Fornyer iLOs HTTPS-certifikat via Redfish med en sti valgt efter firmwareversionen.
Sådan forløber det
- Appliancen forbinder til HPE iLO gennem Redfish på port 443.
- Discovery læser firmware, det aktuelle HTTPS-certifikat, CSR og enrollment. Pakken kontrollerer det nye certifikat, kæden og den matchende nøgle eller controller-CSR før import.
- Redfish importerer certifikatet. iLO genstarter automatisk; pakken venter på, at administrationsinterfacet svarer igen.
- Kontrol: en ny TLS-forbindelse og en ny Redfish-session verificerer det serverede leaf-certifikat og alle leverede mellemcertifikater. Hvis det fejler: Rollback gendanner det forrige certifikat fra bevaret matchende materiale, når den nye installation kan identificeres. En anden administrators certifikat bevares.
Tekniske detaljer
- Forbindelse
- Pakken kører på appliancen, som forbinder over HTTPS til Redfish, port 443. Der installeres ingen agent.
- Tjenestens porte
- 443
- I skal bruge
- iLO-konto med login til discovery og Configure iLO Settings (iLOConfigPriv) til certifikatændringer. Appliance kræver Python 3 og OpenSSL.
- Platform
- HPE iLO 5, 6 og 7
- Handlinger
- Discovery, CSR-generering, Installation, Kontrol, Rollback
- Pakker
-
hpe-ilo-api1.0.0 - Bemærk
-
- Importnøglens algoritme skal matche iLOs KeyType. Pakken ændrer ikke denne indstilling.
- iLO 5 fra 2.78, iLO 6 fra 1.30 og iLO 7 importerer et matchende certifikat og en ukrypteret privat nøgle. Ældre firmware bruger controllerens CSR; certifikatkilden skal kunne udstede fra denne CSR uden at få controllerens nøgle.
- iLO udleverer ikke sin private HTTPS-nøgle. Ved første installation kræver rollback et bevaret tidligere certifikat med matchende nøgle eller en uændret matchende controller-CSR. Pakken bevarer efterfølgende administrerede nøgler i beskyttet backup på appliance.
- TLS-verifikation er standard. Fælles MANAGEMENT_TLS_PIN_SHA256, MANAGEMENT_TLS_CA_BUNDLE og eksplicit MANAGEMENT_TLS_INSECURE understøttes. Ved pinning skal en administrator efter import stole på det nye returnerede fingeraftryk i appliance før næste kørsel. CA-verifikation fortsætter automatisk, når det nye certifikat er betroet.
- Manuel import kræver, at legacy SCEP-enrollment er deaktiveret. Pakken ændrer kun iLOs HTTPS-certifikat; serverens operativsystem og andre certifikater berøres ikke.
- På iLO 5/6 må hvert certifikat højst fylde 3072 bytes i DER-format, og den samlede kæde højst 20 KB. Lever hele mellemkæden; rodcertifikatet er valgfrit.