Utilisation de certificats de sécurité
Lenovo XClarity Administrator utilise des certificats SSL pour établir des communications sécurisées et approuvées entre XClarity Administrator et ses appareils gérés (tels que des châssis et des processeurs de maintenance dans les serveurs System x), ainsi que des communications avec XClarity Administrator par les utilisateurs ou avec différents services. Par défaut, XClarity Administrator, les modules CMM et les contrôleurs de gestion de la carte mère utilisent des certificats générés par XClarity Administrator qui sont autosignés et émis par une autorité de certification interne.
Avant de commencer
Cette section s’adresse aux administrateurs qui ont une compréhension de base du SSL standard et des certificats SSL, y compris ce qu’ils sont et comment les gérer. Pour plus d’informations sur les certificats de clé publique, voir Page Web X.509 dans Wikipedia et Page Web Certificat d’infrastructure de clé publique Internet X.509 et profil de liste de révocation de certificat (CRL) (RFC5280).À propos de cette tâche
- Générez une nouvelle paire de clés en regénérant l’autorité de certification interne et/ou le certificat du serveur final qui utilise des valeurs spécifiques à votre organisation.
- Générez une demande de signature de certificat (CSR) qui peut être envoyée à l’autorité de certification de votre choix pour signer un certificat personnalisé qui peut être téléchargé vers XClarity Administrator en vue d’une utilisation comme certificat de serveur final pour tous ses services hébergés.
- Téléchargez le certificat serveur sur votre système local pour pouvoir importer ce certificat dans la liste de certificats sécurisés de votre navigateur Web.
XClarity Administrator fournit plusieurs services qui acceptent les connexions SSL/TLS entrantes. Lorsqu’un client, par exemple, un appareil géré ou un navigateur Web, se connecte à l’un de ces services, XClarity Administrator fournit son certificat serveur afin d’être identifié par le client lors des tentatives de connexion. Le client doit gérer une liste de certificats approuvés. Si le certificat du serveur XClarity Administrator n’est pas inclus dans la liste du client, ce dernier se déconnecte de XClarity Administrator afin d’éviter d’échanger toutes les informations de sécurité sensibles avec une source non sécurisée.
XClarity Administrator fait office de client lors de la communication avec des appareils gérés et des services externes. Lorsque XClarity Administrator se connecte à un appareil ou à un service externe, l’appareil ou le service externe fournit son certificat de serveur pour être identifié par XClarity Administrator. XClarity Administrator gère une liste de certificats approuvés et fiables. Si le certificat sécurisé fourni par l’appareil géré ou le service externe n’est pas répertorié, XClarity Administrator se déconnecte de l’appareil géré ou du service externe pour éviter d’échanger toutes les informations de sécurité sensibles avec une source non sécurisée.
Certificat de serveur. Lors de l’amorçage initiale, une clé unique et un certificat auto-signé sont générés. Ils sont utilisés en tant qu’autorité de certification racine par défaut, qui peut être gérée sur la page de l’autorité de certification dans les paramètres de sécurité de XClarity Administrator. Il n’est pas nécessaire de regénérer ce certificat racine, sauf si la clé a été compromise ou si votre organisation dispose d’une règle indiquant que tous les certificats doivent être remplacés régulièrement (voir Régénération ou restauration du certificat de serveur auto-signé Lenovo XClarity Administrator).
De même, lors de la configuration initiale, une clé distincte est générée et un certificat de serveur est créé, et signé par l’autorité de certification interne. Ce certificat est utilisé en tant que certificat de serveur XClarity Administrator par défaut. Il se regénère automatiquement à chaque fois que XClarity Administrator détecte que ses adresses de mise en réseau (adresses IP ou DNS) ont changé pour garantir que le certificat contient les adresses exactes pour le serveur. Il peut être personnalisé et généré à la demande (voir Régénération ou restauration du certificat de serveur auto-signé Lenovo XClarity Administrator).
Vous pouvez choisir d’utiliser un certificat de serveur à signature externe au lieu du certificat de serveur auto-signé par défaut en générant une demande de signature de certificat (CSR), en faisant signer la CSR par une autorité de certification racine de certificat privée ou commerciale, puis en important l’intégralité de la chaîne de certificats dans XClarity Administrator (voir Déploiement de certificats de serveur personnalisé sur Lenovo XClarity Administrator).
Si vous décidez d’utiliser le certificat de serveur auto-signé par défaut, il est recommandé d’importer le certificat de serveur dans votre navigateur Web en tant qu’autorité racine sécurisée afin d’éviter les messages d’erreur de certificat dans votre navigateur (voir Importation du certificat de l'autorité de certification dans un navigateur Web).
Certificat de déploiement de SE. Un certificat séparé est utilisé par le service de déploiement du système d'exploitation pour garantir que le programme d'installation du système d'exploitation peut se connecter de manière sécurisée au service de déploiement lors du processus d'installation du système d'exploitation. Si la clé a été compromise, vous pouvez la regénérer en redémarrant le serveur de gestion.
Certificats sécurisés.
Ce fichier de clés certifiées gère des certificats qui sont utilisés pour établir une connexion sécurisée aux ressources locales lorsque XClarity Administrator fait office de client. Les exemples de ressources locales sont des appareils gérés, des logiciels locaux lors d’un événement de réacheminement et un serveur LDAP externe.
Certificats pour services externes. Ce fichier de clés certifiées gère des certificats qui sont utilisés pour établir une connexion sécurisée avec des ressources externes lorsque XClarity Administrator fait office de client. Exemples de services externes : les services du support Lenovo en ligne utilisés pour récupérer les informations de garantie ou créer des tickets de maintenance, des logiciels externes (comme Splunk) auxquels les événements peuvent être acheminés, ainsi que les serveurs de notification push Apple et Google si les notifications push Lenovo XClarity Mobile sont activées sur un appareil iOS ou Android. Il contient des certificats sécurisés et préconfigurés, issus des autorités de certification racine de certains fournisseurs d’autorité de certificats fiables et reconnus dans le monde entier, comme Digicert et Globalsign).
Lorsque vous configurez XClarity Administrator afin d’utiliser une fonction qui nécessite une connexion à un autre service externe, reportez-vous aux documents afin de déterminer si vous devez ajouter manuellement un certificat à ce fichier de clés certifiées.
Veuillez noter que les certificats dans ce fichier de clés certifiées ne sont pas sécurisés lors de l’établissement de connexions pour d’autres services (comme LDAP), sauf si vous les ajoutez également au principal fichier de clés certifiées de certificats sécurisés. Le fait de retirer des certificats de ce fichier de clés certifiées empêche le bon fonctionnement de ces services.