Poweredge: Come importare un certificato personalizzato creato esternamente e una chiave privata in iDRAC

Informazioni preliminari

A partire da iDRAC6, è stato possibile creare un certificato sfruttando la PKI e importare i certificati in iDRAC.  Consente di avere un maggiore controllo sul processo di creazione dei certificati e di automatizzare questi processi.  Infine, questo processo può essere sfruttato per creare e importare un certificato jolly in iDRAC.  Dal punto di vista della sicurezza, l'utilizzo di caratteri jolly non è una best practice; Tuttavia, il processo utilizzato per creare qualsiasi certificato esterno può essere utilizzato anche per un certificato jolly.

 

Sommario

1. Creazione di certificati tramite OpenSSL
2. Creazione di chiavi private e firma del certificato
3. Caricare il certificato in iDRAC

Per importare il certificato SSL, sono necessari una chiave privata e un certificato firmato per tale chiave.  I certificati possono essere forniti da terze parti o generati automaticamente.  Di seguito è riportato un esempio rudimentale di processo di creazione dei certificati che utilizza OpenSSL in un ambiente Windows:

1. Chiave privata E certificato OpenSSL da utilizzare come autorità di certificazione

L'installazione di Th1e dovrà funzionare come autorità di certificazione.  In questo modo sarà possibile emettere o firmare una richiesta di certificato.  Di seguito sono riportati i passaggi seguenti:

1. Creazione della chiave privata CA:
   • Sarà necessario fornire una password per la chiave privata.  Questa operazione sarà necessaria in seguito, quindi ricordarlo.

 bin>openssl.exe genrsa -aes256 -out keys/ca.key 2048

1. Creazione del certificato CA utilizzando la chiave creata:
   • Verrà richiesto di informazioni dettagliate sul certificato.  Questi includono il nome comune e i dati sulla posizione.  Il campo più importante qui è il Nome comune.  Questa operazione passa all'identità della CA e verrà riflessa nel certificato.  In genere, questa deve corrispondere al nome in base al quale accederà al sistema (ad esempio, il nome host DNS).  Questo campo è evidenziato nella schermata riportata di seguito.

bin>openssl.exe req -config openssl.conf -new -x509 -days 3650 -key keys/ca.key -out certs/ca.cer

Ora che una chiave privata e un certificato sono disponibili per l'utilizzo per un'autorità di certificazione, è possibile creare una chiave privata e una CSR per iDRAC e quindi firmare questa richiesta utilizzando il certificato dell'autorità di certificazione.

 

2. Creazione della chiave privata, della richiesta di firma del certificato e del certificato per i servizi web di iDRAC

Per iDRAC, sarà necessario disporre di una chiave e un certificato firmato per l'importazione nei servizi web.  Possiamo sfruttare OpenSSL per raggiungere questi obiettivi.

1. In primo luogo, sarà necessario creare una chiave privata e una richiesta di firma del certificato (CSR) che sarà quindi possibile firmare utilizzando il certificato CA.  La chiave e il CSR possono essere creati nello stesso passaggio:
   1. È necessario compilare i dettagli del certificato.  Il nome comune per questo certificato deve corrispondere al nome con cui si accederà a idrac. Evidenziato di seguito
   2. È inoltre necessario includere una passphrase per la chiave privata che viene creata. Evidenziato di seguito

bin>openssl.exe req -new -config openssl.conf -newkey rsa:2048 -nodes -keyout idrac.key -out idrac.csr

2. Successivamente, il certificato creato deve essere firmato dall'autorità di certificazione.

bin>opensl.exe ca -policy policy_anything -config openssl.conf -cert certs/ca.cer -in requests/idrac_web.csr -keyfile keys/ca.key -days 365 -out certs/idrac_web.cer

3. Ora abbiamo i componenti necessari per il caricamento su iDRAC.  Il primo di questi è la chiave privata (idrac_web.key) e il secondo è il certificato firmato (idrac_web.cer). 
   
    

3. Caricare il certificato in iDRAC

Con una chiave privata e una coppia di certificati, è possibile caricare la chiave e il certificato in iDRAC. *Per i seguenti passaggi, ho copiato la chiave privata e il certificato nella radice dell'unità C per semplificare l'accesso e ridurre la lunghezza dei comandi.

1. In primo luogo, è necessario caricare il certificato:
   1. Ho sfruttato il comando racadm remoto con l'opzione interattiva.

racadm -r 10.14.177.107 -i sslkeyupload -t 1 -f C:\idrac_web.key

1. Con la chiave caricata, dobbiamo caricare il certificato.  Il comando per questa operazione è:

racadm -r 10.14.177.107 -i sslcertupload -t 1 -f c:\idrac_web.cer

1. Una volta riattivata l'interfaccia web, è necessario verificare il certificato.  Questa operazione può essere eseguita accedendo all'interfaccia Web in qualsiasi browser e quindi controllando il certificato.  Si dovrebbe notare che il certificato riflette il nome comune configurato ed è emesso dal nome comune configurato nella CA: