Руководство. Настройка сертификатов для Azure Stack Edge Pro 2

Статья
06/01/2023

В этом руководстве описывается, как настроить сертификаты для Azure Stack Edge Pro 2 с помощью локального веб-интерфейса.

Необходимое время на выполнение этого шага зависит от выбранного варианта и существующего потока управления сертификатами в вашей среде.

В этом руководстве вы рассмотрите следующее:

Необходимые компоненты
Настройка сертификатов для физического устройства
Настройка шифрования неактивных данных

Необходимые компоненты

Перед настройкой и настройкой устройства Azure Stack Edge Pro 2 убедитесь, что:

Вы установили физическое устройство, как описано в статье "Установка Azure Stack Edge Pro 2".
Если вы планируете применить собственные сертификаты:
- эти сертификаты должны быть подготовлены в соответствующем формате, включая сертификат цепочки подписывания.
- Если ваше устройство развернуто в Azure для государственных организаций, а не в общедоступном облаке Azure, то перед активацией устройства необходимо получить сертификат цепочки подписывания.
Дополнительные сведения о сертификатах см. в статье "Подготовка сертификатов для отправки на устройстве Azure Stack Edge".

Настройка сертификатов для устройства

Откройте страницу "Сертификаты" в локальном веб-интерфейсе устройства. На этой странице будут отображаться сертификаты, доступные на устройстве. Устройство поставляется с самозаверяющей подписью сертификатов, которые также называются сертификатами устройств. Вы также можете принести собственные сертификаты.
Выполните этот шаг, только если вы не изменили имя устройства или домен DNS, если вы настроили параметры устройства ранее, и вы не хотите использовать собственные сертификаты.

На этой странице не требуется выполнять настройку. Необходимо убедиться, что состояние всех сертификатов отображается как допустимое на этой странице.

Вы готовы настроить шифрование неактивных данных с существующими сертификатами устройств.
Выполните оставшиеся действия, только если вы изменили имя устройства или домен DNS для устройства. В этих случаях состояние сертификатов устройства будет недопустимо. Это связано с тем, что имя устройства и домен DNS в сертификатах subject name и subject alternative параметры устарели.

Вы можете выбрать сертификат для просмотра сведений о состоянии.
Если вы изменили имя устройства или домен DNS устройства, и вы не предоставляете новые сертификаты, активация устройства будет заблокирована. Чтобы использовать новый набор сертификатов на устройстве, выберите один из следующих вариантов:
- Создание всех сертификатов устройства. Выберите этот параметр, а затем выполните действия, описанные в разделе "Создание сертификатов устройств", если планируется использовать автоматически созданные сертификаты устройств и создавать новые сертификаты устройств. Эти сертификаты устройств следует использовать только для тестирования, а не для рабочих нагрузок.
- Использование собственных сертификатов. Выберите этот параметр, а затем выполните действия, описанные в разделе "Перенос собственных сертификатов", если вы хотите использовать собственные сертификаты подписанных конечных точек и соответствующие цепочки подписывания. Мы рекомендуем всегда использовать для рабочих нагрузок собственные сертификаты.
- Вы можете принести некоторые из собственных сертификатов и создать некоторые сертификаты устройств. Параметр "Создать все сертификаты устройства" создает только сертификаты устройства.
Если у вас есть полный набор допустимых сертификатов для устройства, нажмите кнопку < "Вернуться к началу работы". Теперь можно продолжить настройку шифрования неактивных данных.

Создание сертификатов устройства

Выполните описанные ниже действия, чтобы создать сертификаты устройства.

Чтобы повторно создать и скачать сертификаты устройств Azure Stack Edge Pro 2, выполните следующие действия.

В локальном пользовательском интерфейсе устройства перейдите к сертификатам конфигурации>. Выберите действие Создать сертификаты.
В разделе Создание сертификатов устройства выберите элемент Создать.

При выполнении этого действия будут созданы и применены сертификаты устройства. Создание и применение сертификатов занимает несколько минут.

Важно!

Пока выполняется операция создания сертификатов, не начинайте передачу собственных сертификатов или добавление с помощью действия + Добавить сертификат.

После успешного завершения операции вы получите уведомление. Чтобы избежать возможных проблем с кэшем, перезапустите браузер.
После создания сертификатов происходят следующие изменения:
- Убедитесь, что состояние всех сертификатов отображается как допустимое.
- Вы можете выбрать конкретное имя сертификата и просмотреть сведения о сертификате.
- Столбец Скачивания теперь заполнен. Этот столбец содержит ссылки для скачивания повторно созданных сертификатов.
Щелкните ссылку, чтобы скачать нужный сертификат, и подтвердите его сохранение в соответствующем запросе.
Повторите этот процесс для всех нужных сертификатов.

Созданные устройством сертификаты сохраняются в формате DER с именами следующего вида:

<Device name>_<Endpoint name>.cer. Эти сертификаты содержат открытый ключ сертификатов, закрытая часть которых установлена на устройстве.

Эти сертификаты необходимо установить в клиентской системе, которую вы используете для доступа к конечным точкам на устройстве Azure Stack Edge. Эти сертификаты позволяют создать отношения доверия между клиентом и устройством.

Чтобы импортировать и установить эти сертификаты на клиенте, который вы используете для доступа к устройству, выполните действия, описанные в разделе "Импорт сертификатов" на клиентах, обращаюющихся к устройству GPU Azure Stack Edge Pro.

При использовании служба хранилища Azure Обозреватель необходимо установить сертификаты на клиенте в формате PEM и преобразовать созданные устройством сертификаты в формат PEM.

Важно!

Ссылка для скачивания предоставляется только для созданных устройством сертификатов, но не для предоставленных вами собственных сертификатов.
Вы можете произвольным образом сочетать созданные устройством сертификаты и собственные сертификаты, если соблюдаются все остальные требования к сертификатам. Дополнительные сведения о требованиях к сертификатам см. здесь.

Использование собственных сертификатов

Вы можете использовать собственные сертификаты.

Сначала изучите типы сертификатов, которые можно использовать с устройством Azure Stack Edge.
Затем ознакомьтесь с требованиями для каждого типа сертификата.
Затем можно будет создать сертификаты с помощью Azure PowerShell или создать сертификаты с помощью средства проверки готовности.
Наконец, преобразуйте сертификаты в соответствующий формат, чтобы они были готовы к отправке на устройство.

Следующая процедура позволяет передать собственные сертификаты, включая цепочку подписывания.

Чтобы отправить сертификат, выберите на странице Сертификат действие + Добавить сертификат.
Этот шаг можно пропустить, если вы включили все сертификаты в путь к сертификату при экспорте сертификатов в формате PFX. Если вы не включили все сертификаты в экспорт, отправьте цепочку подписей и нажмите кнопку "Проверить и добавить". Это необходимо сделать перед отправкой других сертификатов.

В некоторых случаях может потребоваться создать цепочку подписей только для других целей, например подключиться к серверу обновления для служб Windows Server Update Services (WSUS).
Отправьте другие сертификаты. Например, вы можете отправить сертификаты конечных точек Azure Resource Manager и (или) Хранилища BLOB-объектов.

Кроме того, вы можете отправить сертификаты локального пользовательского веб-интерфейса. После отправки этого сертификата вам потребуется запустить браузер и очистить кэш. Затем вам потребуется подключиться к локальному веб-интерфейсу устройства.

Кроме того, вы можете отправить сертификат узла.

Теперь на странице "Сертификаты" должны появиться все добавленные вами сертификаты. В любое время вы можете выбрать сертификат, просмотреть сведения о нем и убедиться, что они соответствуют отправленному сертификату.

Примечание.

Во всех облачных конфигурациях, кроме общедоступного облака Azure (то есть в Azure для государственных организаций или Azure Stack), сертификаты цепочки подписывания нужно предоставить до активации.

Настройка шифрования неактивных данных

На плитке Security (Безопасность) выберите действие Configure (Настроить) для шифрования неактивных данных.

Примечание.

Это обязательный параметр. Вы сможете активировать устройство только после правильной настройки этого параметра.

При производстве после развертывания образа на устройстве активируется шифрование BitLocker на уровне тома. После получения устройства необходимо настроить шифрование неактивных данных. Пул носителей и тома создаются повторно, и вы можете предоставить ключи BitLocker, чтобы включить шифрование неактивных данных и создать второй уровень шифрования для ваших неактивных данных.
В области Encryption-at-rest (Шифрование неактивных данных) укажите ключ в кодировке Base-64 длиной 32 символа. Эта настройка выполняется однократно, а ключ используется для защиты фактического ключа шифрования. Вы можете автоматически создать этот ключ.

Вы также можете ввести собственный ключ шифрования ASE-256 в кодировке Base-64.

Этот ключ сохраняется в файле ключа на странице Cloud details (Сведения об облаке) после активации устройства.
Нажмите Применить. Эта операция занимает несколько минут, и отображается состояние операции.
После отображения состояния " Завершено" устройство будет готово к активации. Нажмите кнопку < "Вернуться к началу работы".