Dell PowerEdge: Importowanie utworzonego zewnętrznie niestandardowego certyfikatu i klucza prywatnego do iDRAC

Tło

Począwszy od iDRAC6, można było utworzyć certyfikat wykorzystujący infrastrukturę PKI i zaimportować certyfikaty do kontrolerów iDRAC.  Pozwala to mieć większą kontrolę nad procesem tworzenia certyfikatu i zautomatyzować te procesy.  Wreszcie, ten proces może być wykorzystany do utworzenia i zaimportowania certyfikatu symboli wieloznacznych do iDRAC.  Z punktu widzenia bezpieczeństwa używanie symboli wieloznacznych nie jest najlepszą praktyką, jednak proces używany do tworzenia wszystkich certyfikatów zewnętrznych można również wykorzystać do certyfikatu symboli wieloznacznych.

 

Spis treści

1. Tworzenie certyfikatu przy użyciu OpenSSL
2. Tworzenie klucza prywatnego i podpisywanie certyfikatu
3. Przesyłanie certyfikatu w iDRAC

W celu zaimportowania certyfikatu SSL potrzebny będzie klucz prywatny i podpisany certyfikat dla tego klucza.  Certyfikaty mogą być dostarczane przez strony trzecie lub generowane automatycznie.  Oto podstawowy przykład procesu tworzenia certyfikatu wykorzystującego OpenSSL w środowisku Windows:

1. Klucz prywatny i certyfikat OpenSSL do użytku jako instytucja certyfikująca (CA)

Instalacja musi działać jako instytucja certyfikująca.  Pozwoli to nam na wydanie lub podpisanie wniosku o certyfikat.  Oto te czynności:

1. Tworzenie klucza prywatnego CA:
   • Konieczne będzie podanie hasła do klucza prywatnego.  Będzie potrzebne później, więc należy je zapamiętać.

 bin>openssl.exe genrsa -aes256 -out keys/ca.key 2048

1. Tworzenie certyfikatu CA z wykorzystaniem utworzonego klucza:
   • Zostanie wyświetlony monit o szczegółowe informacje na temat certyfikatu.  Należą do nich nazwy wspólne i dane lokalizacji.  Najważniejsze pole to nazwa wspólna.  Przechodzi ona do tożsamości CA i będzie odzwierciedlona w certyfikacie.  Zazwyczaj musi ona być zgodna z nazwą, według której będzie uzyskiwać dostęp do systemu (na przykład nazwa hosta DNS).  To pole wyróżniono na poniższym zrzucie ekranu.

bin>openssl.exe req -config openssl.conf -new -x509 -days 3650 -key keys/ca.key -out certs/ca.cer

Teraz, gdy klucz prywatny i certyfikat są dostępne do użycia dla instytucji certyfikującej, możemy utworzyć klucz prywatny i CSR dla iDRAC, a następnie podpisać ten wniosek przy użyciu certyfikatu instytucji certyfikującej.

 

2. Tworzenie klucza prywatnego, wniosku podpisania certyfikatu i certyfikatu dla usług internetowych iDRAC

W przypadku kontrolera iDRAC musimy mieć klucz i podpisany certyfikat, aby zaimportować go do usług internetowych.  Możemy wykorzystać OpenSSL do realizacji tych celów.

1. Najpierw musimy utworzyć klucz prywatny i wniosek o podpisanie certyfikatu (CSR), który możemy następnie podpisać, korzystając z certyfikatu CA.  Klucz i CSR można utworzyć w tym samym kroku:
   1. Konieczne będzie wypełnienie szczegółów certyfikatu.  Nazwa wspólna tego certyfikatu powinna być zgodna z nazwą, według której będziemy uzyskiwać dostęp do idrac. Wyróżniono poniżej
   2. Należy również pamiętać o dołączeniu hasła do utworzonego klucza prywatnego. Wyróżniono poniżej

bin>openssl.exe req -new -config openssl.conf -newkey rsa:2048  -nodes -keyout idrac.key -out idrac.csr

2. Następnie utworzony certyfikat musi zostać podpisany przez instytucję certyfikującą.

bin>openssl.exe ca -policy policy_anything -config openssl.conf -cert certs/ca.cer -in requests/idrac_web.csr -keyfile keys/ca.key -days 365 -out certs/idrac_web.cer

3. Mamy teraz niezbędne komponenty do przesłania do iDRAC.  Pierwszy z nich to klucz prywatny (idrac_web.key), a drugi to podpisany certyfikat (idrac_web.cer). 
   
    

3. Przesyłanie certyfikatu w iDRAC

Za pomocą pary klucza prywatnego i certyfikatu możemy przesłać klucz i certyfikat do iDRAC. * Należy pamiętać, że dla poniższych kroków skopiowałem klucz prywatny i certyfikat do katalogu głównego dysku C w celu ułatwienia dostępu i zmniejszenia długości poleceń.

1. Najpierw należy przesłać certyfikat:
   1. Korzystałem z polecenia zdalnego racadm z opcją interaktywną.

racadm -r 10.14.177.107 -i sslkeyupload -t 1 -f C:\idrac_web.key

1. Po przesłaniu klucza musimy przesłać certyfikat.  Polecenie do tego jest następujące:

racadm -r 10.14.177.107 -i sslcertupload -t 1 -f c:\idrac_web.cer

1. Po powrocie interfejsu sieciowego musimy zweryfikować nasz certyfikat.  Można to zrobić, przechodząc do interfejsu sieciowego w dowolnej przeglądarce, a następnie sprawdzając certyfikat.  Powinna być widoczna informacja, że certyfikat odzwierciedla skonfigurowane nazwy wspólne i jest wydany przez nazwę wspólną skonfigurowaną w CA: