PowerScale OneFS: замена или обновление SSL-сертификата для веб-администрирования Isilon

Введение

В этой статье объясняется, как заменить или обновить сертификат Secure Sockets Layer (SSL) для веб-интерфейса администрирования Isilon. Следующие процедуры включают в себя варианты замены или обновления самозаверяющего сертификата или запроса на замену или обновление SSL в источнике сертификации.

Необходимые инструменты и навыки

Для выполнения этой задачи необходимо иметь URL-адрес для доступа к веб-интерфейсу администрирования Isilon. (В примерах, приведенных в этой статье, используется адрес https://isilon.example.com:8080/.) https://isilon.example.com:8080/.) Также удобно будет выполнять команды из командной строки.

Предварительные условия

Справочная информация
В следующих списках указаны местоположения по умолчанию для server.crt и server.key Файлы: В последующих процедурах адаптируйте действия так, чтобы они соответствовали установленной версии OneFS.

Получите список сертификатов, выполнив следующую команду:

isi certificate server list 

Процедура

Создайте локальный рабочий каталог.

mkdir /ifs/local
cd /ifs/local

Подтвердите обновление существующего сертификата или создание сертификата с нуля.

• Обновление существующего самозаверяющего сертификата.Создание
  сертификата продления на основе существующего (на складе). ssl.key. Для создания сертификата на два года выполните следующую команду. Увеличьте или уменьшите количество дней, чтобы создать сертификат с другой датой истечения срока действия.

cp /usr/local/apache2/conf/ssl.key/server.key ./ ; openssl req -new -days 730 -nodes -x509 -key server.key -out server.crt

Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:Washington
Locality Name (eg, city) []:Seattle
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Isilon
Organizational Unit Name (eg, section) []:Support
Common Name (e.g. server FQDN or YOUR name) []:isilon.example.com
Email Address []:support@example.com

• • (Дополнительно) Проверьте целостность и атрибуты сертификата:

openssl x509 -text -noout -in server.crt

• Создание сертификата и ключа.В
  этой процедуре показано, как создать новый закрытый ключ и SSL-сертификат. Для создания пакета поддержки выполните следующую команду: RSA 2048-bit Закрытый ключ:

openssl genrsa -out server.key 2048

openssl req -new -nodes -key server.key -out server.csr

Country Name (2 letter code) [AU]:
State or Province Name (full name) [Some-State]:
Locality Name (eg, city) []:
Organization Name (eg, company) [Internet Widgits Pty Ltd]:
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:
Email Address []:
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

• • (Дополнительно) Создание CSR для источника сертификатов, который включает альтернативное-имя-субъекта. Если требуется дополнительный DNS-сервер, его можно указать через запятую (например:

openssl req -new -nodes -key server.key -out server.csr -reqexts SAN -config <(cat /etc/ssl/openssl.cnf <(printf "[SAN]\nsubjectAltName=DNS:example.com"))

• Чтобы самостоятельно заверить сертификат с помощью ключа, выполните следующую команду, которая создает самозаверяющий сертификат, действительный в течение 2 лет.

openssl x509 -req -days 730 -in server.csr -signkey server.key -out server.crt

openssl x509 -noout -modulus -in server.crt | openssl md5           
openssl rsa -noout -modulus -in server.key | openssl md5

• Получить сертификат от источника сертификатов:
  если сертификат подписывает центр сертификации, убедитесь, что новый сертификат SSL находится в x509 и включает в себя всю цепочку доверия сертификатов.
  
  Обычно ЦС возвращает новый SSL-сертификат, промежуточный сертификат и корневой сертификат в отдельных файлах.
  
  Если CA сделал это , необходимо вручную создать сертификат в формате PEM.
  
  Порядок имеет значение при создании сертификата в формате PEM. Сертификат должен находиться в верхней части файла, за ним следуют промежуточные сертификаты, а корневой сертификат должен быть внизу.
  
  Вот пример того, как выглядит файл в формате PEM:

-----BEGIN CERTIFICATE-----
<The contents of your new TLS certificate>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the intermediate certificate>
<Repeat as necessary for every intermediate certificate provided by your CA>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the root certificate file>
-----END CERTIFICATE-----

cat CA_signed.crt intermediate.crt root.crt > onefs_pem_formatted.crt

Если .cer файлов, переименуйте его в .crt Расширения:

• (Дополнительно) Проверьте целостность и атрибуты сертификата:

openssl x509 -text -noout -in server.crt

Добавьте сертификат в кластер.

1. Импортируйте новый сертификат и ключ в систему:

isi certificate server import /ifs/local/server.crt /ifs/local/server.key

2. Убедитесь, что сертификат успешно импортирован:

isi certificate server list -v

3. Установление импортированного сертификата сертификатом по умолчанию:

isi certificate settings modify --default-https-certificate=<id_of_cert_to_set_as_default>

4. Используйте следующую команду, чтобы подтвердить, что импортированный сертификат используется по умолчанию, подтвердив статус «Сертификат HTTPS по умолчанию». "Default HTTPS Certificate":

isi certificate settings view

5. Если у вас есть неиспользуемый или устаревший сертификат, удалите его с помощью команды:

isi certificate server delete --id=<id_of_cert_to_delete>

6. Просмотрите новый импортированный сертификат с помощью команды:

isi certificate server view --id=<id_of_cert>

Проверка

Существует два способа проверки обновленного SSL-сертификата.

1. Через веб-браузер

1. 1. Перейдите в папку: https://<common name>:8080Где <common name> — имя хоста, используемое для доступа к веб-интерфейсу администрирования Isilon. Например: isilon.example.com
   2. Просмотрите сведения о безопасности веб-страницы. Действия будут различаться в зависимости от браузера. В некоторых браузерах нужно нажать на значок с замком в адресной строке, чтобы просмотреть сведения о безопасности веб-страницы.
   3. В сведениях о безопасности веб-страницы проверьте правильность строки темы и других сведений. Отображается оповещение, подобное следующему. <yourstate>, <yourcity>и <your company> Область, город и название организации:

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com

2. Через командную строку

1. 1. Установите соединение по протоколу SSH с узлом и войдите в систему с помощью учетной записи root. "root" Учетная запись
   2. Выполните следующую команду:

echo QUIT | openssl s_client -connect localhost:8080

1. 3. Отображается оповещение, подобное следующему. <yourstate>, <yourcity>и <your company> Область, город и название организации:

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com