Dell PowerEdge: Så här importerar du ett externt skapat anpassat certifikat och en privat nyckel till iDRAC

Bakgrund

Från och med iDRAC6 har det gått att skapa ett certifikat som utnyttjar PKI och importera certifikat till iDRAC.  Det ger mer kontroll över processen för att skapa certifikat och gör det möjligt att automatisera dessa processer.  Slutligen kan den här processen användas för att skapa och importera ett certifikat med jokertecken till iDRAC.  Från ett säkerhetsstativ är användning av jokertecken inte bästa praxis; Den process som används för att skapa externa certifikat kan emellertid också användas för ett certifikat med jokertecken.

 

Innehållsförteckning

1. Skapa certifikat med hjälp av OpenSSL
2. Skapande av privat nyckel och certifikatsignering
3. Ladda upp certifikat i iDRAC

För att kunna importera SSL-certifikatet behöver du en privat nyckel och ett signerat certifikat för den nyckeln.  Certifikat kan tillhandahållas av tredje part eller genereras automatiskt.  Här är ett exempel på processen för att skapa certifikat med OpenSSL i en Windows-miljö:

1. OpenSSL Private-nyckel och certifikat för användning som certifikatutfärdare

Th1e-installationen måste fungera som certifikatutfärdare.  På så sätt kan vi utfärda eller underteckna en certifikatbegäran.  Så här gör du:

1. Skapa den privata certifikatsnyckeln:
   • Du måste ange ett lösenord för den privata nyckeln.  Detta kommer att behövas senare, så kom ihåg detta.

 bin>openssl.exe genrsa -aes256 -out keys/ca.key 2048

1. Skapa ca-certifikatet med den skapade nyckeln:
   • Du uppmanas att ange mer information om certifikatet.  Här ingår det gemensamma namnet och platsdata.  Det viktigaste fältet här är det vanliga namnet.  Detta beror på certifikatutfärdarnas identitet och återspeglas i certifikatet.  Vanligen måste detta matcha namnet som används för åtkomst till systemet (t.ex. DNS-värdnamnet).  Det här fältet är markerat i skärmbilden nedan.

bin>openssl.exe req -config openssl.conf -new -x509 -days 3650 -key keys/ca.key -out certs/ca.certs/ca.certs

Nu när en privat nyckel och ett certifikat finns att använda för en certifikatutfärdare kan vi skapa en privat nyckel och CSR för iDRAC och sedan signera den här begäran med hjälp av vårt certifikatutfärdarcertifikat.

 

2. Skapa den privata nyckeln, certifikatsigneringsförfrågan och certifikat för iDRAC-webbtjänsterna

För iDRAC måste vi ha en nyckel och ett signerat certifikat som ska importeras till webbtjänsterna.  Vi kan utnyttja OpenSSL för att uppnå dessa mål.

1. Först måste vi skapa en privat nyckel och en CERTIFIKATsigneringsförfrågan (CSR) som vi sedan kan signera med certifikatutfärdarens certifikat.  Nyckeln och CSR kan skapas i samma steg:
   1. Du måste fylla i certifikatinformationen.  Det gemensamma namnet för det här certifikatet ska matcha namnet som vi kommer att få åtkomst till idrac med. Markerat nedan
   2. Observera också att du måste inkludera en lösenfras för den privata nyckeln som skapas. Markerat nedan

bin>openssl.exe req -new -config openssl.conf -newkey rsa:2048 -nodes -keyout idrac.key -out idrac.csr

2. Sedan måste det certifikat som vi skapade signeras av certifikatutfärdare.

bin>openssl.exe ca -policy policy_anything -config openssl.conf -cert certs/ca.cer -in requests/idrac_web.csr -keyfile keys/ca.key -days 365 -out certs/idrac_web.cer

3. Vi har nu de komponenter som krävs för att ladda upp till idrac.  Den första av dessa är den privata nyckeln (idrac_web.key) och den andra är det signerade certifikatet (idrac_web.cer). 
   
    

3. Ladda upp certifikat i iDRAC

Med ett privat nyckel- och certifikatpar kan vi överföra nyckeln och certifikatet till iDRAC. *Observera att i följande steg kopierade jag den privata nyckeln och certifikatet till roten på C-enheten för enkel åtkomst och för att minska längden på kommandona.

1. Först måste vi ladda upp certifikatet:
   1. Jag användes till racadm-fjärrkommando med det interaktiva alternativet.

racadm -r 10.14.177.107 -i sslkeyupload -t 1 -f C:\idrac_web.key

1. När nyckeln har överförts måste vi ladda upp certifikatet.  Kommandot för detta är:

racadm -r 10.14.177.107 -i sslcertupload -t 1 -f c:\idrac_web.cer

1. När webbgränssnittet har kommit tillbaka måste vi verifiera vårt certifikat.  Det kan du göra genom att öppna webbgränssnittet i valfri webbläsare och sedan inspektera certifikatet.  Du bör se att certifikatet återspeglar det konfigurerade vanliga namnet och utfärdas av det vanliga namnet som konfigurerats i certifikatutfärdarens: