Dell PowerEdge: Cómo importar un certificado personalizado y una clave privada creados externamente en iDRAC

Información preliminar

A partir de iDRAC6, se puede crear un certificado que aproveche la PKI e importe certificados a los iDRAC.  Permite tener más control sobre el proceso de creación de certificados y automatizar estos procesos.  Por último, este proceso se puede aprovechar para crear e importar un certificado comodín en iDRAC.  Desde un punto de vista de seguridad, el uso de un comodín no forma parte de las prácticas recomendadas; sin embargo, el proceso utilizado para crear cualquier certificado externo también se puede aprovechar para un certificado comodín.

 

Tabla de contenido

1. Creación de certificados mediante OpenSSL
2. Creación de clave privada y firma de certificado
3. Cargar certificado en iDRAC

A fin de importar el certificado SSL, necesitará una clave privada y un certificado firmado para esa clave.  Los certificados pueden ser proporcionados por otros fabricantes o generados automáticamente.  Este es un ejemplo rudimentario del proceso de creación de certificados que utiliza OpenSSL en un entorno de Windows:

1. Certificado y clave privada de OpenSSL para su uso como autoridad de certificación

Esta instalación deberá funcionar como una autoridad de certificación.  Esto nos permitirá emitir o firmar una solicitud de certificado.  A continuación se indican esos pasos:

1. Creación de la clave privada de CA:
   • Deberá proporcionar una contraseña para la clave privada.  Esta será necesaria más adelante, así que recuérdela.

 bin>openssl.exe genrsa -aes256 -out keys/ca.key 2048

1. Creación del certificado de CA mediante el aprovechamiento de la clave creada:
   • Se le solicitarán detalles del certificado.  Como el nombre común y los datos de ubicación.  El campo más importante aquí es Common Name.  Esto afecta a la identidad de CA y se reflejará en el certificado.  Por lo general, deberá coincidir con el nombre con el cual accederá al sistema (como el nombre de host del DNS).  Este campo está destacado en la captura de pantalla que aparece a continuación.

bin>openssl.exe req -config openssl.conf -new -x509 -days 3650 -key keys/ca.key -out certs/ca.cer

Ahora que una autoridad de certificación puede usar una clave privada y un certificado, podemos crear una clave privada y una CSR para iDRAC y luego firmar esta solicitud aprovechando nuestro certificado de autoridad de certificación.

 

2. Creación de la clave privada, la solicitud de firma de certificado y el certificado de los servicios web de iDRAC

En el caso de iDRAC, necesitaremos tener una clave y un certificado firmado para importar a los servicios web.  Podemos aprovechar OpenSSL para conseguirlo.

1. En primer lugar, tendremos que crear una clave privada y una solicitud de firma de certificado (CSR) que luego podemos firmar si aprovechamos el certificado de CA.  La clave y la CSR se pueden crear en el mismo paso:
   1. Tendrá que completar los detalles del certificado.  El nombre común de este certificado debe coincidir con el nombre con el que accederemos a iDRAC. Se encuentra destacado a continuación
   2. Además, deberá incluir una frase de contraseña para la clave privada que se creará. Se encuentra destacado a continuación

bin>openssl.exe req -new -config openssl.conf -newkey rsa:2048  -nodes -keyout idrac.key -out idrac.csr

2. Luego, la autoridad de certificación debe firmar el certificado que creamos.

bin>openssl.exe ca -policy policy_anything -config openssl.conf -cert certs/ca.cer -in requests/idrac_web.csr -keyfile keys/ca.key -days 365 -out certs/idrac_web.cer

3. Ahora tenemos los componentes necesarios para cargar en iDRAC.  El primero es la clave privada (idrac_web.key) y el segundo es el certificado firmado (idrac_web.cer). 
   
    

3. Cargar certificado en iDRAC

Con un par de clave privada y certificado, podemos cargar la clave y el certificado en iDRAC. * Tenga en cuenta que, en los siguientes pasos, se copió la clave privada y el certificado en la raíz de la unidad C para facilitar el acceso y disminuir la extensión de los comandos.

1. En primer lugar, debemos cargar el certificado:
   1. Se aprovechó el comando racadm remoto con la opción interactiva.

racadm -r 10.14.177.107 -i sslkeyupload -t 1 -f C:\idrac_web.key

1. Con la clave cargada, debemos cargar el certificado.  El siguiente es el comando para realizar esto:

racadm -r 10.14.177.107 -i sslcertupload -t 1 -f c:\idrac_web.cer

1. Cuando se pueda volver a utilizar la interfaz web, debemos verificar nuestro certificado.  Esto se puede hacer si accedemos a la interfaz web en cualquier navegador y, luego inspeccionamos el certificado.  Se debería ver que el certificado refleja el nombre común configurado y lo emite el nombre común configurado en la CA: