Dell PowerEdge: импорт внешнего пользовательского сертификата и закрытого ключа в iDRAC

Предпосылка

Начиная с iDRAC6, можно создать сертификат с использованием PKI и импортировать сертификаты в iDRAC.  Это позволяет лучше контролировать процесс создания сертификатов и автоматизировать эти процессы.  И наконец, этот процесс можно использовать для создания и импорта сертификата с подстановочными знаками в iDRAC.  Использование подстановочных знаков не является передовой практикой, однако для создания любого внешнего сертификата можно также использовать процесс создания сертификата с подстановочными знаками.

 

Содержание:

1. Создание сертификата с помощью OpenSSL
2. Создание закрытого ключа и подпись сертификата
3. Загрузка сертификата в iDRAC

Для импорта сертификата SSL потребуется закрытый ключ и подписанный сертификат для этого ключа.  Сертификаты могут быть предоставлены сторонним разработчиком или созданы автоматически.  Вот простейший пример процесса создания сертификата с использованием OpenSSL в среде Windows:

1. Закрытый ключ OpenSSL и сертификат для использования в качестве центра сертификации

Установка должна выполняться в качестве центра сертификации.  Это позволит выпустить или подписать запрос сертификата.  Ниже преиведены необходимые шаги.

1. Создание закрытого ключа ЦС:
   • Необходимо ввести пароль для закрытого ключа.  Он потребуется позже, поэтому запомните его.

 bin>openssl.exe genrsa -aes256 -out keys/ca.key 2048

1. Создание сертификата ЦС с использованием созданного ключа:
   • Вам будет предложено ввести сведения о сертификате.  К ним относятся распространенное имя и данные о местоположении.  Самое важное поле здесь — это распространенное имя.  Оно будет использоваться для идентификации ЦС и отражено в сертификате.  Как правило, оно должно соответствовать имени, по которому будет осуществляться доступ к системе (например, DNS-имя хоста).  Это поле выделено на снимке экрана ниже.

bin>openssl.exe req -config openssl.conf -new -x509 -days 3650 -key keys/ca.key -out certs/ca.cer

Теперь, когда для центра сертификации доступен закрытый ключ и сертификат, мы можем создать закрытый ключ и CSR для iDRAC, а затем подписать этот запрос, используя сертификат центра сертификации.

 

2. Создание закрытого ключа, запроса подписи сертификата и сертификата для веб-сервисов iDRAC

Для iDRAC необходимо иметь ключ и подписанный сертификат для импорта в веб-сервисы.  Мы можем использовать OpenSSL для достижения этих целей.

1. Во-первых, необходимо создать закрытый ключ и запрос на подпись сертификата (CSR), который затем можно подписать, используя сертификат ЦС.  Ключ и CSR можно создать на одном шаге.
   1. Необходимо указать сведения о сертификате.  Распространенное имя для этого сертификата должно совпадать с именем, по которому будет осуществляться доступ к iDRAC. Выделено ниже
   2. Также обратите внимание, что для создаваемого закрытого ключа необходимо ввести кодовую фразу. Выделено ниже

bin>openssl.exe req -new -config openssl.conf -newkey rsa:2048  -nodes -keyout idrac.key -out idrac.csr

2. Затем созданный сертификат должен быть подписан центром сертификации.

bin>openssl.exe ca -policy policy_anything -config openssl.conf -cert certs/ca.cer -in requests/idrac_web.csr -keyfile keys/ca.key -days 365 -out certs/idrac_web.cer

3. Теперь у нас есть необходимые компоненты для загрузки в iDRAC.  Первый из них — закрытый ключ (idrac_web.key), а второй — подписанный сертификат (idrac_web.cer). 
   
    

3. Загрузка сертификата в iDRAC

С помощью закрытого ключа и пары сертификатов можно загрузить ключ и сертификат в iDRAC. * Обратите внимание, что для следующих шагов мы скопировали закрытый ключ и сертификат в корневой каталог диска C, чтобы упростить доступ и сократить длину команд.

1. Сначала необходимо загрузить сертификат.
   1. Используем дистанционную команду «racadm» с интерактивной опцией.

racadm -r 10.14.177.107 -i sslkeyupload -t 1 -f C:\idrac_web.key

1. После загрузки ключа необходимо загрузить сертификат.  Для этого используется следующая команда:

racadm -r 10.14.177.107 -i sslcertupload -t 1 -f c:\idrac_web.cer

1. После восстановления веб-интерфейса необходимо проверить сертификат.  Это можно сделать, открыв веб-интерфейс в любом браузере, а затем проверив сертификат.  Вы должны видеть, что сертификат отражает настроенное распространенное имя и выдан распространенным именем, настроенным в вашем ЦС: