Sustitución del certificado de CA
Escenario
El certificado de CA de se utiliza para encriptación de datos durante la comunicación entre el cliente y el servidor de un componente para garantizar la seguridad de la comunicación. Puede reemplazar el certificado de CA en FusionInsight Manager para garantizar la seguridad del producto. Esta operación es aplicable a los siguientes escenarios:
- Después de instalar el clúster por primera vez, importe un certificado de empresa.
- Si el certificado de empresa ha caducado o es necesario reforzar la seguridad, reemplácelo por un nuevo certificado.
Después de reemplazar el certificado de CA, los certificados utilizados por HDFS, YARN, MapReduce, HBase, Loader, HueOozie, Hive, Tomcat, CAS, HTTPD, y LDAP en se actualizarán automáticamente.
El archivo de certificado y el archivo de clave se pueden aplicar desde el centro de certificados de empresa o generar por el usuario del clúster.
![](https://support.huaweicloud.com/intl/es-us/usermanual-mrs/public_sys-resources/note_3.0-es-us.png)
- Solo los certificados de CA que se pueden emitir y en formato X.509 se pueden importar en FusionInsight.
- FusionInsight requiere que el formato de codificación del sistema operativo sea en_US.UTF-8 o POSIX. De lo contrario, la función de certificado será anormal.
- Si existe un nodo defectuoso aislado en el clúster actual, no se reemplazará el certificado de CA del nodo. Después de desaislar el nodo, debe volver a instalar los servicios que se ejecutan en el nodo para asegurarse de que el nodo y el clúster utilizan el mismo certificado de CA.
Impacto en el sistema
El sistema de debe reiniciarse durante el reemplazo y no se puede acceder ni proporcionar servicios.
Prerrequisitos
- Ha obtenido los archivos que se van a importar al clúster de, incluidos el archivo de certificado de CA (*.crt), el archivo de clave (*.key) y el archivo (password.property) que guarda la contraseña del archivo de clave. El nombre del certificado y el nombre de la clave admiten letras y dígitos.
- Ha preparado una contraseña para acceder al archivo de clave.
Para evitar posibles riesgos de seguridad, la contraseña debe cumplir los siguientes requisitos de complejidad:
- Contiene al menos 8 caracteres.
- Contiene al menos cuatro tipos de los siguientes: letras mayúsculas, minúsculas, números y caracteres especiales (~`!?,.;-_'(){}[]/<>@#$%^&*+|\=).
- Cuando solicite un certificado desde el centro de certificados, proporcione la contraseña para acceder al archivo de clave y solicite los archivos de certificado en formatos CRT, CER, CERT y PEM y los archivos de clave en formatos KEY y PEM. El certificado aplicado debe tener la función de emisión.
Procedimiento
- Inicie sesión en cualquier nodo de gestión en el clúster como usuario omm.
- Seleccione un método para generar archivos de certificado y archivos de clave.
- Si el certificado es generado por el centro de certificados, guarde el archivo de certificado y el archivo de clave en el directorio de usuario omm en el nodo de gestión.
Si el archivo de certificado obtenido no tiene el formato .crt y el archivo de clave no tiene el formato .key ejecute los siguientes comandos para cambiar los formatos de archivo:
mv Certificate name.Certificate formatCertificate name.crt
mv Key name.Key format Key name.key
Por ejemplo, ejecute los siguientes comandos para nombrar el archivo de certificado ca.crt y el archivo de clave ca.key:
mv server.cer ca.crt
mv server_key.pem ca.key
- Si el usuario del clúster genera el certificado, ejecute los siguientes comandos para generar el archivo de certificado y el archivo de clave en el directorio de usuario omm en el nodo de gestión:
- Generar el archivo clave.
Ejecute el siguiente comando para comprobar si la versión de OpenSSL es 1.1.1 o posterior:
/usr/bin/openssl version
- Si es así, ejecute el siguiente comando:
- Si no, ejecute el siguiente comando:
Por ejemplo, para generar el archivo de clave ca.key, ejecute el siguiente comando:
openssl genrsa -out ca.key -aes256 3072 -sha256
Ingrese la contraseña dos veces como se le indique y presione Enter.
Enter pass phrase for ca.key: Verifying - Enter pass phrase for ca.key:
- Generar el archivo de certificado.
openssl req -new -x509 -days 1825 -key Key name.key -out Certificate name.crt -subj "/C=cn/ST=guangdong/L=shenzhen/O=huawei/OU=huawei/CN=huawei" -sha256
Por ejemplo, para generar el archivo de certificado ca.crt, ejecute el siguiente comando:
openssl req -new -x509 -days 1825 -key ca.key -out ca.crt -subj "/C=cn/ST=guangdong/L=shenzhen/O=huawei/OU=huawei/CN=huawei" -sha256
Ingrese la contraseña del archivo de clave como se le solicite y presione Enter.
Enter pass phrase for ca.key:
- Generar el archivo clave.
- Si el certificado es generado por el centro de certificados, guarde el archivo de certificado y el archivo de clave en el directorio de usuario omm en el nodo de gestión.
- Ejecute el siguiente comando en el directorio de usuario omm en el nodo de gestión para guardar la contraseña para acceder al archivo de clave.
sh ${BIGDATA_HOME}/om-server/om/sbin/genPwFile.sh
Ingrese la contraseña dos veces como se le indique y presione Enter. Una vez encriptada, la contraseña se guarda en password.property.
Please input key password: Please Confirm password:
- El archivo password.property generado en un nodo sólo es aplicable en el clúster al que pertenece el nodo actual.
- En escenarios de DR activo/en espera, el script genPwFile.sh debe ejecutarse en los nodos de clúster activo y DR, y se debe ingresar la misma contraseña para los dos clústeres.
- Comprima los tres archivos en formato .tar y guárdelos en el equipo local.
tar -cvf Package name Certificate name .crt Key name .key password.property
Por ejemplo, tar -cvf test.tar ca.crt ca.key password.property
En escenarios de recuperación ante desastres activos/en espera, ejecute este comando en cada nodo del clúster.
- Inicie sesión en FusionInsight Manager y elija System > Certificate.
- En el área Upload Certificate, haga clic en el botón de selección de archivos. En la ventana de selección de archivos, seleccione los paquetes de archivos de certificado .tar obtenidos y ábralos y haga clic en Upload. El sistema importa automáticamente el certificado.
- Después de importar el certificado, el sistema le pedirá que sincronice la configuración del clúster y reinicie el servicio web para que el nuevo certificado surta efecto. Después de completar estas operaciones, haga clic en OK.
- En el cuadro de diálogo que se muestra, escriba la contraseña y haga clic en OK para sincronizar automáticamente la configuración del clúster y reiniciar el servicio web.
- Después de reiniciar el clúster, introduzca la URL para acceder al FusionInsight Manager en el cuadro de dirección del navegador y compruebe si la interfaz de usuario web del FusionInsight Manager se puede mostrar correctamente.
El certificado de empresa ha caducado o se ha reforzado la seguridad. Después de reemplazar el certificado de, reemplace también el certificado local.
- Elija More > Restart. En el cuadro de diálogo que se muestra, introduzca la contraseña del usuario de inicio de sesión actual y haga clic en OK.
Después de reemplazar el certificado de CA, debe reiniciar el clúster sin conexión para que el certificado surta efecto. No se admite el reinicio continuo.
- En el cuadro de diálogo de confirmación de reinicio que se muestra, haga clic en OK.