將UCS伺服器證書配置為CIMC

簡介

本文說明如何產生憑證簽署請求(CSR)以取得新憑證。 

必要條件

需求

思科建議您瞭解以下主題：

• 您必須以具有管理員許可權的使用者身份登入才能配置證書。

• 確保CIMC時間設定為當前時間。

採用元件

本文中的資訊係根據以下軟體和硬體版本：

• CIMC 1.0或更高版本
• Openssl

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

背景資訊

可將憑證上傳到思科整合式管理控制器(CIMC)，以取代目前的伺服器憑證。 伺服器證書可以由公共證書頒發機構(CA)（例如Verisign）簽署，也可以由您自己的證書頒發機構簽署。生成的證書金鑰長度為2048位。

設定

註：必須從CIMC生成的CSR建立上載的證書。不要上載不是由此方法建立的證書。

產生CSR

導覽至Admin索引標籤> Security Management > Certificate Management > Generate Certificate Signing Request(CSR)，並填寫標有*的詳細資訊。

此外，請參閱生成證書簽名請求指南。

注意：使用主體替代名稱為此伺服器指定其他主機名。如果未配置dNSName或者將其從上傳的證書中排除，可能會導致瀏覽器阻止對Cisco IMC介面的訪問。 

下一步要做什麼？

執行以下任務：

• 如果您不想從公共證書頒發機構獲取證書，並且您的組織不運行自己的證書頒發機構，則可以允許CIMC從CSR內部生成自簽名證書並立即將其上傳到伺服器。選中Self Signed Certificate框以執行此任務。

• 如果您的組織運行自己的自簽名證書，請將命令輸出從-----BEGIN ...複製到END CERTIFICATE REQUEST-----，然後貼上到名為csr.txt的檔案中。將CSR檔案輸入到證書伺服器以生成自簽名證書。

• 如果您從公共證書頒發機構獲取證書，請將命令輸出從-----BEGIN ...複製到END CERTIFICATE REQUEST-----，然後貼上到名為csr.txt的檔案中。向證書頒發機構提交CSR檔案以獲取已簽名的證書。確保證書型別為Server。

注意：成功生成證書後，Cisco IMC Web GUI將重新啟動。與管理控制器之間的通訊可能會暫時丟失，需要重新登入。

如果您沒有使用第一個選項(其中CIMC在內部生成並上傳自簽名證書)，則必須建立新的自簽名證書並將其上傳到CIMC。

建立自簽名證書

作為公共CA的替代方案並簽署伺服器證書，請運行您自己的CA並簽署您自己的證書。本節顯示用於建立CA和使用OpenSSL伺服器證書生成伺服器證書的命令。有關OpenSSL的詳細資訊，請參閱OpenSSL。

步驟 1.生成RSA私鑰，如下圖所示。

[root@redhat ~]# openssl genrsa -out ca.key 1024

步驟 2.如圖所示生成新的自簽名證書。

[root@redhat ~]# openssl req -new -x509 -days 1095 -key ca.key -out ca.crt
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:US
State or Province Name (full name) []:California
Locality Name (eg, city) [Default City]:California
Organization Name (eg, company) [Default Company Ltd]:Cisco
Organizational Unit Name (eg, section) []:Cisco
Common Name (eg, your name or your server's hostname) []:Host01
Email Address []:
[root@redhat ~]# 

步驟 3.請確保憑證型別為伺服器，如下圖所示。

[root@redhat ~]# echo "nsCertType = server" > openssl.conf

步驟 4.指示CA使用您的CSR檔案生成伺服器證書，如圖所示。

[root@redhat ~]# openssl x509 -req -days 365 -in csr.txt -CA ca.crt -set_serial 01 -CAkey ca.key -out server.crt -extfile openssl.conf

步驟 5.驗證生成的證書是否為型別 伺服器，如圖所示。

[root@redhat ~]# openssl x509 -in server.crt -purpose 
Certificate purposes:
SSL client : No
SSL client CA : No
SSL server : Yes
SSL server CA : No
Netscape SSL server : Yes
Netscape SSL server CA : No
S/MIME signing : No
S/MIME signing CA : No
S/MIME encryption : No
S/MIME encryption CA : No
CRL signing : Yes
CRL signing CA : No
Any Purpose : Yes
Any Purpose CA : Yes
OCSP helper : Yes
OCSP helper CA : No
Time Stamp signing : No
Time Stamp signing CA : No
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
[root@redhat ~]# 

步驟 6.上傳伺服器憑證，如圖所示。

驗證

使用本節內容，確認您的組態是否正常運作。

導覽至Admin > Certificate Management，然後驗證Current Certificate，如下圖所示。

疑難排解

目前尚無特定資訊可用於排解此組態的疑難問題。

相關資訊

• 思科錯誤ID CSCup26248 — 無法將第三方CA SSL證書上傳到CIMC 2.0。(1a)
• 技術支援與文件 - Cisco Systems