PowerScale OneFS: Isilon 웹 관리를 위한 SSL 인증서 교체 또는 갱신

소개

이 문서에서는 Isilon 웹 관리 인터페이스의 SSL(Secure Sockets Layer) 인증서를 교체 또는 갱신하는 방법에 대해 설명합니다. 다음 절차에는 자체 서명된 인증서 교체 또는 갱신을 완료하거나 CA(Certificate Authority)에 SSL 교체 또는 갱신을 요청하는 옵션이 포함됩니다.

필수 툴 또는 기술

이 작업을 완료하려면 Isilon 웹 관리 인터페이스에 액세스하기 위한 URL이 있어야 합니다. (이 문서의 예에서는 https://isilon.example.com:8080/에서 제공하는 최신 버전)으로 업데이트합니다. 또한 명령줄에서 명령을 실행하는 데에도 익숙해야 합니다.

필수 구성 요소

참조 정보
다음 목록에는 의 기본 위치가 포함되어 있습니다. server.crt 및 server.key 파일. 이어지는 절차에서 설치된 OneFS 버전에 대해 이 정보와 일치하도록 단계를 업데이트합니다.

아래 명령을 실행하여 인증서 목록을 가져옵니다.

isi certificate server list 

절차

로컬 작업 디렉토리를 만듭니다.

mkdir /ifs/local
cd /ifs/local

기존 인증서를 갱신할 것인지 아니면 처음부터 인증서를 만들 것인지 확인합니다.

• 자체 서명된 기존 인증서를 갱신합니다.

cp /usr/local/apache2/conf/ssl.key/server.key ./ ; openssl req -new -days 730 -nodes -x509 -key server.key -out server.crt

Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:Washington
Locality Name (eg, city) []:Seattle
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Isilon
Organizational Unit Name (eg, section) []:Support
Common Name (e.g. server FQDN or YOUR name) []:isilon.example.com
Email Address []:support@example.com

• (선택 사항) 인증서의 무결성 및 특성을 확인합니다.

openssl x509 -text -noout -in server.crt

• 인증서 및 키를 생성합니다.

openssl genrsa -out server.key 2048

openssl req -new -nodes -key server.key -out server.csr

Country Name (2 letter code) [AU]:
State or Province Name (full name) [Some-State]:
Locality Name (eg, city) []:
Organization Name (eg, company) [Internet Widgits Pty Ltd]:
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:
Email Address []:
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

• (선택 사항) Subject-Alternative-Names를 포함하는 인증 기관에 대한 CSR을 생성합니다. 추가 DNS가 필요한 경우 쉼표(,)를 사용하여 추가할 수 있습니다

openssl req -new -nodes -key server.key -out server.csr -reqexts SAN -config <(cat /etc/ssl/openssl.cnf <(printf "[SAN]\nsubjectAltName=DNS:example.com"))

• SSL 인증서를 자체 서명합니다.

openssl x509 -req -days 730 -in server.csr -signkey server.key -out server.crt

openssl x509 -noout -modulus -in server.crt | openssl md5           
openssl rsa -noout -modulus -in server.key | openssl md5

• CA를 통해 인증서에 서명합니다.

-----BEGIN CERTIFICATE-----
<The contents of your new TLS certificate>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the intermediate certificate>
<Repeat as necessary for every intermediate certificate provided by your CA>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the root certificate file>
-----END CERTIFICATE-----

cat CA_signed.crt intermediate.crt root.crt > onefs_pem_formatted.crt

• (선택 사항) 인증서의 무결성 및 특성을 확인합니다.

openssl x509 -text -noout -in server.crt

클러스터에 인증서를 추가합니다.

1. 새 인증서 및 키를 시스템으로 가져옵니다.

isi certificate server import /ifs/local/server.crt /ifs/local/server.key

2. 인증서를 성공적으로 가져왔는지 확인합니다.

isi certificate server list -v

3. 가져온 인증서를 기본값으로 설정합니다.

isi certificate settings modify --default-https-certificate=<id_of_cert_to_set_as_default>

4. 아래 명령을 사용해 "Default HTTPS Certificate" 상태를 확인하여 가져온 인증서가 기본값으로 사용되고 있는지 확인합니다.

isi certificate settings view

5. 사용되지 않거나 오래된 인증서가 있는 경우 다음 명령을 사용하여 삭제합니다.

isi certificate server delete --id=<id_of_cert_to_delete>

6. 다음 명령을 사용하여 가져온 새 인증서를 봅니다.

isi certificate server view --id=<id_of_cert>

확인

업데이트된 SSL 인증서를 확인하는 방법은 두 가지입니다.

• 웹 브라우저에서:

1. 다음으로 이동 https://<common name>:8080여기서 <common name> 은 Isilon 웹 관리 인터페이스에 액세스하는 데 사용되는 호스트 이름입니다. 예를 들어 다음과 같습니다. isilon.example.com
2. 웹 페이지의 보안 세부 정보를 봅니다. 이 작업을 수행하는 단계는 브라우저에 따라 다릅니다. 일부 브라우저에서는 주소 표시줄의 자물쇠 아이콘을 클릭하여 웹 페이지의 보안 세부 정보를 확인합니다.
3. 웹 페이지의 보안 세부 정보에서 제목 줄과 기타 세부 정보가 올바른지 확인합니다. 다음과 유사한 출력이 표시 <되는데, 여기서 yourstate>, <yourcity>, <your company> 는 조직의 주, 도시, 이름입니다.

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com

• 명령줄에서 다음을 수행합니다.

1. 클러스터의 노드에서 SSH 연결을 열고 "root" 계정을 사용하여 로그인합니다.
2. 다음 명령을 실행합니다.

echo QUIT | openssl s_client -connect localhost:8080

3. 다음과 유사한 출력이 표시됩니다. 여기서 <yourstate>, <yourcity>, <your company> 는 조직의 시/도, 구/군/시 이름입니다.

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com