Skip to main content
Sign Out

Welcome to Dell

My Account
  • Place orders quickly and easily
  • View orders and track your shipping status
  • Enjoy members-only rewards and discounts
  • Create and access a list of your products
Sign In Create an Account Dell Financial Services Premier Sign In Partner Program Sign In
Contact Us

Your Dell.com Carts

Isilon: PowerScale: OneFS: Isilon 웹 관리 인터페이스에 사용되는 SSL 인증서를 교체 또는 갱신하는 방법

Summary: OneFS 웹 관리 인터페이스용 SSL 인증서를 갱신하거나 교체하는 단계입니다.

This article applies to   This article does not apply to 
Check out resources for

Instructions

참고: 이 문서의 명령은 Isilon Cluster에서만 사용할 수 있습니다. 외부 Linux 서버와 함께 사용하기 위한 것이 아닙니다.
 
참고: Isilon은 인증서를 자동 갱신하지 않습니다. Isilon Cluster에서 이 문서의 단계에 따라 수동으로 갱신해야 합니다.


소개

이 문서에서는 Isilon 웹 관리 인터페이스의 SSL(Secure Sockets Layer) 인증서를 교체 또는 갱신하는 방법에 대해 설명합니다. 다음 절차에는 자체 서명된 인증서 교체 또는 갱신을 완료하거나 CA(Certificate Authority)에 SSL 교체 또는 갱신을 요청하는 옵션이 포함됩니다.


필수 툴 또는 기술

이 작업을 완료하려면 Isilon 웹 관리 인터페이스에 액세스하기 위한 URL이 있어야 합니다. (이 문서의 예에서는 https://isilon.example.com:8080/에서 제공하는 최신 버전)으로 업데이트합니다. 또한 명령줄에서 명령을 실행하는 데에도 익숙해야 합니다.


필수 구성 요소

참조 정보
다음 목록에는 의 기본 위치가 포함되어 있습니다. server.crt 및 server.key OneFS 7.0.x 및 OneFS 8.0.0의 파일 x입니다. 다음 절차에서 설치된 OneFS 버전에 대해 이 정보와 일치하도록 단계를 업데이트합니다.

OneFS 7.0.x 이상
  • SSL 인증서:
/usr/local/apache24/conf/ssl.crt/server.crt
  • SSL 인증서 키:
/usr/local/apache24/conf/ssl.key/server.key
OneFS 8.0.1.x 이상
  1. 아래 명령을 실행하여 인증서 목록을 가져옵니다.
isi certificate server list
  1. 원래 인증서 및 키의 백업을 저장합니다(OneFS 7.0.x - 8.0.0.x에만 해당).
    1. 클러스터의 노드에서 SSH 연결을 열고 "root" 계정을 사용하여 로그인합니다.
    2. 다음 명령을 실행하여 백업 위치를 생성하고 원래 키와 인증서를 저장합니다.
mkdir -p /ifs/data/Isilon_Support/original_ssl_backup 
cp /usr/local/apache24/conf/ssl.crt/server.crt /ifs/data/Isilon_Support/original_ssl_backup 
cp /usr/local/apache24/conf/ssl.key/server.key /ifs/data/Isilon_Support/original_ssl_backup 


절차

로컬 작업 디렉토리를 만듭니다. 
mkdir /ifs/local
cd /ifs/local
기존 인증서를 갱신할 것인지 아니면 처음부터 인증서를 만들 것인지 확인합니다.
  • 자체 서명된 기존 인증서를 갱신합니다.
기존(재고)을 기반으로 하는 갱신 인증서가 생성됩니다. ssl.key명령을 입력합니다. 다음 명령을 실행하여 2년 인증서를 생성합니다. 만료 날짜가 다른 인증서를 생성하려면 -days 값을 늘리거나 줄입니다. 
cp /usr/local/apache2/conf/ssl.key/server.key ./ ; openssl req -new -days 730 -nodes -x509 -key server.key -out server.crt
시스템 메시지에 조직에 적합한 정보로 답변하여 자체 서명된 SSL 인증서를 생성하는 프로세스를 완료합니다.

예를 들면 다음과 같습니다. 
Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:Washington
Locality Name (eg, city) []:Seattle
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Isilon
Organizational Unit Name (eg, section) []:Support
Common Name (e.g. server FQDN or YOUR name) []:isilon.example.com
Email Address []:support@example.com
정보 입력이 완료되면 server.csr 및 server.key 파일이 표시되는 위치 /ifs/local directory명령을 입력합니다.
  • (선택 사항) 인증서의 무결성 및 특성을 확인합니다.
openssl x509 -text -noout -in server.crt
이 단계 후에는 이 문서의 클러스터에 인증서 추가 섹션으로 이동합니다.
  • 인증서 및 키를 생성합니다.
이 절차에서는 새 개인 키 및 SSL 인증서를 만드는 방법을 보여 줍니다. 다음 명령을 실행하여 RSA 2048-bit 개인 키: 
openssl genrsa -out server.key 2048
인증서 서명 요청을 생성합니다. 
openssl req -new -nodes -key server.key -out server.csr
조직에 적합한 정보를 입력합니다. 
Country Name (2 letter code) [AU]:
State or Province Name (full name) [Some-State]:
Locality Name (eg, city) []:
Organization Name (eg, company) [Internet Widgits Pty Ltd]:
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:
Email Address []:
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:
  • (선택 사항) Subject-Alternative-Names를 포함하는 인증 기관에 대한 CSR을 생성합니다. 추가 DNS가 필요한 경우 쉼표 (,) 를 사용하여 추가할 수 있습니다. 예를 들면 다음과 같습니다. DNS:example.com,DNS:www.example.com)
openssl req -new -nodes -key server.key -out server.csr -reqexts SAN -config <(cat /etc/ssl/openssl.cnf <(printf "[SAN]\nsubjectAltName=DNS:example.com"))
메시지가 표시되면 인증서 요청에 통합할 정보를 입력합니다. 정보 입력이 완료되면 server.csr 및 server.key 파일이 표시되는 위치 /ifs/local directory명령을 입력합니다.

인증서를 자체 서명할지 또는 CA(Certificate Authority)에서 서명할지 확인합니다.
  • SSL 인증서를 자체 서명합니다.
키를 사용하여 인증서에 자체 서명하려면 아래 명령을 실행하여 2년 동안 유효한 자체 서명된 인증서를 새로 만듭니다. 
openssl x509 -req -days 730 -in server.csr -signkey server.key -out server.crt
키가 인증서와 일치하는지 확인합니다. 두 명령 모두 동일한 MD5 값을 반환해야 합니다. 
openssl x509 -noout -modulus -in server.crt | openssl md5           
openssl rsa -noout -modulus -in server.key | openssl md5
이 단계 후에는 이 문서의 클러스터에 인증서 추가 섹션으로 이동합니다.
  • CA를 통해 인증서에 서명합니다.
CA가 인증서에 서명하는 경우 새 SSL 인증서가 x509 형식이고 전체 인증서 신뢰 체인을 포함하는지 확인합니다.

CA는 새 SSL 인증서, 중간 인증서 및 루트 인증서를 별도의 파일로 반환하는 것이 일반적입니다.

CA에서 이 작업을 수행한 경우 PEM 형식의 인증서를 수동으로 생성 해야 합니다 .

PEM 형식의 인증서를 만들 때는 순서가 중요합니다. 인증서는 파일의 맨 위에 있어야 하고, 그 다음에 중간 인증서가 있어야 하며, 루트 인증서는 맨 아래에 있어야 합니다.

다음은 PEM 형식 파일의 예입니다. 
-----BEGIN CERTIFICATE-----
<The contents of your new TLS certificate>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the intermediate certificate>
<Repeat as necessary for every intermediate certificate provided by your CA>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<The contents of the root certificate file>
-----END CERTIFICATE-----
CLI에서 PEM 형식의 파일을 생성하는 간단한 방법은 파일을 cat하는 것입니다(파일 순서가 중요함). 
cat CA_signed.crt intermediate.crt root.crt > onefs_pem_formatted.crt
를 복사합니다. onefs_pem_formatted.crt 파일을 -> /ifs/local directory 이름을 다음과 같이 바꿉니다. server.crt명령을 입력합니다.
 
참고: .cer 파일을 받으면 .crt 확장명으로 이름을 바꿉니다.
 
  • (선택 사항) 인증서의 무결성 및 특성을 확인합니다.
openssl x509 -text -noout -in server.crt


클러스터에 인증서를 추가합니다.

OneFS 7.0.x-8.0.1.x의 경우:
  1. 각 노드에 새 인증서와 키를 설치합니다.
isi services -a isi_webui disable
chmod 640 server.key
chmod 640 server.crt
isi_for_array -s 'cp /ifs/local/server.key /usr/local/apache2/conf/ssl.key/server.key'
isi_for_array -s 'cp /ifs/local/server.crt /usr/local/apache2/conf/ssl.crt/server.crt'
isi services -a isi_webui enable
  1. 오래되었거나 사용되지 않은 인증서가 있는 경우 8.0으로 업그레이드가 완료된 후 삭제합니다. OneFS 8.0.1.x 이상에서 5단계의 지침을 따릅니다.

OneFS 8.0.1.x 이상:
  1. 새 인증서 및 키를 시스템으로 가져옵니다.
isi certificate server import /ifs/local/server.crt /ifs/local/server.key
  1. 인증서를 성공적으로 가져왔는지 확인합니다.
isi certificate server list -v
  1. 가져온 인증서를 기본값으로 설정합니다.
  • OneFS 8.0 및 8.1의 경우 명령은 다음과 같습니다.
isi certificate server modify --id=<id_of_cert_to_set_as_default> --default
  • OneFS 8.2 이상의 경우 명령은 다음과 같습니다.
isi certificate settings modify --default-https-certificate=<id_of_cert_to_set_as_default>
  1. 아래 명령을 사용해 "Default HTTPS Certificate" 상태를 확인하여 가져온 인증서가 기본값으로 사용되고 있는지 확인합니다.
isi certificate settings view
  1. 사용되지 않거나 오래된 인증서가 있는 경우 다음 명령을 사용하여 삭제합니다.
isi certificate server delete --id=<id_of_cert_to_delete>
  1. 다음 명령을 사용하여 가져온 새 인증서를 봅니다.
isi certificate server view --id=<id_of_cert>
 
참고: 포트 8081 및 8083은 여전히 SSL에 대해 로컬 디렉토리의 인증서를 사용합니다. 포트 8081 및 8083에 새 인증서를 사용하려면 아래 단계를 수행합니다.
  
isi services -a isi_webui disable
chmod 640 server.key
chmod 640 server.crt
isi_for_array -s 'cp /ifs/local/server.key /usr/local/apache2/conf/ssl.key/server.key'
isi_for_array -s 'cp /ifs/local/server.crt /usr/local/apache2/conf/ssl.crt/server.crt'
isi services -a isi_webui enable


확인

업데이트된 SSL 인증서를 확인하는 방법은 두 가지입니다.
  • 웹 브라우저에서:
  1. 다음으로 이동 https://<common name>:8080여기서 <common name> 은 Isilon 웹 관리 인터페이스에 액세스하는 데 사용되는 호스트 이름입니다. 예를 들어 다음과 같습니다. isilon.example.com
  2. 웹 페이지의 보안 세부 정보를 봅니다. 이 작업을 수행하는 단계는 브라우저에 따라 다릅니다. 일부 브라우저에서는 주소 표시줄의 자물쇠 아이콘을 클릭하여 웹 페이지의 보안 세부 정보를 확인합니다.
  3. 웹 페이지의 보안 세부 정보에서 제목 줄과 기타 세부 정보가 올바른지 확인합니다. 다음과 유사한 출력이 표시 <되는데, 여기서 yourstate>, <yourcity>, <your company> 는 조직의 주, 도시, 이름입니다.
Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com
  • 명령줄에서 다음을 수행합니다.
  1. 클러스터의 노드에서 SSH 연결을 열고 "root" 계정을 사용하여 로그인합니다.
  2. 다음 명령을 실행합니다.
echo QUIT | openssl s_client -connect localhost:8080
  1. 다음과 유사한 출력이 표시됩니다. 여기서 <yourstate>, <yourcity>, <your company> 는 조직의 시/도, 구/군/시 이름입니다.
Subject: C=US, ST=<yourstate>, L=<yourcity>, O=<yourcompany>, CN=isilon.example.com/emailAddress=support@example.com

Additional Information

참고: 이벤트 알림은 아래와 같이 Isilon에서도 트리거됩니다. 
SW_CERTIFICATE_EXPIRING: X.509 certificate default is nearing expiration:

Event: 400170001
Certificate 'default' in '**' store is nearing expiration:

Affected Products

PowerScale OneFS

Products

Isilon