管理 XClarity Management Hub 2.0 安全证书
Lenovo XClarity Management Hub 2.0 使用 SSL 证书在 Management Hub 与其受管设备之间建立安全可信的通信以及用户或其他服务与 Management Hub 的通信。默认情况下，XClarity Management Hub 2.0 和 XClarity Orchestrator 门户使用 XClarity Orchestrator 生成的由内部证书颁发机构颁发的自签名证书。
REVIEWED BY Corneliu P, Stefan J: 4–Dec-2023
在每个 XClarity Management Hub 2.0 实例中唯一生成的默认服务器证书为多种环境提供充分的安全性。可让 XClarity Management Hub 2.0 为您管理证书，也可更主动地定制或替换服务器证书。XClarity Management Hub 2.0 可根据所处环境定制证书。例如，可决定：
通过重新生成内部证书颁发机构证书和/或具有组织特定值的最终服务器证书来生成一对新密钥。
生成证书签名请求（CSR），该 CSR 可发送到所选的证书颁发机构以签署自定义证书并上传到 Management Hub，用作其所有托管服务的最终服务器证书。
将服务器证书下载到本地系统，以便将该证书导入到 Web 浏览器的可信证书列表中。
XClarity Management Hub 2.0 提供多个接受传入 SSL/TLS 连接的服务。客户端（如 Web 浏览器）连接到其中一个服务时，Management Hub 将提供其服务器证书 以供尝试连接的客户端识别。客户端应保留一个其信任的证书的列表。如果 Management Hub 服务器证书未包含在客户端的列表中，客户端将断开 Management Hub 的连接以避免与不可信来源进行任何安全敏感信息的交换。
在与受管设备和外部服务通信时，XClarity Management Hub 2.0 充当客户端。在这种情况下，受管设备或外部服务会提供其服务器证书以供 Management Hub 验证。Management Hub 保留一个其信任的证书的列表。如果受管设备或外部服务提供的可信证书 未包含在该列表中，Management Hub 将断开该受管设备或外部服务的连接以避免与不可信来源进行任何安全敏感信息的交换。
服务器证书
在初始引导期间会生成唯一密钥和自签名证书。这些证书的颁发机构将视为默认的根证书颁发机构，可在 XClarity Management Hub 2.0 安全设置中的“证书颁发机构”页面中进行管理。除非密钥已泄露或如果您的组织有策略要求必须定期更换所有证书，否则无需重新生成此根证书（请参阅重新生成自签名的 XClarity Management Hub 2.0 服务器证书）。
此外，在初始设置期间还会生成一个单独的密钥，并创建一个由内部证书颁发机构签名的服务器证书。此证书将用作默认的 Management Hub 服务器证书。每次 XClarity Management Hub 2.0 检测到 IP 地址、主机名或域名变化时将自动重新生成该证书，以确保该证书包含服务器的正确地址。此外也可按需定制和生成该证书（请参阅重新生成自签名的 XClarity Management Hub 2.0 服务器证书）。
您可以选择使用外部签署的服务器证书而不使用默认的自签名服务器证书。为此，需要生成证书签名请求（CSR），使用私有或商业根证书颁发机构为 CSR 签名，然后将完整的证书链导入 Management Hub 中（请参阅安装可信的外部签署 XClarity Management Hub 2.0 服务器证书）。
如果选择使用默认的自签名服务器证书，建议在 Web 浏览器中导入服务器证书作为可信根证书，以避免浏览器中出现证书错误消息（请参阅将 XClarity Management Hub 2.0 服务器证书导入到 Web 浏览器中）。