การทำงานกับใบรับรองด้านความปลอดภัย
Lenovo XClarity Administrator ใช้ใบรับรอง SSL ในการสร้างการสื่อสารที่ปลอดภัยและน่าเชื่อถือระหว่าง XClarity Administrator และอุปกรณ์ที่ได้รับการจัดการ (เช่น ตัวเครื่องและโปรเซสเซอร์การบริการในเซิร์ฟเวอร์ System x) รวมถึงการสื่อสารกับ XClarity Administrator โดยผู้ใช้ หรือกับบริการอื่นๆ ตามค่าเริ่มต้น XClarity Administrator, CMM และตัวควบคุมการจัดการจะใช้ใบรับรองที่สร้างโดย XClarity Administrator ที่ลงนามด้วยตนเองและออกให้โดยหน่วยงานด้านใบรับรองภายใน
ก่อนจะเริ่มต้น
ส่วนนี้มีไว้สำหรับผู้ดูแลระบบที่มีความเข้าใจพื้นฐานเกี่ยวกับมาตรฐาน SSL และใบรับรอง SSL รวมถึงความหมายและวิธีจัดการมาตรฐานและใบรับรองเหล่านี้ สำหรับข้อมูลทั่วไปเกี่ยวกับใบรับรองคีย์สาธารณะ โปรดดู เว็บเพจ X.509 ใน Wikipedia และ เว็บเพจ Internet X.509 Public Key Infrastructure Certificate และ Certificate Revocation List (CRL) Profile (RFC5280)เกี่ยวกับงานนี้
- สร้างคีย์คู่ใหม่โดยการสร้างผู้ให้บริการออกใบรับรองภายในและ/หรือใบรับรองเซิร์ฟเวอร์ปลายทางขึ้นมาใหม่ที่ใช้ค่าที่เฉพาะเจาะจงกับองค์กรของคุณ
- สร้างคำขอการลงนามใบรับรอง (CSR) ที่สามารถส่งไปยังผู้ให้บริการออกใบรับรองที่คุณเลือกเพื่อลงนามใบรับรองที่กำหนดเอง ซึ่งสามารถอัปโหลดไปยัง XClarity Administrator เพื่อใช้เป็นใบรับรองเซิร์ฟเวอร์ปลายทางสำหรับบริการที่โฮสต์ทั้งหมด
- ดาวน์โหลดใบรับรองเซิร์ฟเวอร์ไปยังระบบภายในเพื่อให้คุณสามารถนำเข้าใบรับรองนั้นลงในรายการใบรับรองที่เชื่อถือได้ของเว็บเบราเซอร์
XClarity Administrator ให้บริการหลายอย่างที่ยอมรับการเชื่อมต่อ SSL/TLS ขาเข้า เมื่อไคลเอ็นต์ เช่น อุปกรณ์ที่ได้รับการจัดการหรือเว็บเบราเซอร์ เชื่อมต่อกับบริการใดบริการหนึ่งเหล่านี้ XClarity Administrator จะระบุ ใบรับรองเซิร์ฟเวอร์ เพื่อให้ไคลเอนต์ที่พยายามเชื่อมต่อระบุเซิร์ฟเวอร์ได้ ไคลเอ็นต์ควรเก็บรักษารายการใบรับรองที่ตัวเองเชื่อถือ หากใบรับรองเซิร์ฟเวอร์ของ XClarity Administrator ไม่รวมอยู่ในรายการของไคลเอ็นต์ ไคลเอ็นต์จะตัดการเชื่อมต่อจาก XClarity Administrator เพื่อหลีกเลี่ยงการแลกเปลี่ยนข้อมูลที่มีความละเอียดอ่อนด้านการรักษาความปลอดภัยกับแหล่งที่ไม่น่าเชื่อถือ
XClarity Administrator ทำหน้าที่เป็นไคลเอ็นต์เมื่อสื่อสารกับอุปกรณ์ที่ได้รับการจัดการและบริการภายนอก เมื่อ XClarity Administrator เชื่อมต่อกับอุปกรณ์หรือบริการภายนอก อุปกรณ์หรือบริการภายนอกจะระบุใบรับรองเซิร์ฟเวอร์ของตัวเองเพื่อให้ XClarity Administrator ระบุอุปกรณ์หรือบริการนั้นได้ XClarity Administrator จะเก็บรักษารายการใบรับรองที่ตัวเองเชื่อถือ หาก ใบรับรองที่เชื่อถือได้ ที่อุปกรณ์ที่ได้รับการจัดการหรือบริการภายนอกนั้นระบุไม่มีรวมอยู่ในรายการ XClarity Administrator จะตัดการเชื่อมต่อกับอุปกรณ์ที่ได้รับการจัดการหรือบริการภายนอก เพื่อหลีกเลี่ยงการแลกเปลี่ยนข้อมูลที่มีความละเอียดอ่อนด้านการรักษาความปลอดภัยกับแหล่งที่ไม่น่าเชื่อถือ
ใบรับรองเซิร์ฟเวอร์ ระหว่างการบูตเริ่มต้น ระบบจะสร้างคีย์และใบรับรองที่ลงนามด้วยตนเองที่ไม่ซ้ำกัน รายการเหล่านี้จะใช้เป็นผู้ให้บริการออกใบรับรองรูท ซึ่งสามารถจัดการได้ในหน้าหน่วยงานด้านใบรับรองในการตั้งค่าการรักษาความปลอดภัย XClarity Administrator ไม่จำเป็นต้องสร้างใบรับรองรูทนี้ใหม่ เว้นแต่คีย์จะถูกบุกรุก หรือหน่วยงานของคุณมีนโยบายที่กำหนดให้เปลี่ยนใบรับรองทั้งหมดเป็นระยะ (ดูที่ การคืนค่าหรือสร้างใบรับรองเซิร์ฟเวอร์ที่ลงนามด้วยตนเองของ Lenovo XClarity Administrator ใหม่)
นอกจากนี้ ระหว่างการตั้งค่าเริ่มต้น จะมีการสร้างคีย์ที่แยกต่างหาก และใบรับรองเซิร์ฟเวอร์จะถูกสร้างขึ้นและลงนามโดยผู้ให้บริการออกใบรับรองภายใน ใบรับรองนี้จะใช้เป็นใบรับรองเซิร์ฟเวอร์ XClarity Administrator ตามค่าเริ่มต้น ซึ่งจะสร้างใหม่โดยอัตโนมัติในแต่ละครั้งที่ XClarity Administrator ตรวจพบว่าที่อยู่เครือข่าย (ที่อยู่ IP หรือ DNS) เปลี่ยนแปลงเพื่อทำให้แน่ใจว่าใบรับรองมีที่อยู่ที่ถูกต้องสำหรับเซิร์ฟเวอร์ ซึ่งสามารถกำหนดเองและสร้างตามความต้องการ (ดูที่ การคืนค่าหรือสร้างใบรับรองเซิร์ฟเวอร์ที่ลงนามด้วยตนเองของ Lenovo XClarity Administrator ใหม่)
คุณสามารถเลือกใช้ใบรับรองเซิร์ฟเวอร์ที่ลงนามภายนอกแทนใบรับรองเซิร์ฟเวอร์ที่ลงนามด้วยตนเองเริ่มต้นโดยสร้างคำขอการลงนามใบรับรอง (CSR) ให้ CSR ลงนามโดยผู้ให้บริการออกใบรับรองรูทในเชิงพาณิชย์หรือส่วนตัว จากนั้นนำเข้ากลุ่มใบรับรองทั้งหมดลงใน XClarity Administrator (ดู การปรับใช้ใบรับรองเซิร์ฟเวอร์ที่กำหนดเองกับ Lenovo XClarity Administrator)
หากคุณเลือกที่จะใช้ใบรับรองเซิร์ฟเวอร์ที่ลงนามด้วยตนเองเริ่มต้น ขอแนะนำให้คุณนำเข้าใบรับรองเซิร์ฟเวอร์ในเว็บเบราเซอร์เป็นหน่วยงานด้านใบรับรองรูทที่เชื่อถือได้ เพื่อหลีกเลี่ยงข้อความแสดงข้อผิดพลาดของใบรับรองในเบราเซอร์ของคุณ (ดู การนำเข้าใบรับรองของหน่วยงานด้านใบรับรองลงในเว็บเบราเซอร์)
ใบรับรองการปรับใช้ OS บริการการปรับใช้ระบบปฏิบัติการจะใช้ใบรับรองที่แยกต่างหาก เพื่อทำให้แน่ใจว่าโปรแกรมติดตั้งระบบปฏิบัติการสามารถเชื่อมต่อกับบริการการปรับใช้ได้อย่างปลอดภัยในระหว่างขั้นตอนการติดตั้งระบบปฏิบัติการ หากคีย์ถูกบุกรุก คุณสามารถสร้างคีย์ใหม่โดยรีสตาร์ทเซิร์ฟเวอร์การจัดการ
ใบรับรองที่เชื่อถือได้
พื้นที่จัดเก็บที่น่าเชื่อถือนี้จะจัดการใบรับรองที่ใช้เพื่อสร้างการเชื่อมต่อที่ปลอดภัยกับทรัพยากรภายในเมื่อ XClarity Administrator ทำหน้าที่เป็นไคลเอ็นต์ ตัวอย่างของทรัพยากรภายใน ได้แก่ อุปกรณ์ที่มีการจัดการ ซอฟต์แวร์ภายในเมื่อส่งต่อเหตุการณ์ และเซิร์ฟเวอร์ LDAP ภายนอก
ใบรับรองบริการภายนอก พื้นที่จัดเก็บที่น่าเชื่อถือนี้จะจัดการใบรับรองที่ใช้เพื่อสร้างการเชื่อมต่อที่ปลอดภัยกับบริการภายนอกเมื่อ XClarity Administrator ทำหน้าที่เป็นไคลเอ็นต์ ตัวอย่างของบริการภายนอก ได้แก่ บริการสนับสนุนออนไลน์ของ Lenovo ที่ใช้ในการดึงข้อมูลการรับประกันหรือสร้างทิคเก็ตบริการ ซอฟต์แวร์ภายนอก (เช่น Splunk) ที่สามารถส่งต่อเหตุการณ์ได้ และเซิร์ฟเวอร์การแจ้งเตือนแบบพุชของ Apple และ Google หาก มีการเปิดใช้งานการแจ้งเตือนแบบพุชของ Lenovo XClarity Mobile สำหรับอุปกรณ์ iOS หรือ Android ประกอบด้วยใบรับรองที่เชื่อถือได้ที่กำหนดค่าไว้ล่วงหน้าจากผู้ให้บริการออกใบรับรองรูทจากผู้ให้บริการออกใบรับรองที่เชื่อถือได้และเป็นที่รู้จักทั่วโลก (เช่น Digicert และ Globalsign)
เมื่อคุณกําหนดค่า XClarity Administrator เพื่อใช้คุณลักษณะที่ต้องใช้การเชื่อมต่อกับบริการภายนอกอื่น โปรดดูเอกสารที่ระบุว่าคุณต้องเพิ่มใบรับรองลงในพื้นที่จัดเก็บที่น่าเชื่อถือนี้ด้วยตนเองหรือไม่
โปรดทราบว่าใบรับรองในพื้นที่จัดเก็บที่น่าเชื่อถือนี้จะไม่น่าเชื่อถือเมื่อสร้างการเชื่อมต่อกับบริการอื่นๆ (เช่น LDAP) เว้นแต่คุณเพิ่มใบรับรองเหล่านั้นในพื้นที่จัดเก็บที่น่าเชื่อถือของใบรับรองที่เชื่อถือได้หลักด้วย การนำใบรับรองออกจากพื้นที่จัดเก็บที่น่าเชื่อถือนี้จะป้องกันไม่ให้บริการเหล่านี้ดำเนินการได้สำเร็จ