So installieren Sie TLS/SSL-Zertifikate in NetApp ONTAP

HTTPS ist das Standardverfahren für Internetkommunikation, die sensible Daten überträgt. Das TLS-Protokoll ist das Rückgrat von HTTPS und verschlüsselt Verbindungen, sodass übertragene Informationen nicht abgefangen oder verändert werden können.

HTTPS sollte auch bei lokalen Webanwendungen verwendet werden, die sensible Daten übertragen. Dies betrifft NetApp-Server, da externe Anwendungen und Benutzer sich authentifizieren, autorisieren und Daten mit dem NetApp ONTAP-Betriebssystem austauschen müssen. Dies erfordert, dass ein digitales Zertifikat vom Typ „Server“ auf Cluster- oder Speichervirtualisierungsmaschinen (SVM)-Ebene installiert wird.

Wenn ein NetApp-Cluster oder SVM erstellt wird, wird automatisch ein selbstsigniertes Serverzertifikat erstellt und installiert, um die SSL-Serverauthentifizierung zu ermöglichen. Es wird jedoch dringend empfohlen, ein von einer vertrauenswürdigen Zertifizierungsstelle (CA) signiertes Zertifikat zu installieren, um eine stärkere Sicherheit zu gewährleisten.

Dieser Blogbeitrag erklärt, wie man ein von einer CA signiertes Zertifikat installiert und Ihren Cluster oder SVM so konfiguriert, dass es verwendet wird. (NetApp kann Ihnen dabei helfen, ein request a CA-signed certificate zu beantragen.)

Installation von TLS-Zertifikaten auf einem ONTAP-Cluster oder SVM

Beachten Sie, dass die untenstehenden Beispielbefehle auf der SVM-Ebene sind, aber leicht auf die Cluster-Ebene angewendet werden können. Zusätzlich sind sie für „Server“-Zertifikate, können aber auch zur Installation von „Client-CA“-Zertifikaten für sichere ONTAP-Kommunikation mit externen Anwendungsservern verwendet werden.

Beachten Sie auch, dass der Begriff „SSL“ immer noch häufig verwendet wird, obwohl das SSL-Protokoll zugunsten seines Nachfolgers, des TLS-Protokolls, längst veraltet ist.

Bevor Sie beginnen, stellen Sie sicher, dass Sie die öffentlichen und privaten Schlüssel des Zertifikats zur Hand haben. Denken Sie daran, dass es von entscheidender Bedeutung ist, alle privaten Schlüssel sicher aufzubewahren – jeder kompromittierte private Schlüssel stellt ein großes Sicherheitsrisiko dar und muss umgehend widerrufen und ersetzt werden.

Um ein Zertifikat zu installieren und Ihren Cluster oder SVM für dessen Verwendung zu konfigurieren, führen Sie die folgenden Schritte aus:

1. Stellen Sie über SSH eine Verbindung zur CLI-Schnittstelle des Clusters her und führen Sie den folgenden Befehl aus:

      security certificate install -vserver <svm_name> -type server
      

2. Wenn Sie dazu aufgefordert werden, fügen Sie den öffentlichen Schlüssel ein und drücken Sie die EINGABETASTE; fügen Sie dann den privaten Schlüssel ein und drücken Sie erneut die EINGABETASTE. Stellen Sie sicher, dass Sie den gesamten Text jedes Schlüssels einschließlich „—–BEGIN CERTIFICATE—–“ und „—–END CERTIFICATE—–“ einbeziehen.

3. Als Nächstes, um das neue Zertifikat zu finden, zeigen Sie Informationen über Serverzertifikate auf dem Cluster oder SVM an:

      security certificate show -vserver <svm_name> -type server
The output should look like the following, which shows a self-signed certificate:
      

      Vserver    Serial Number   Certificate Name                       Type
---------- --------------- -------------------------------------- ------------
dpi_svm    <cert_serial_num>
                           dpi_svm_1625F0D07A496E63               server
    Certificate Authority: dpi_svm
          Expiration Date: Wed Jul 28 14:27:01 2021

      

4. Sie benötigen die Seriennummer, den allgemeinen Namen und die CA-Eigenschaften des Zertifikats. Wenn Sie mehr Informationen für ein bestimmtes Zertifikat anzeigen müssen, führen Sie den folgenden Befehl aus:

      security certificate show -serial <cert_serial_number> -instance
      

5. Jetzt können Sie diese Informationen verwenden, um den SSL-Authentifizierungsparameter des Clusters oder SVM zu ändern, sodass er das installierte Zertifikat verwendet:

      security ssl modify -vserver <svm_name> -server-enabled true -serial <cert_serial_number> -commonname <cert_common_name> -ca <cert_certificate_authority>
      

6. Wenn Sie dazu aufgefordert werden, können Sie mit der Installation von Root- oder Zwischenzertifikaten fortfahren, falls dies von Ihrer Zertifikatskette erforderlich ist. Wenn Sie sich bezüglich dieses Vorgangs oder Ihrer Kette unsicher sind, wenden Sie sich an Ihre Zertifizierungsstelle.

7. In den meisten Fällen geben Sie „n“ ein, um die Installation des Zertifikats abzuschließen. Sollten Sie jedoch vor einem selbstsignierten Zertifikat gewarnt werden, aber genau dies beabsichtigen zu verwenden, geben Sie „y“ ein, um fortzufahren.

8. Um zu überprüfen, ob das Zertifikat mit dem Serverauthentifizierungsparameter des Clusters oder des SVM verknüpft ist, führen Sie diesen Befehl aus:

      security ssl show -vserver <svm_name> -instance
      

Der Wert „SSL Server Authentication Enabled“ sollte „true“ sein, und die Seriennummer des erwarteten Zertifikats sollte angezeigt werden

      Vserver: dpi_svm
                   Server Certificate Issuing CA: dpi_svm
                Server Certificate Serial Number: <cert_serial_num>
                  Server Certificate Common Name: dpi_svm
               SSL Server Authentication Enabled: true
Certificate installation and SSL server auth configuration are now complete, and the cluster or SVM now supports network communication as a server via HTTPS.
      

Wie kann Netwrix helfen?

Netwrix StealthAUDIT wird mit einem Stammzertifikatspeicher geliefert, der viele bekannte und vertrauenswürdige Zertifizierungsstellen enthält, was den Kommunikationsprozess vereinfacht, sobald ein entsprechendes von einer CA signiertes Serverzertifikat auf NetApp-Clustern und SVMs im Netzwerk installiert wurde.

Darüber hinaus ermöglicht Ihnen Netwrix StealthAUDIT Folgendes:

• Identifizieren Sie Schwachstellen, die Angreifer ausnutzen könnten, um Ihre IT-Systeme zu kompromittieren und an Ihre Daten zu gelangen.
• Erkennen Sie zusätzliche Sicherheitslücken, indem Sie System-Patch-Levels schnell und effizient bewerten.
• Durchsetzung von Sicherheits- und Betriebsrichtlinien mittels Baseline Configuration Analyse.
• Auditieren und verwalten Sie privilegierte Konten.
• Erweisen Sie Compliance einfacher mit vordefinierten Berichten und vollständiger Systemtransparenz.