Comment installer des certificats TLS/SSL dans NetApp ONTAP

HTTPS est la méthode standard pour les communications Internet qui transmettent des données sensibles. Le protocole TLS est l'épine dorsale de HTTPS, chiffrant les connexions afin que les informations transmises ne puissent pas être interceptées ou modifiées.

HTTPS doit également être utilisé avec les applications web locales qui transmettent des données sensibles. Cela inclut les serveurs NetApp, puisque les applications externes et les utilisateurs doivent s'authentifier, autoriser et transférer des données avec le système d'exploitation NetApp ONTAP. Cela nécessite qu'un certificat numérique de type « serveur » soit installé au niveau du cluster ou de la machine virtuelle de stockage (SVM).

Lorsqu'un cluster NetApp ou SVM est créé, un certificat serveur auto-signé est automatiquement créé et installé pour activer l'authentification serveur SSL. Cependant, il est fortement recommandé d'installer un certificat signé par une Autorité de Certification (CA) de confiance pour une sécurité renforcée.

Cet article de blog explique comment installer un certificat signé par une autorité de certification et configurer votre cluster ou SVM pour l'utiliser. (NetApp peut vous aider à request a CA-signed certificate.)

Installation de certificats TLS sur un cluster ONTAP ou SVM

Notez que les commandes d'exemple ci-dessous sont au niveau SVM mais peuvent facilement être appliquées au niveau du cluster. De plus, elles concernent les certificats « serveur » mais peuvent également être utilisées pour installer des certificats « client-ca » pour des communications ONTAP sécurisées avec des serveurs d'applications externes.

Il convient également de noter que le terme « SSL » est toujours couramment utilisé bien que le protocole SSL ait été déprécié depuis longtemps au profit de son successeur, le protocole TLS.

Avant de commencer, assurez-vous d'avoir les clés publiques et privées du certificat à portée de main. N'oubliez pas qu'il est essentiel de garder toutes les clés privées en sécurité — toute clé privée compromise représente un grand risque pour la sécurité et devra être révoquée et remplacée rapidement.

Pour installer un certificat et configurer votre cluster ou SVM pour l'utiliser, suivez les étapes suivantes :

1. Connectez-vous en SSH à l'interface CLI du cluster et exécutez la commande suivante :

      security certificate install -vserver <svm_name> -type server
      

2. Lorsque cela vous sera demandé, collez la clé publique et appuyez sur ENTRÉE ; puis collez la clé privée et appuyez de nouveau sur ENTRÉE. Assurez-vous d'inclure tout le texte de chaque clé, y compris “—–BEGIN CERTIFICATE—–” et “—–END CERTIFICATE—–”.

3. Ensuite, pour trouver le nouveau certificat, affichez les informations concernant les certificats serveur sur le cluster ou le SVM :

      security certificate show -vserver <svm_name> -type server
The output should look like the following, which shows a self-signed certificate:
      

      Vserver    Serial Number   Certificate Name                       Type
---------- --------------- -------------------------------------- ------------
dpi_svm    <cert_serial_num>
                           dpi_svm_1625F0D07A496E63               server
    Certificate Authority: dpi_svm
          Expiration Date: Wed Jul 28 14:27:01 2021

      

4. Vous aurez besoin du numéro de série, du nom commun et des propriétés de l'AC du certificat. Si vous devez afficher plus d'informations pour un certificat spécifique, exécutez la commande suivante :

      security certificate show -serial <cert_serial_number> -instance
      

5. Vous pouvez maintenant utiliser ces informations pour modifier le paramètre d'authentification SSL du cluster ou du SVM afin qu'il utilise le certificat que vous avez installé :

      security ssl modify -vserver <svm_name> -server-enabled true -serial <cert_serial_number> -commonname <cert_common_name> -ca <cert_certificate_authority>
      

6. Lorsque cela vous sera demandé, vous pouvez continuer à installer des certificats racines ou intermédiaires si nécessaire pour votre chaîne de certificats. Si vous avez des doutes sur ce processus ou votre chaîne, reportez-vous à votre Autorité de Certification.

7. Dans la plupart des cas, saisissez « n » pour terminer l'installation du certificat. Cependant, si un avertissement concernant un certificat auto-signé apparaît mais que c'est ce que vous souhaitez utiliser, saisissez « y » pour continuer.

8. Pour vérifier que le certificat est associé au paramètre d'authentification du serveur du cluster ou du SVM, exécutez cette commande :

      security ssl show -vserver <svm_name> -instance
      

La valeur de « SSL Server Authentication Enabled » doit être « true », et le numéro de série du certificat attendu doit être affiché

      Vserver: dpi_svm
                   Server Certificate Issuing CA: dpi_svm
                Server Certificate Serial Number: <cert_serial_num>
                  Server Certificate Common Name: dpi_svm
               SSL Server Authentication Enabled: true
Certificate installation and SSL server auth configuration are now complete, and the cluster or SVM now supports network communication as a server via HTTPS.
      

Comment Netwrix peut-il aider ?

Netwrix StealthAUDIT est livré avec un magasin de certificats racines qui comprend de nombreuses autorités de certification reconnues et de confiance, ce qui simplifie le processus de communication une fois qu'un certificat de serveur signé par une CA correspondante a été installé sur les clusters NetApp et les SVM dans le réseau.

De plus, Netwrix StealthAUDIT vous permettra de :

• Identifiez les vulnérabilités que les attaquants pourraient exploiter pour compromettre vos systèmes informatiques et accéder à vos données.
• Identifiez rapidement et efficacement des failles de sécurité supplémentaires en évaluant les niveaux de patch du système.
• Appliquez des politiques de sécurité et opérationnelles grâce à l'analyse de la baseline configuration.
• Auditez et gouvernez les comptes privilégiés.
• Prouvez la conformité plus facilement avec des rapports préétablis et une transparence complète du système.