Förnyar iLO:s HTTPS-certifikat via Redfish med en väg vald efter firmwareversionen.
Så går det till
- Appliancen ansluter till HPE iLO genom Redfish på port 443.
- Discovery läser firmware, aktuellt HTTPS-certifikat, CSR och enrollment. Paketet kontrollerar det nya certifikatet, kedjan och matchande nyckel eller controller-CSR före import.
- Redfish importerar certifikatet. iLO startar om automatiskt; paketet väntar tills administrationsgränssnittet svarar igen.
- Kontroll: en ny TLS-anslutning och en ny Redfish-session verifierar det serverade leaf-certifikatet och alla angivna mellanliggande certifikat. Om det misslyckas: Rollback återställer det tidigare certifikatet från sparat matchande material när den nya installationen kan identifieras. En annan administratörs certifikat bevaras.
Tekniska detaljer
- Anslutning
- Paketet körs på appliancen, som ansluter över HTTPS till Redfish, port 443. Ingen agent installeras.
- Tjänstens portar
- 443
- Ni behöver
- iLO-konto med inloggning för discovery och Configure iLO Settings (iLOConfigPriv) för certifikatändringar. Appliance kräver Python 3 och OpenSSL.
- Plattform
- HPE iLO 5, 6 och 7
- Åtgärder
- Discovery, CSR-generering, Installation, Kontroll, Rollback
- Paket
-
hpe-ilo-api1.0.0 - Observera
-
- Importnyckelns algoritm måste matcha iLO:s KeyType. Paketet ändrar inte denna inställning.
- iLO 5 från 2.78, iLO 6 från 1.30 och iLO 7 importerar ett matchande certifikat och en okrypterad privat nyckel. Äldre firmware använder controllerns CSR; certifikatkällan måste kunna utfärda från denna CSR utan att få controllerns nyckel.
- iLO lämnar inte ut sin privata HTTPS-nyckel. Vid första installationen kräver rollback ett sparat tidigare certifikat med matchande nyckel eller en oförändrad matchande controller-CSR. Paketet sparar därefter hanterade nycklar i skyddad backup på appliance.
- TLS-verifiering är standard. Gemensamma MANAGEMENT_TLS_PIN_SHA256, MANAGEMENT_TLS_CA_BUNDLE och uttrycklig MANAGEMENT_TLS_INSECURE stöds. Vid pinning måste en administratör efter import lita på det nya returnerade fingeravtrycket i appliance före nästa körning. CA-verifiering fortsätter automatiskt när det nya certifikatet är betrott.
- Manuell import kräver att legacy SCEP-enrollment är inaktiverad. Paketet ändrar endast iLO:s HTTPS-certifikat; serverns operativsystem och andra certifikat berörs inte.
- På iLO 5/6 får varje certifikat vara högst 3072 byte i DER-format och hela kedjan högst 20 KB. Ange hela mellankedjan; rotcertifikatet är valfritt.