<book_title> を検索 ...

Cluster Server 8.0.2 設定およびアップグレードガイド - Linux

Last Published: 2023-07-18

Product(s): InfoScale & Storage Foundation (8.0.2)

Platform: Linux

クライアントノードにおけるクライアントキーと証明書の手動による生成

HTTPS を使用して CP サーバーに接続しようとするクライアントノードには専用キーおよび CP サーバーの CA （認証局）によって署名された証明書が必要です。

クライアントはその専用キーと証明書を使用して CP サーバーとの接続を確立します。キーと証明書はノードの事前定義済みの場所にある必要があります。各クライアントには 1 つのクライアント証明書、および各 CP サーバーごとに 1 つの CA 証明書があります。そのため証明書ファイルは特定の命名規則に従っている必要があります。個別の証明書名は、クライアントノードが特定の CP サーバーに接続するときに cpsadm コマンドがどの証明書を使う必要があるのかを識別する上で助けになります。

証明書の名前は次のようにします。ca_cps-vip.crt および client _cps-vip.crt

ここで、cps-vip は /etc/vxfenmode ファイルにリストされている CP サーバーの VIP または FQHN です。たとえば、サンプル VIP の 192.168.1.201 に対応する証明書名は ca_192.168.1.201 です。

クライアントノードで証明書を手動設定するには

証明書を格納するディレクトリを作成します。
# mkdir -p /var/VRTSvxfen/security/keys /var/VRTSvxfen/security/certs
メモ:
クライアントノードで openssl ユーティリティが利用できない場合もあるため、SSH を使って CP サーバーにアクセスしてクライアントキーまたは証明書を CP サーバーで生成し、各ノードに証明書をコピーすることを推奨します。
クライアントノードの専用キーを生成します。
# /opt/VRTSperl/non-perl-libs/bin/openssl genrsa -out client_private.key 2048
クラスタのクライアント CSR を生成します。CN はクライアントのクラスタの UUID です。
# /opt/VRTSperl/non-perl-libs/bin/openssl req -new -key -sha256 client_private.key\
-subj '/C=countryname/L=localityname/OU=COMPANY/CN=CLUS_UUID'\
-out client_192.168.1.201.csr
ここで、countryname は国番号、localityname は市、COMPANY は会社名、CLUS_UUID は証明書の名前です。
CA キーと CA 証明書を使ってクライアント証明書を生成します。CP サーバーからこのコマンドを実行します。
# /opt/VRTSperl/non-perl-libs/bin/openssl x509 -req -days days -sha256 -in client_192.168.1.201.csr\
-CA /var/VRTScps/security/certs/ca.crt -CAkey\
/var/VRTScps/security/keys/ca.key -set_serial 01 -out client_192.168.10.1.crt
ここで、days は希望する証明書の有効日数、192.168.1.201 は CP サーバーの VIP または FQHN です。
クライアントキー、クライアント証明書、CA 証明書を各クライアントノードの次の場所にコピーします。
クライアントキーは /var/VRTSvxfen/security/keys/client_private.key にコピーします。クライアントはすべてのクライアントノードで共通なので一度だけしか生成する必要はありません。
クライアント証明書を /var/VRTSvxfen/security/certs/client_192.168.1.201.crt にコピーします。
CA 証明書を /var/VRTSvxfen/security/certs/ca_192.168.1.201.crt にコピーします。
メモ:
証明書とキーをすべてのノードのこの手順で示した場所にコピーします。
クライアントノードが FQHN またはホスト名を使用して CP サーバーにアクセスする必要がある場合は、生成した証明書のコピーを作成し、VIP を FQHN またはホスト名で置き換えます。これらの証明書をすべてのノードにコピーするようにしてください。
すべての CP サーバーに対して同じ手順を行います。
各クライアントノードにキーと証明書をコピーしたら、CP サーバーのクライアントキーおよびクライアント証明書を削除します。