Scopri i certificati HTTPS generati utilizzando strumenti esterni in Active IQ Unified Manager Unified Manager
Suggerisci modifiche
PDF
Puoi installare certificati autofirmati o firmati da una CA e generati utilizzando uno strumento esterno come OpenSSL, BoringSSL, LetsEncrypt.
Devi caricare la chiave privata insieme alla catena di certificati, perché questi certificati sono coppie di chiavi pubblica-privata generate esternamente. Gli algoritmi consentiti per la coppia di chiavi sono “RSA” ed “EC”. L'opzione Install HTTPS Certificate è disponibile nella pagina HTTPS Certificates, nella sezione General. Il file che carichi deve essere nel seguente formato di input.
-
Chiave privata del server che appartiene all'host Active IQ Unified Manager
-
Certificato del server corrispondente alla chiave privata
-
Certificato delle CA in ordine inverso fino alla radice, utilizzate per firmare il certificato precedente
Formato per il caricamento di un certificato con una coppia di chiavi EC
Le curve consentite sono “prime256v1” e “secp384r1”. Esempio di certificato con una coppia EC generata esternamente:
-----BEGIN EC PRIVATE KEY----- <EC private key of Server> -----END EC PRIVATE KEY-----
-----BEGIN CERTIFICATE----- <Server certificate> -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- <Intermediate certificate #1 (if present)> -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- <Intermediate certificate #2 (if present)> -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- <Root signing certificate> -----END CERTIFICATE-----
Formato per caricare un certificato con una coppia di chiavi RSA
Le dimensioni consentite per la coppia di chiavi RSA appartenente al certificato host sono 2048, 3072 e 4096. certificato con una coppia di chiavi RSA generata esternamente:
-----BEGIN RSA PRIVATE KEY----- <RSA private key of Server> -----END RSA PRIVATE KEY----- -----BEGIN CERTIFICATE----- <Server certificate> -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- <Intermediate certificate #1 (if present)> -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- <Intermediate certificate #2 (if present)> -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- <Root signing certificate> -----END CERTIFICATE-----
Dopo aver caricato il certificato, dovresti riavviare l'istanza di Active IQ Unified Manager affinché le modifiche abbiano effetto.
Verifiche durante il caricamento di certificati generati esternamente
Il sistema esegue controlli durante il caricamento di un certificato generato utilizzando strumenti esterni. Se uno qualsiasi dei controlli fallisce, il certificato viene rifiutato. Sono inoltre incluse convalide per i certificati generati dal CSR (Certificate Signing Request) all'interno del prodotto e per i certificati generati utilizzando strumenti esterni.
-
La chiave privata nell'input viene convalidata rispetto al certificato host nell'input.
-
Il nome comune (CN) nel certificato dell'host viene confrontato con il FQDN dell'host.
-
Il nome comune (CN) del certificato dell'host non deve essere vuoto o composto solo da spazi e non deve essere impostato su localhost.
-
La data di inizio validità non deve essere futura e la data di scadenza della validità del certificato non deve essere passata.
-
Se esiste un Intermediate CA o un CA, la data di inizio della validità del certificato non deve essere nel futuro e la data di scadenza della validità non deve essere nel passato.
|
La chiave privata inserita non deve essere crittografata. Se sono presenti chiavi private crittografate, il sistema le rifiuta. |
Esempio 1
----BEGIN ENCRYPTED PRIVATE KEY----- <Encrypted private key> -----END ENCRYPTED PRIVATE KEY-----
Esempio 2
-----BEGIN RSA PRIVATE KEY----- Proc-Type: 4,ENCRYPTED <content here> -----END RSA PRIVATE KEY-----
Esempio 3
-----BEGIN EC PRIVATE KEY----- Proc-Type: 4,ENCRYPTED <content here> -----END EC PRIVATE KEY-----
Se l'installazione del certificato non riesce, consulta l'articolo della knowledge base (KB): "ActiveIQ Unified Manager non riesce a installare un certificato generato esternamente"