Storage Foundation and High Availability 7.4 設定およびアップグレードガイド- Solaris

クライアントノードで証明書を手動設定するには

1. 証明書を格納するディレクトリを作成します。

   # mkdir -p /var/VRTSvxfen/security/keys /var/VRTSvxfen/security/certs

   メモ:

   クライアントノードで openssl ユーティリティが利用できない場合もあるため、SSH を使って CP サーバーにアクセスしてクライアントキーまたは証明書を CP サーバーで生成し、各ノードに証明書をコピーすることを推奨します。

2. クライアントノードの専用キーを生成します。

   # /usr/bin/openssl genrsa -out client_private.key 2048

3. クラスタのクライアント CSR を生成します。CN はクライアントのクラスタの UUID です。

   # /usr/bin/openssl req -new -key -sha256 client_private.key\

   -subj '/C=countryname/L=localityname/OU=COMPANY/CN=CLUS_UUID'\

   -out client_192.168.1.201.csr

   ここで、countryname は国番号 、localityname は市、COMPANY は会社名、CLUS_UUID は証明書の名前です。

4. CA キーと CA 証明書を使ってクライアント証明書を生成します。CP サーバーからこのコマンドを実行します。

   # /usr/bin/openssl x509 -req -days days -sha256 -in client_192.168.1.201.csr\

   -CA /var/VRTScps/security/certs/ca.crt -CAkey\

   /var/VRTScps/security/keys/ca.key -set_serial 01 -out client_192.168.10.1.crt

   ここで、days は希望する証明書の有効日数、192.168.1.201 は CP サーバーの VIP または FQHN です。

5. クライアントキー、クライアント証明書、CA 証明書を各クライアントノードの次の場所にコピーします。

   クライアントキーは /var/VRTSvxfen/security/keys/client_private.key にコピーします。クライアントはすべてのクライアントノードで共通なので一度だけしか生成する必要はありません。

   クライアント証明書を /var/VRTSvxfen/security/certs/client_192.168.1.201.crt にコピーします。

   CA 証明書を /var/VRTSvxfen/security/certs/ca_192.168.1.201.crt にコピーします。

   メモ:

   証明書とキーをすべてのノードのこの手順で示した場所にコピーします。

6. クライアントノードが FQHN またはホスト名を使用して CP サーバーにアクセスする必要がある場合は、生成した証明書のコピーを作成し、VIP を FQHN またはホスト名で置き換えます。これらの証明書をすべてのノードにコピーするようにしてください。
7. すべての CP サーバーに対して同じ手順を行います。
8. 各クライアントノードにキーと証明書をコピーしたら、CP サーバーのクライアントキーおよびクライアント証明書を削除します。