Isilon：PowerScale：OneFS：Isilon Web管理者インターフェイスで使用されるSSL証明書の交換方法または更新方法

 

概要

この記事では、Isilon Web管理インターフェイスのSecure Sockets Layer (SSL)証明書を交換する方法または更新する方法について説明します。次の手順には、自己署名証明書の交換または更新を実施するオプション、または認証局(CA)からSSLの交換または更新をリクエストするオプションが含まれます。

必要なツールまたはスキル

このタスクを完了するには、Isilon Web管理インターフェイスにアクセスするためのURLが必要です。(この記事の例では、 https://isilon.example.com:8080/）。また、コマンド ラインでコマンドを実行することもできます。

前提条件

参考情報
次のリストに、 server.crt と server.key ファイル(OneFS 7.0.xおよびOneFS 8.0.0)にあります。xです。次の手順では、インストールされているOneFSのバージョンに合わせて、この情報と一致するように手順を更新します

OneFS 7.0.x以降

• SSL証明書：

/usr/local/apache24/conf/ssl.crt/server.crt

• SSL証明書キー：

/usr/local/apache24/conf/ssl.key/server.key

OneFS 8.0.1.x以降

1. 次のコマンドを実行して、証明書のリストを取得します。

isi certificate server list

2. 元の証明書とキーのバックアップを保存します(OneFS 7.0.xから8.0.0.xのみ)。
   1. クラスター内の任意のノードでSSH接続を開き、「root」アカウントを使用してログインします。
   2. 次のコマンドを実行してバックアップの場所を作成し、元のキーと証明書を保存します。

mkdir -p /ifs/data/Isilon_Support/original_ssl_backup 
cp /usr/local/apache24/conf/ssl.crt/server.crt /ifs/data/Isilon_Support/original_ssl_backup 
cp /usr/local/apache24/conf/ssl.key/server.key /ifs/data/Isilon_Support/original_ssl_backup 

手順

ローカルの作業ディレクトリーを作成します。

mkdir /ifs/local
cd /ifs/local

既存の証明書を更新するか、証明書を最初から作成するかを確認します。

• 既存の自己署名証明書を更新します。

cp /usr/local/apache2/conf/ssl.key/server.key ./ ; openssl req -new -days 730 -nodes -x509 -key server.key -out server.crt

Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:Washington
Locality Name (eg, city) []:Seattle
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Isilon
Organizational Unit Name (eg, section) []:Support
Common Name (e.g. server FQDN or YOUR name) []:isilon.example.com
Email Address []:support@example.com

• （オプション）証明書の整合性と属性を検証します。

openssl x509 -text -noout -in server.crt

• 証明書およびキーの作成。

openssl genrsa -out server.key 2048

openssl req -new -nodes -key server.key -out server.csr

Country Name (2 letter code) [AU]:
State or Province Name (full name) [Some-State]:
Locality Name (eg, city) []:
Organization Name (eg, company) [Internet Widgits Pty Ltd]:
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:
Email Address []:
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

• （オプション）サブジェクト代替名を含めて認証局のCSRを生成します。追加のDNSが必要な場合は、コンマ (,) を使用して追加できます。次に例を示します。DNS:example.com、DNS:www.example.com）

openssl req -new -nodes -key server.key -out server.csr -reqexts SAN -config <(cat /etc/ssl/openssl.cnf <(printf "[SAN]\nsubjectAltName=DNS:example.com"))

• SSL証明書を自己署名する。

openssl x509 -req -days 730 -in server.csr -signkey server.key -out server.crt

openssl x509 -noout -modulus -in server.crt | openssl md5           
openssl rsa -noout -modulus -in server.key | openssl md5

• 証明書の署名をCAに実行させる。

-----BEGIN CERTIFICATE-----
<The contents of your new TLS certificate>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the intermediate certificate>
<Repeat as necessary for every intermediate certificate provided by your CA>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the root certificate file>
-----END CERTIFICATE-----

cat CA_signed.crt intermediate.crt root.crt > onefs_pem_formatted.crt

   

• （オプション）証明書の整合性と属性を検証します。

openssl x509 -text -noout -in server.crt

証明書をクラスターに追加します。

OneFS 7.0.xから8.0.1.xの場合:

1. 各ノードに新しい証明書とキーをインストールします。

isi services -a isi_webui disable
chmod 640 server.key
chmod 640 server.crt
isi_for_array -s 'cp /ifs/local/server.key /usr/local/apache2/conf/ssl.key/server.key'
isi_for_array -s 'cp /ifs/local/server.crt /usr/local/apache2/conf/ssl.crt/server.crt'
isi services -a isi_webui enable

2. 古い証明書や未使用の証明書がある場合は、8.0へのアップグレードが完了したら削除します。「OneFS 8.0.1.x以降」の手順5の手順に従います。

OneFS 8.0.1.x以降の場合:

1. 新しい証明書とキーをシステムにインポートします。

isi certificate server import /ifs/local/server.crt /ifs/local/server.key

2. 証明書が正常にインポートされたことを確認します。

isi certificate server list -v

3. インポートされた証明書をデフォルトとして設定します。

• OneFS 8.0および8.1の場合、コマンドは次のとおりです。

isi certificate server modify --id=<id_of_cert_to_set_as_default> --default

• OneFS 8.2以降の場合、コマンドは次のとおりです。

isi certificate settings modify --default-https-certificate=<id_of_cert_to_set_as_default>

4. 次のコマンドを使用して、「デフォルトHTTPS証明書」のステータスを確認して、インポートされた証明書がデフォルトとして使用されていることを確認します。

isi certificate settings view

5. 未使用または古い証明書がある場合は、次のコマンドを使用して削除します。

isi certificate server delete --id=<id_of_cert_to_delete>

6. 次のコマンドを使用して、新しくインポートされた証明書を表示します。

isi certificate server view --id=<id_of_cert>

 

isi services -a isi_webui disable
chmod 640 server.key
chmod 640 server.crt
isi_for_array -s 'cp /ifs/local/server.key /usr/local/apache2/conf/ssl.key/server.key'
isi_for_array -s 'cp /ifs/local/server.crt /usr/local/apache2/conf/ssl.crt/server.crt'
isi services -a isi_webui enable

確認

更新されたSSL証明書を確認する場合、2つの方法があります。

• Webブラウザーから:

1. 参照先 https://<common name>:8080ここで <共通名> は、Isilon Web管理インターフェイスへのアクセスに使用されるホスト名です。例 isilon.example.com
2. Webページのセキュリティ詳細を表示します。これを行う手順はブラウザーによって異なります。一部のブラウザーでは、アドレス バーにある南京錠のアイコンをクリックして、Webページのセキュリティ詳細を表示します。
3. Webページのセキュリティ詳細で、件名およびその他の詳細が正しいことを確認します。組織の都道府県><市区町村>、<<会社>が都道府県、市区町村、および組織の名前である場合、次のような出力が表示されます。

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com

• コマンド ラインから:

1. クラスター内の任意のノードでSSH接続を開き、「root」アカウントを使用してログインします。
2. 次のコマンドを実行します。

echo QUIT | openssl s_client -connect localhost:8080

3. 次のような出力が表示されます。この場合、 <yourstate>、 <yourcity>、および <your company> は、組織の都道府県、市区町村、および組織名です。

Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com

SW_CERTIFICATE_EXPIRING: X.509 certificate default is nearing expiration:

Event: 400170001
Certificate 'default' in '**' store is nearing expiration: