Nutanix Prism: SSL-Zertifikat austauschen

Prism Element (pro Cluster) und Prism Central stellen Weboberfläche und API mit einem Clusterzertifikat bereit. Der Austausch ist ein Vorgang der Zertifikatsverwaltung in Prism - kein Kopieren von Dateien auf einzelne Controller-VMs (CVMs).

VoraussetzungenCopy Anchor Link

• Legen Sie fest, welchen Endpunkt Sie ändern: Jeder Prism-Element-Cluster und Prism Central haben ein eigenes Zertifikat. Eine Änderung an einem ändert die anderen nicht.
• Der SAN muss den Namen enthalten, den Administration und API-Clients nutzen - meist den DNS-Namen der virtuellen IP des Clusters - und die virtuelle IP selbst, falls Clients sich per IP verbinden.
• Verwenden Sie einen unterstützten Schlüsseltyp. Der Security Guide von Nutanix nennt RSA 2048 mit SHA-256 sowie ECDSA P-256 und P-384; prüfen Sie den Guide Ihrer AOS- bzw. Prism-Central-Version.
• Bereiten Sie drei PEM-Dateien vor:
  • das Serverzertifikat,
  • den passenden privaten Schlüssel, unverschlüsselt,
  • die CA-Kette: alle Zwischenzertifikate und das Stammzertifikat in einer Datei, das Stammzertifikat zuletzt.
• Bewahren Sie die Dateien des aktuellen Zertifikats und Schlüssels auf - Prism gibt den alten privaten Schlüssel nicht heraus, und diese Dateien sind Ihr Rollback.
• Notieren Sie Integrationen, die das alte Zertifikat fest hinterlegt haben (Backup, Monitoring, Automatisierung) - sie brauchen danach das neue Zertifikat oder dessen CA -, und prüfen Sie im Prism-Dashboard, ob der Cluster gesund ist.

Zertifikat Schritt für Schritt austauschenCopy Anchor Link

In der WeboberflächeCopy Anchor Link

1. Melden Sie sich als Cluster-Administrator an Prism an.
2. Öffnen Sie das Zahnrad-Symbol (Einstellungen), wählen Sie SSL Certificate und klicken Sie auf Replace Certificate.
3. Wählen Sie den Import von Schlüssel und Zertifikat, wählen Sie den zum Schlüssel passenden Schlüsseltyp und laden Sie privaten Schlüssel, Serverzertifikat und Kettendatei hoch.
4. Bestätigen. Prism startet seine Webdienste neu, um das Zertifikat zu laden: Die Oberfläche ist kurz nicht erreichbar, und Sie müssen sich neu anmelden. Laufende VMs und Cluster-Workloads sind nicht betroffen.

Mit ncliCopy Anchor Link

ncli-Befehle gelten für den ganzen Cluster; führen Sie den Befehl daher auf einer CVM des Prism-Element-Clusters aus - bzw. auf der Prism-Central-VM für Prism Central -, als Benutzer nutanix und mit den dorthin kopierten Dateien (etwa per scp):

ncli ssl-certificate import \
  certificate-path=/home/nutanix/certs/server.pem \
  key-path=/home/nutanix/certs/server.key \
  cacertificate-path=/home/nutanix/certs/chain.pem \
  key-type=RSA_2048

Setzen Sie key-type passend zum Schlüssel: RSA_2048, ECDSA_256 oder ECDSA_384. Die Syntax folgt den veröffentlichten Beispielen von Nutanix; die eingebaute Hilfe von ncli auf Ihrem Cluster zeigt die genauen Optionen Ihrer Version.

Wiederholen Sie das für jeden Prism-Element-Cluster und für Prism Central, die das neue Zertifikat ausliefern sollen. Die Reihenfolge spielt keine Rolle; jeder ist unabhängig.

Neues Zertifikat prüfenCopy Anchor Link

openssl s_client -connect prism.example.com:9440 -servername prism.example.com -showcerts </dev/null

Prism lauscht auf Port 9440. Prüfen Sie Antragsteller und SAN, Aussteller, Ablaufdatum und Kette, melden Sie sich per FQDN an der Oberfläche an und testen Sie die Integrationen, die mit der API von Prism sprechen.

RollbackCopy Anchor Link

Importieren Sie das gesicherte alte Zertifikat samt Schlüssel und Kette auf demselben Weg. Kommt Prism nicht zurück, folgen Sie dem unterstützten Wiederherstellungsverfahren von Nutanix, statt Dateien auf CVMs zu bearbeiten.

Häufige ProblemeCopy Anchor Link

• FQDN oder virtuelle IP fehlen im SAN.
• Der private Schlüssel ist verschlüsselt oder passt nicht zum Zertifikat.
• Der gewählte Schlüsseltyp passt nicht zum Schlüssel, oder der Schlüsseltyp wird nicht unterstützt.
• Die Kettendatei ist unvollständig, oder das Stammzertifikat steht an falscher Stelle.
• Prism Central wurde geändert, und es wurde angenommen, die Prism-Element-Cluster übernehmen das.

Zertifikatstausch mit aethercert automatisierenCopy Anchor Link

Das aethercert-Deployment-Ziel für Nutanix Prism importiert Zertifikat, CA-Kette und privaten Schlüssel über die Zertifikatsverwaltungs-API von Prism und leitet den Schlüsseltyp aus dem ausgestellten Schlüssel ab.

Unter Deployment-Ziele finden Sie die Felder dieser Vorlage, die Voraussetzungen auf dem Host und den Stand der Verifizierung.

QuellenCopy Anchor Link

• Nutanix: unterstützte Schlüsselkonfigurationen für SSL-Zertifikate (AOS 7.0)
• Nutanix Support Portal: Prism-Dokumentation
• Nutanix Community: Let's-Encrypt-Zertifikate auf Prism Central und Prism Element