Dell PowerEdge: Como importar no iDRAC um certificado personalizado e uma chave privada criados externamente

Informações gerais

Desde o iDRAC6, é possível criar um certificado utilizando a PKI e importar os certificados nos iDRACs.  Com isso, há mais controle sobre o procedimento de criação de certificados. Além disso, os processos ficam automatizados.  Por fim, esse procedimento pode ser utilizado para criar e importar um certificado curinga no iDRAC.  Do ponto de vista de segurança, o uso do curinga não é uma prática recomendada. No entanto, o processo usado para criar qualquer certificado externo também pode ser aproveitado para um certificado curinga.

 

Sumário

1. Criação de certificados usando OpenSSL
2. Criação de chaves privadas e assinatura de certificados
3. Carregamento de certificados no iDRAC

Para importar o certificado SSL, você precisará de uma chave privada e de um certificado assinado para essa chave.  Os certificados podem ser fornecidos por terceiros ou gerados automaticamente.  Aqui está um exemplo rudimentar do processo de criação de certificados usando OpenSSL, em um ambiente Windows:

1. Chave privada do OpenSSL e certificado para o uso como autoridade de certificação

A instalação precisará funcionar como uma autoridade de certificação.  Isso permitirá emitir ou assinar a solicitação de certificado.  Estas são as etapas:

1. Criando a chave privada de CA:
   • Você precisará fornecer uma senha para a chave privada.  Guarde essa senha, pois ela será necessária posteriormente.

 bin>openssl.exe genrsa -aes256 -out keys/ca.key 2048

1. Criando o certificado de CA por meio da chave gerada:
   • Você precisará fornecer detalhes sobre o certificado.  Entre eles, o nome comum e os dados de localização.  O campo mais importante aqui é o de nome comum.  Esse nome vai para a identidade da CA e será refletido no certificado.  Normalmente, ele precisará corresponder ao nome com o qual o sistema será acessado (por exemplo, o nome do host DNS).  Esse campo está realçado na captura de tela abaixo.

bin>openssl.exe req -config openssl.conf -new -x509 -days 3650 -key keys/ca.key -out certs/ca.cer

Agora que uma chave privada e um certificado estão disponíveis para uso com uma autoridade de certificação, podemos criar uma chave privada e uma CSR para o iDRAC e, em seguida, assinar essa solicitação usando o nosso certificado de autoridade de certificação.

 

2. Criando a chave privada, a solicitação de assinatura de certificado e o certificado para os serviços da Web do iDRAC

Para o iDRAC, precisaremos importar uma chave e um certificado assinado nos serviços da Web.  Podemos usar o OpenSSL para fazer isso.

1. Primeiro, precisaremos criar uma chave privada e uma solicitação de assinatura de certificado (CSR) para podermos assinar o certificado de CA.  A chave e a CSR podem ser criadas na mesma etapa:
   1. Você terá que preencher os detalhes do certificado.  O nome comum para esse certificado deve corresponder ao nome que está sendo usado para acessar o iDRAC. Esse campo está realçado abaixo
   2. Além disso, você precisará incluir uma frase secreta para a chave privada que será criada. Esse campo está realçado abaixo

bin>openssl.exe req -new -config openssl.conf -newkey rsa:2048  -nodes -keyout idrac.key -out idrac.csr

2. Em seguida, o certificado que criamos precisa ser assinado pela autoridade de certificação.

bin>openssl.exe ca -policy policy_anything -config openssl.conf -cert certs/ca.cer -in requests/idrac_web.csr -keyfile keys/ca.key -days 365 -out certs/idrac_web.cer

3. Agora, temos os componentes necessários para fazer o carregamento no iDRAC.  O primeiro deles é a chave privada (idrac_web.key) e o segundo é o certificado assinado (idrac_web.cer). 
   
    

3. Carregamento de certificados no iDRAC

Com uma chave privada e um par de certificados, podemos carregar a chave e o certificado no iDRAC. Observe que, para as etapas a seguir, copiei a chave privada e o certificado na raiz da unidade C para facilitar o acesso e diminuir o comprimento dos comandos.

1. Primeiro, precisamos carregar o certificado:
   1. Eu usei o comando racadm remoto com a opção interativa.

racadm -r 10.14.177.107 -i sslkeyupload -t 1 -f C:\idrac_web.key

1. Com a chave carregada, precisamos carregar o certificado.  O comando para isso é:

racadm -r 10.14.177.107 -i sslcertupload -t 1 -f c:\idrac_web.cer

1. Depois que a interface Web voltar, precisaremos verificar o nosso certificado.  Isso pode ser feito acessando a interface Web em qualquer navegador e inspecionando o certificado.  Você deve ver que o certificado reflete o nome comum configurado e é emitido pelo nome comum configurado em sua CA: