en externe dans l’iDRAC

Informations

Depuis l’iDRAC6, il est possible de créer un certificat utilisant l’infrastructure à clé publique et d’importer des certificats dans les iDRAC.  Cela permet de mieux contrôler le processus de création de certificat et d’automatiser ces processus.  Enfin, ce processus peut être utilisé pour créer et importer un certificat générique dans l’iDRAC.  D’un point de vue sécuritaire, l’utilisation d’un certificat générique n’est pas la meilleure des pratiques. Toutefois, le processus utilisé pour créer n’importe quel certificat externe peut également être appliqué pour un certificat générique.

 

Sommaire

1. Création de certificats à l’aide d’OpenSSL
2. Création de clés privées et signature de certificats
3. Téléchargement de certificats dans l’iDRAC

Pour importer le certificat SSL, vous aurez besoin d’une clé privée et d’un certificat signé pour cette clé.  Les certificats peuvent être fournis par un tiers ou générés automatiquement.  Voici un exemple rudimentaire de processus de création de certificat utilisant OpenSSL dans un environnement Windows :

1. Clé privée et certificat OpenSSL à utiliser en tant qu’autorité de certification

L’installation devra servir d’autorité de certification.  Cela va nous permettre d’émettre ou de signer une demande de certificat.  Voici les étapes :

1. Création de la clé privée de l’autorité de certification :
   • Vous devrez fournir un mot de passe pour la clé privée.  Vous en aurez besoin plus tard, alors ne l’oubliez pas.

 bin>openssl.exe genrsa -aes256 -out keys/ca.key 2048

1. Création du certificat d’autorité de certification en utilisant la clé créée :
   • Vous serez invité à renseigner plus d’informations sur le certificat.  Il s’agit notamment du nom commun et des données d’emplacement.  Le champ le plus important ici est le nom commun.  Il sert à identifier l’autorité de certification et sera reflété dans le certificat.  En général, il doit correspondre au nom via lequel le système sera accessible (nom d’hôte DNS, par exemple).  Ce champ est encadré sur la capture d’écran ci-dessous.

bin>openssl.exe req -config openssl.conf -new -x509 -days 3650 -key keys/ca.key -out certs/ca.cer

Maintenant qu’une clé privée et un certificat sont disponibles pour une autorité de certification, nous pouvons créer une clé privée et une demande de signature de certificat (CSR) pour l’iDRAC, puis signer cette demande en utilisant notre certificat d’autorité de certification.

 

2. Création de la clé privée, de la demande de signature de certificat et du certificat pour les services Web de l’iDRAC

Pour l’iDRAC, nous devons disposer d’une clé et d’un certificat signé à importer dans les services Web.  Nous pouvons utiliser OpenSSL pour y parvenir.

1. Tout d’abord, nous devons créer une clé privée et une demande de signature de certificat (CSR) que nous pouvons ensuite signer en utilisant le certificat d’autorité de certification.  La clé et la CSR peuvent être créées à la même étape :
   1. Vous devrez renseigner les détails du certificat.  Le nom commun de ce certificat doit correspondre au nom utilisé pour accéder à l’iDRAC. Encadré dessous.
   2. Notez également que vous devez inclure une phrase secrète pour la clé privée créée. Encadré dessous.

bin>openssl.exe req -new -config openssl.conf -newkey rsa:2048  -nodes -keyout idrac.key -out idrac.csr

2. Le certificat que nous avons créé doit ensuite être signé par l’autorité de certification.

bin>openssl.exe ca -policy policy_anything -config openssl.conf -cert certs/ca.cer -in requests/idrac_web.csr -keyfile keys/ca.key -days 365 -out certs/idrac_web.cer

3. Nous disposons désormais des éléments nécessaires pour procéder au téléchargement sur l’iDRAC.  Le premier est la clé privée (idrac_web.key) et le second est le certificat signé (idrac_web.cer). 
   
    

3. Téléchargement du certificat dans l’iDRAC

Avec une paire clé privée/certificat, nous pouvons télécharger la clé et le certificat sur l’iDRAC. *Veuillez noter que pour les étapes suivantes, nous avons copié la clé privée et le certificat à la racine du lecteur C pour faciliter l’accès et réduire la longueur des commandes.

1. Tout d’abord, nous devons télécharger le certificat :
   1. Nous utilisons la commande racadm à distance avec l’option interactive.

racadm -r 10.14.177.107 -i sslkeyupload -t 1 -f C:\idrac_web.key

1. Une fois la clé téléchargée, nous devons télécharger le certificat.  La commande correspondante est la suivante :

racadm -r 10.14.177.107 -i sslcertupload -t 1 -f c:\idrac_web.cer

1. Une fois l’interface Web revenue, nous devons vérifier notre certificat.  Pour ce faire, accédez à l’interface Web dans n’importe quel navigateur, puis inspectez le certificat.  Vous devriez voir que le certificat reflète le nom commun configuré et qu’il est émis par le nom commun configuré dans votre autorité de certification :