如何在 NetApp ONTAP 中安装 TLS/SSL 证书

HTTPS 是用于传输敏感数据的互联网通信的标准方式。TLS 协议是 HTTPS 的支柱，会对连接进行加密，从而使传输的信息无法被拦截或篡改。

对于传输敏感数据的本地 Web 应用程序，也应使用 HTTPS。这包括 NetApp 服务器，因为外部应用程序和用户需要通过 NetApp ONTAP 操作系统进行身份验证、授权并传输数据。为此，需要在集群或存储虚拟机 (SVM) 级别安装类型为“server”的数字证书。

当创建 NetApp 集群或 SVM 时，会自动生成并安装自签名的服务器证书，以启用 SSL 服务器身份验证。然而，为了实现更强的安全性，强烈建议安装由受信任的证书颁发机构 (CA) 签署的证书。

这篇博客文章将说明如何安装由 CA 签署的证书，并配置你的集群或 SVM 以使用它。(NetApp 可以帮助你 申请由 CA 签署的证书.)

在 ONTAP 集群或 SVM 上安装 TLS 证书

请注意，下面的示例命令是在 SVM 级别，但也可以轻松应用到集群级别。另外，这些命令用于“server”证书，但也可用于安装“client-ca”证书，以便与外部应用服务器进行安全的 ONTAP 通信。

另外请注意，尽管 SSL 协议早已被弃用并由其后继协议 TLS 协议取代，但“SSL”这个术语仍然被人们广泛使用。

在开始之前，请确保手头已准备好证书的公钥和私钥。请记住，必须妥善保护所有私钥——一旦私钥遭到泄露，就会带来重大的安全风险，并且需要立即吊销并更换。

要安装证书并配置集群或 SVM 使用该证书，请执行以下步骤：

1. 通过 SSH 连接到集群的 CLI 界面，然后运行以下命令：

      security certificate install -vserver <svm_name> -type server
      

2. 出现提示时，粘贴公钥并按 ENTER；然后粘贴私钥并再次按 ENTER。务必包含每个密钥的全部文本，包括“—–BEGIN CERTIFICATE—–”和“—–END CERTIFICATE—–”。

3. 接下来，为了找到新的证书，请在集群或 SVM 上显示有关服务器证书的信息：

      security certificate show -vserver <svm_name> -type server
The output should look like the following, which shows a self-signed certificate:
      

      Vserver    Serial Number   Certificate Name                       Type
---------- --------------- -------------------------------------- ------------
dpi_svm    <cert_serial_num>
                           dpi_svm_1625F0D07A496E63               server
    Certificate Authority: dpi_svm
          Expiration Date: Wed Jul 28 14:27:01 2021

      

4. 你需要从证书中获取序列号、通用名称以及 CA 属性。如果需要为特定证书显示更多信息，请运行以下命令：

      security certificate show -serial <cert_serial_number> -instance
      

5. 现在你可以使用这些信息来修改集群或 SVM 的 SSL 身份验证（auth）参数，使其使用你已安装的证书：

      security ssl modify -vserver <svm_name> -server-enabled true -serial <cert_serial_number> -commonname <cert_common_name> -ca <cert_certificate_authority>
      

6. 在出现提示时，如果你的证书链要求，你可以继续安装根证书或中间证书。如果你不确定这个过程或证书链的情况，请参阅你的证书颁发机构（Certificate Authority）。

7. 在大多数情况下，输入“n”以完成证书安装。不过，如果系统提示你关于自签名证书的警告，但你确实打算使用该证书，请输入“y”以继续。

8. 要验证证书是否与集群或 SVM 的服务器身份验证（server auth）参数关联，请运行以下命令：

      security ssl show -vserver <svm_name> -instance
      

输出中的“SSL Server Authentication Enabled”值应为“true”，并应显示预期证书的序列号

      Vserver: dpi_svm
                   Server Certificate Issuing CA: dpi_svm
                Server Certificate Serial Number: <cert_serial_num>
                  Server Certificate Common Name: dpi_svm
               SSL Server Authentication Enabled: true
Certificate installation and SSL server auth configuration are now complete, and the cluster or SVM now supports network communication as a server via HTTPS.
      

Netwrix 如何提供帮助？

Netwrix StealthAUDIT 随附一个根证书存储区，其中包含许多知名且受信任的证书颁发机构（Certificate Authorities）。当在网络中的 NetApp 集群和 SVM 上安装相应由 CA 签发的服务器证书后，这会简化通信过程。

此外，Netwrix StealthAUDIT 将使您能够：

• 识别可能被攻击者利用来攻破您的 IT 系统并获取您的数据的漏洞。
• 通过快速且高效地评估系统补丁级别，发现更多安全漏洞。
• 通过 baseline configuration 分析来贯彻安全与运营策略。
• 审计并治理特权账户。
• 借助预制报告和完整的系统透明性，更轻松地证明合规性。