Dell PowerEdge: Sådan importeres et eksternt oprettet brugerdefineret certifikat og en privat nøgle til iDRAC

Baggrund

Fra og med iDRAC6 har det været muligt at oprette et certifikat, der udnytter PKI og importerer certifikater til iDRAC'erne.  Det giver mulighed for at have mere kontrol over certifikatoprettelsesprocessen og giver mulighed for at automatisere disse processer.  Til slut kan denne proces udnyttes til at oprette og importere et wildcard-certifikat til iDRAC.  Fra et sikkerhedsstandpunkt er brugen af wildcard ikke den bedste praksis. Processen, der bruges til at oprette et eksternt certifikat, kan dog også udnyttes til et wildcard-certifikat.

 

Indholdsfortegnelse

1. Oprettelse af certifikat ved hjælp af OpenSSL
2. Oprettelse og certifikatsignering af privat nøgle
3. Upload certifikat i iDRAC

For at importere SSL-certifikatet skal du bruge en privat nøgle og et signeret certifikat til den pågældende nøgle.  Certifikater kan leveres af tredjepart eller genereres automatisk.  Her er et rudimentært eksempel på certifikatoprettelsesprocessen ved hjælp af OpenSSL i et Windows-miljø:

1. OpenSSL Private-nøgle og -certifikat til brug som nøglecenter

Denne installation skal fungere som nøglecenter.  Dette giver os mulighed for at udstede eller underskrive certifikatanmodning.  Her er disse trin:

1. Oprettelse af ca.private-nøglen:
   • Du skal angive en adgangskode til den private nøgle.  Dette vil være nødvendigt senere, så husk dette.

 bin>openssl.exe genrsa -aes256 -out-taster/ca.key 2048

1. Sådan oprettes et nøglecentercertifikat, der udnytter den oprettede nøgle:
   • Du vil blive bedt om at angive oplysninger om certifikatet.  Disse omfatter det fælles navn og placeringsdataene.  Det vigtigste felt her er det almindelige navn.  Dette går til nøglecenterets identitet og vil blive afspejlet i certifikatet.  Dette vil typisk være nødvendigt at matche det navn, hvormed der skal opnås adgang til systemet (f.eks. DNS-værtsnavn).  Dette felt er fremhævet i skærmbilledet nedenfor.

bin>openssl.exe req -config openssl.conf -new -x509 -days 3650 -key keys/ca.key -out certs/ca.cer

Nu, hvor en privat nøgle og et certifikat er tilgængelig til brug for et nøglecenter, kan vi oprette en privat nøgle og CSR til iDRAC og derefter underskrive denne anmodning og anvende vores certifikat for nøglecenter.

 

2. Oprettelse af den private nøgle, anmodning om certifikatsignering og certifikat for iDRAC-webtjenesterne

For iDRAC skal vi have en nøgle og et signeret certifikat for at kunne importere til webtjenesterne.  Vi kan gøre brug af OpenSSL for at nå disse mål.

1. Først skal vi oprette en privat nøgle og en anmodning om certifikatsignering (CSR), som vi kan logge på med nøglecertifikatet.  Nøglen og CSR kan oprettes i samme trin:
   1. Du skal udfylde certifikatoplysningerne.  Det fælles navn for dette certifikat skal stemme overens med det navn, vi vil have adgang til iDRAC med. Fremhævet nedenfor
   2. Bemærk også, at du skal medtage et adgangsord for den private nøgle, der oprettes. Fremhævet nedenfor

bin>openssl.exe req -new -config openssl.conf -newkey rsa:2048 -nodes -keyout idrac.key -out idrac.csr

2. Derefter skal det certifikat, vi oprettede, signeres af nøglecentret.

bin>openssl.exe ca -policy policy_anything -config openssl.conf -cert certs/ca.cer -in requests/idrac_web.csr -keyfile keys/ca.key -days 365 -out certs/idrac_web.cer

3. Vi har nu de nødvendige komponenter til at uploade til iDRAC.  Den første af disse er den private nøgle (idrac_web.key), og den anden af disse er det signerede certifikat (idrac_web.cer). 
   
    

3. Upload certifikat i iDRAC

Med et par med en privat nøgle og certifikat kan vi overføre nøglen og certifikatet til iDRAC. *Bemærk, at jeg kopierede den private nøgle og certifikatet til roden på C-drevet for at gøre det nemmere at få adgang og for at reducere kommandoernes længde.

1. Først skal vi uploade certifikatet:
   1. Jeg udnyttede ekstern racadm-kommando med den interaktive indstilling.

racadm -r 10.14.177.107 -i sslkeyupload -t 1 -f C:\idrac_web.key

1. Når nøglen er uploadet, skal vi uploade certifikatet.  Kommandoen til dette er:

racadm -r 10.14.177.107 -i sslcertupload -t 1 -f c:\idrac_web.cer

1. Når webgrænsefladen er vendt tilbage, skal vi kontrollere vores certifikat.  Dette kan gøres ved at åbne webgrænsefladen i en vilkårlig browser og derefter kontrollere certifikatet.  Du bør se, at certifikatet afspejler det konfigurerede fælles navn og udstedes af det fælles navn, der er konfigureret i dit nøglecenter: