Dell PowerEdge: Harici olarak oluşturulan özel sertifikayı ve özel anahtarı iDRAC'a aktarma

Arka plan

iDRAC6'dan itibaren, PKI'yı kullanan bir sertifika oluşturulabilmekte ve sertifikalar iDRAC'lara aktarılabilmektedir.  Sertifika oluşturma işlemi üzerinde daha fazla kontrol ve bu işlemleri otomatik hale getirme olanağı sağlanmıştır.  Son olarak bu işlem, joker karakter sertifikası oluşturmak ve bunu iDRAC'a aktarmak için kullanılabilir.  Güvenlik açısından bakıldığında joker karakter kullanımı en iyi uygulama değildir; ancak herhangi bir harici sertifika oluşturmak için kullanılan işlem, joker karakter sertifikası için de kullanılabilir.

 

İçindekiler

1. OpenSSL kullanarak sertifika oluşturma
2. Özel anahtar oluşturma ve sertifika imzalama
3. iDRAC'a sertifika yükleme

SSL sertifikasını içe aktarmak için özel bir anahtar ve bu anahtara yönelik imzalı bir sertifika gerekir.  Sertifikalar üçüncü taraf tarafından sağlanabilir veya otomatik olarak oluşturulabilir.  Bir Windows ortamında OpenSSL kullanarak sertifika oluşturma işleminin temel bir örneği aşağıda verilmiştir:

1. Sertifika Yetkilisi olarak kullanmak üzere OpenSSL özel anahtarı ve sertifikası

Yükleme işleminin Sertifika Yetkilisi olarak çalıştırılması gerekir.  Bu, sertifika isteği oluşturmamıza veya bu isteği imzalamamıza olanak sağlar.  Bu adımlar şunlardır:

1. CA özel anahtarı oluşturma:
   • Özel anahtar için bir parola belirlemeniz gerekir.  Daha sonra ihtiyacınız olacağından bu parolayı unutmayın.

 bin>openssl.exe genrsa -aes256 -out keys/ca.key 2048

1. Oluşturulan anahtarı kullanarak CA Sertifikası oluşturma:
   • Sertifikayla ilgili ayrıntılar istenecektir.  Bu ayrıntılara ortak ad ve konum verileri dahildir.  Buradaki en önemli alan Common Name'dir (Ortak Ad).  Bu, CA'nın kimliğinde yer alır ve sertifikaya yansıtılır.  Genellikle bu bilginin sisteme erişen adla (örneğin, DNS ana bilgisayar adı) eşleşmesi gerekir.  Bu alan aşağıdaki ekran görüntüsünde vurgulanmıştır.

bin>openssl.exe req -config openssl.conf -new -x509 -days 3650 -key keys/ca.key -out certs/ca.cer

Sertifika Yetkilisi için özel anahtar ve sertifika artık kullanıma hazır olduğuna göre, iDRAC için özel anahtar ve CSR oluşturabilir ve ardından Sertifika Yetkilisi sertifikamız aracılığıyla bu isteği imzalayabiliriz.

 

2. iDRAC web hizmetleri için özel anahtar, sertifika imzalama isteği ve sertifika oluşturma

iDRAC'ta web hizmetlerine aktarma işlemi için anahtara ve imzalı bir sertifikaya sahip olmamız gerekir.  Bu hedeflere ulaşmak için OpenSSL'yi kullanabiliriz.

1. Öncelikle, CA sertifikasını kullanırken imzalayabilmemiz için bir sertifika imzalama isteği (CSR)ve bir özel anahtar oluşturmamız gerekir.  Anahtar ve CSR aynı adımda oluşturulabilir:
   1. Sertifika ayrıntılarını doldurmanız gerekir.  Bu sertifikanın ortak adı, idrac'a erişirken kullandığımız adla eşleşmelidir. Aşağıda vurgulanmıştır
   2. Ayrıca, oluşturulacak özel anahtar için bir parola da eklemeniz gerekir. Aşağıda vurgulanmıştır

bin>openssl.exe req -new -config openssl.conf -newkey rsa:2048 -nodes -keyout idrac.key -out idrac.csr

2. Ardından, oluşturduğunuz sertifikanın Sertifika Yetkilisi tarafından imzalanması gerekir.

bin>openssl.exe ca -policy policy_anything -config openssl.conf -cert certs/ca.cer -in requests/idrac_web.csr -keyfile keys/ca.key -days 365 -out certs/idrac_web.cer

3. Artık idrac'a yüklemek için gerekli bileşenlere sahibiz.  Bunların ilki özel anahtar (idrac_web.key), ikincisi ise imzalı sertifikadır (idrac_web.cer). 
   
    

3. iDRAC'a sertifika yükleme

Özel anahtar ve sertifika çiftini kullanarak anahtarı ve sertifikayı iDRAC'a yükleyebiliriz. *Aşağıdaki adımlarda, erişim kolaylığı sağlamak ve komutların uzunluğunu azaltmak amacıyla özel anahtar ve sertifikanın C sürücüsünün kök klasörüne kopyalanmış olduğunu lütfen unutmayın.

1. Öncelikle sertifikayı yüklemeniz gerekir:
   1. Etkileşimli seçenekle uzak racadm komutunu kullanıyoruz.

racadm -r 10.14.177.107 -i sslkeyupload -t 1 -f C:\idrac_web.key

1. Anahtar yüklendiğine göre sertifikayı yüklememiz gerekir.  Bunun için şu komutu kullanın:

racadm -r 10.14.177.107 -i sslcertupload -t 1 -f c:\idrac_web.cer

1. Web arayüzü geri yüklendikten sonra sertifikayı doğrulamamız gerekir.  Bu, herhangi bir tarayıcıda web arayüzüne erişerek ve ardından sertifikayı inceleyerek yapılabilir.  Sertifikanın yapılandırılan ortak adı yansıttığını ve CA'nızda yapılandırılan ortak ad ile yayınlandığını görmeniz gerekir: