NetApp ONTAP에서 TLS/SSL 인증서 설치 방법

HTTPS는 민감한 데이터를 전송하는 인터넷 통신의 표준 방법입니다. TLS 프로토콜은 HTTPS의 기반으로, 전송되는 정보가 가로채지거나 수정되지 않도록 연결을 암호화합니다.

HTTPS는 민감한 데이터를 전송하는 로컬 웹 애플리케이션에도 사용해야 합니다. 여기에는 NetApp 서버가 포함됩니다. 외부 애플리케이션과 사용자는 NetApp ONTAP 운영 체제와 함께 인증, 권한 부여, 데이터 전송을 수행해야 하기 때문입니다. 이를 위해 클러스터 또는 스토리지 가상 머신(SVM) 수준에 “server” 유형의 디지털 인증서를 설치해야 합니다.

NetApp 클러스터 또는 SVM을 생성하면 SSL 서버 인증을 사용하도록 자체 서명된 서버 인증서가 자동으로 생성되어 설치됩니다. 하지만 더 강력한 보안을 위해 신뢰할 수 있는 인증 기관(CA)이 서명한 인증서를 설치하는 것이 적극 권장됩니다.

이 블로그 글에서는 CA가 서명한 인증서를 설치하고 클러스터 또는 SVM이 이를 사용하도록 구성하는 방법을 설명합니다. (NetApp이 CA가 서명한 인증서 요청.)

ONTAP 클러스터 또는 SVM에 TLS 인증서 설치

아래의 예시 명령은 SVM 수준에서 제공되지만 클러스터 수준에도 쉽게 적용할 수 있습니다. 또한 이 명령은 “server” 인증서용이지만 외부 애플리케이션 서버와의 안전한 ONTAP 통신을 위해 “client-ca” 인증서를 설치하는 데도 사용할 수 있습니다.

또한 “SSL”이라는 용어는 여전히 널리 사용되고 있지만, SSL 프로토콜은 오래전부터 후속인 TLS 프로토콜로 대체되어 더 이상 사용되지 않도록 권장되지 않다는 점도 기억하세요.

시작하기 전에 인증서의 공개 키와 개인 키를 준비해 두었는지 확인하세요. 모든 개인 키를 안전하게 보관하는 것이 매우 중요하다는 점을 기억하십시오. 개인 키가 유출(손상)되면 큰 보안 위험이 되며, 즉시 폐기하고 새 키로 교체해야 합니다.

인증서를 설치하고 클러스터 또는 SVM이 이를 사용하도록 구성하려면 다음 단계를 수행하십시오.

1. 클러스터의 CLI 인터페이스로 SSH 접속한 다음 다음 명령을 실행하세요.

      security certificate install -vserver <svm_name> -type server
      

2. 메시지가 표시되면 공개 키를 붙여넣고 ENTER를 누르세요. 그런 다음 개인 키를 붙여넣고 ENTER를 다시 누르세요. “—–BEGIN CERTIFICATE—–” 및 “—–END CERTIFICATE—–”를 포함하여 각 키의 모든 텍스트를 빠짐없이 입력(붙여넣기)해야 합니다.

3. 다음으로, 새 인증서를 찾으려면 클러스터 또는 SVM에서 서버 인증서에 대한 정보를 표시합니다:

      security certificate show -vserver <svm_name> -type server
The output should look like the following, which shows a self-signed certificate:
      

      Vserver    Serial Number   Certificate Name                       Type
---------- --------------- -------------------------------------- ------------
dpi_svm    <cert_serial_num>
                           dpi_svm_1625F0D07A496E63               server
    Certificate Authority: dpi_svm
          Expiration Date: Wed Jul 28 14:27:01 2021

      

4. 인증서에서 일련번호, 공통 이름 및 CA 속성이 필요합니다. 특정 인증서에 대해 더 많은 정보를 표시해야 하는 경우 다음 명령을 실행합니다:

      security certificate show -serial <cert_serial_number> -instance
      

5. 이제 이 정보를 사용하여 클러스터 또는 SVM의 SSL 인증(auth) 파라미터를 수정하면, 설치한 인증서를 사용하도록 설정할 수 있습니다:

      security ssl modify -vserver <svm_name> -server-enabled true -serial <cert_serial_number> -commonname <cert_common_name> -ca <cert_certificate_authority>
      

6. 메시지가 표시되면, 인증서 체인에서 필요로 하는 경우 루트 또는 중간 인증서를 계속 설치할 수 있습니다. 이 과정이나 체인에 대해 확신이 없으면 인증 기관(Certificate Authority)을 참조하십시오.

7. 대부분의 경우 인증서 설치를 완료하려면 “n”을 입력합니다. 하지만 자체 서명 인증서에 대한 경고가 표시되더라도 그것을 사용하려는 것이라면 “y”를 입력하여 계속 진행하십시오.

8. 인증서가 클러스터 또는 SVM의 서버 인증(server auth) 매개변수와 연결되어 있는지 확인하려면 다음 명령을 실행합니다:

      security ssl show -vserver <svm_name> -instance
      

출력의 “SSL Server Authentication Enabled” 값이 “true”로 표시되어야 하며, 예상되는 인증서의 일련 번호(serial number)도 표시되어야 합니다.

      Vserver: dpi_svm
                   Server Certificate Issuing CA: dpi_svm
                Server Certificate Serial Number: <cert_serial_num>
                  Server Certificate Common Name: dpi_svm
               SSL Server Authentication Enabled: true
Certificate installation and SSL server auth configuration are now complete, and the cluster or SVM now supports network communication as a server via HTTPS.
      

Netwrix가 어떻게 도와드릴 수 있나요?

Netwrix StealthAUDIT 는 다수의 잘 알려져 있고 신뢰할 수 있는 인증 기관(Certificate Authority)을 포함하는 루트 인증서 저장소를 제공하므로, 네트워크의 NetApp 클러스터와 SVM에 해당 CA가 서명한 서버 인증서를 설치하면 통신 프로세스가 간소화됩니다.

또한 Netwrix StealthAUDIT 를 통해 다음을 수행할 수 있습니다:

• 공격자가 IT 시스템을 침해하고 데이터에 접근하는 데 악용할 수 있는 취약점을 식별합니다.
• 시스템 패치 수준을 빠르고 효율적으로 평가하여 추가적인 보안 취약 지점을 파악하세요.
• 기준 구성 baseline configuration 분석을 통해 보안 및 운영 정책을 시행합니다.
• 특권 계정을 감사하고 관리하세요.
• 사전 구성된 보고서와 완전한 시스템 투명성을 통해 더 쉽게 준수 사항을 입증하세요.