<book_title> を検索 ...

Cluster Server 7.4.3 設定およびアップグレードガイド - Linux

Last Published: 2020-12-25

Product(s): InfoScale & Storage Foundation (7.4.3)

Platform: Linux

CP サーバーのための手動によるキーと証明書の生成

CP サーバーは HTTPS プロトコルを使用してクライアントノードとの安全な通信を確立します。 HTTPS は通信の安全な手段であり、SSL/TLS プロトコルを使用して確立された安全な通信チャネルを介して行われます。

HTTPS は x509 規格の証明書を使用し、PKI（Public Key Infrastructure）に基づいて CP サーバーとクライアント間の安全な通信を確立します。 PKI と同様、CP サーバーとそのクライアントには CA（認証局）によって署名された固有の証明書一式があります。サーバーとそのクライアントは証明書を信頼します。

すべての CP サーバーはそれ自体、およびそのすべてのクライアントノードに対する証明局として機能します。CP サーバーには固有の CA キーと CA 証明書、およびサーバーの専用キーから生成されたサーバー証明書があります。サーバー証明書は CP サーバーの UUID（汎用一意識別子）に対して発行されます。 CP サーバーが応答するすべての IP アドレスまたはドメイン名は CP サーバーのサーバー証明書にある Subject Alternative Name セクションで言及されています。

キーまたは証明書を作成するには CP サーバーに OpenSSL ライブラリがインストールされている必要があります。OpenSSL がインストールされていないと、キーおよび証明書を作成できません。SSL が起動したときにどのキーまたは証明書を CP サーバーで使用するかを決める設定ファイルが vxcps.conf ファイルによって指定されます。設定値は ssl_conf_file に保存されており、デフォルト値は /etc/vxcps_ssl.properties です。

手動で CP サーバーのキーと証明書を生成するには

CP サーバーにセキュリティファイル用のディレクトリを作成します。
# mkdir -p /var/VRTScps/security/keys /var/VRTScps/security/certs
VIP を含む OpenSSL 構成ファイルを生成します。
CP サーバーはこれらの VIP のクライアントノードからの要求に応答します。サーバー証明書には VIP、FQDN、CP サーバーのホスト名が含まれます。クライアントはこれらの値のいずれかを使用することによって CP サーバーにアクセスできます。ただし、クライアントノードが IP アドレスを使って CP サーバーと通信することを推奨します。
設定例では次の値を使用します。
- 設定ファイル名: https_ssl_cert.conf
- VIP: 192.168.1.201
- FQDN: cpsone.company.com
- ホスト名: cpsone
設定ファイルの [alt_names] セクションで使用されている IP アドレス、VIP、FQDN 値はサンプル値です。サンプル値を任意の設定値に置き換えます。設定ファイルのその他の値は変更しないでください。
```
[req]
distinguished_name = req_distinguished_name
req_extensions = v3_req

[req_distinguished_name]
countryName = Country Name (2 letter code)
countryName_default = US
localityName = Locality Name (eg, city)
organizationalUnitName = Organizational Unit Name (eg, section)
commonName = Common Name (eg, YOUR name)
commonName_max = 64
emailAddress = Email Address
emailAddress_max = 40

[v3_req] 
keyUsage = keyEncipherment, dataEncipherment
extendedKeyUsage = serverAuth
subjectAltName = @alt_names

[alt_names]
DNS.1 = cpsone.company.com
DNS.2 = cpsone
DNS.3 = 192.168.1.201 
```
CA 証明書を作成するのに使用される 4096 ビット CA キーを生成します。
キーは /var/VRTScps/security/keys/ca.key に格納する必要があります。キーは偽証明書の作成に誤用され、セキュリティが損なわれる可能性があるので、root ユーザーだけが CA キーにアクセスできるようにしてください。
# /opt/VRTSperl/non-perl-libs/bin/openssl genrsa -out /var/VRTScps/security/keys/ca.key 4096
自己署名の CA 証明書を作成します。
# /opt/VRTSperl/non-perl-libs/bin/openssl req -new -x509 -days days -sha256 -key /var/VRTScps/security/keys/ca.key -subj \
'/C=countryname/L=localityname/OU=COMPANY/CN=CACERT' -out \
/var/VRTScps/security/certs/ca.crt
ここで、days は希望する証明書の有効日数、countryname は国名、localityname は市、CACERT は証明書の名前です。
CP サーバーの 2048 ビットの専用キーを生成します。
キーは /var/VRTScps/security/keys/server_private key に格納する必要があります。
# /opt/VRTSperl/non-perl-libs/bin/openssl genrsa -out \
/var/VRTScps/security/keys/server_private.key 2048
サーバー証明書の CSR（Certificate Signing Request）を生成します。
証明書の CN（Certified Name）は CP サーバーの UUID です。
# /opt/VRTSperl/non-perl-libs/bin/openssl req -new -sha256 -key /var/VRTScps/security/keys/server_private.key \
-config https_ssl_cert.conf -subj \
'/C=CountryName/L=LocalityName/OU=COMPANY/CN=UUID' \
-out /var/VRTScps/security/certs/server.csr
ここで、countryname は国名、localityname は市、 UUID は CN です。
CA のキー証明書を使ってサーバー証明書を生成します。
# /opt/VRTSperl/non-perl-libs/bin/openssl x509 -req -days days -sha256 -in /var/VRTScps/security/certs/server.csr \
-CA /var/VRTScps/security/certs/ca.crt -CAkey \
/var/VRTScps/security/keys/ca.key \
-set_serial 01 -extensions v3_req -extfile https_ssl_cert.conf \
-out /var/VRTScps/security/certs/server.crt
ここで、days は希望する証明書の有効日数、https_ssl_cert.conf は設定ファイル名です。
CP サーバーに必要なキーと証明書の作成が完了しました。
root ユーザー以外のユーザーがキーおよび証明書を見ることができないようにしてください。
CP サーバーの設定を完了します。

詳細情報

CP サーバーの設定の完了