Självstudie: Konfigurera certifikat för din Azure Stack Edge Pro 2

Artikel
01/10/2024

I den här självstudien beskrivs hur du kan konfigurera certifikat för azure Stack Edge Pro 2 med hjälp av det lokala webbgränssnittet.

Den tid det tar för det här steget kan variera beroende på vilket alternativ du väljer och hur certifikatflödet upprättas i din miljö.

I den här självstudien lär du dig:

Förutsättningar
Konfigurera certifikat för den fysiska enheten
Konfigurera kryptering i vila

Förutsättningar

Innan du konfigurerar och konfigurerar din Azure Stack Edge Pro 2-enhet kontrollerar du att:

Du har installerat den fysiska enheten enligt beskrivningen i Installera Azure Stack Edge Pro 2.
Om du planerar att ta med egna certifikat:
- Du bör ha dina certifikat redo i lämpligt format, inklusive certifikatet för signeringskedjan.
- Om enheten distribueras i Azure Government och inte distribueras i det offentliga Azure-molnet krävs ett certifikat för signeringskedjan innan du kan aktivera enheten.
Mer information om certifikat finns i Förbereda certifikat för uppladdning på din Azure Stack Edge-enhet.

Konfigurera certifikat för enheten

Öppna sidan Certifikat i enhetens lokala webbgränssnitt. På den här sidan visas de certifikat som är tillgängliga på enheten. Enheten levereras med självsignerade certifikat, även kallade enhetscertifikat. Du kan också ta med egna certifikat.
Följ bara det här steget om du inte ändrade enhetsnamnet eller DNS-domänen när du konfigurerade enhetsinställningarna tidigare och du inte vill använda dina egna certifikat.

Du behöver inte utföra någon konfiguration på den här sidan. Du behöver bara kontrollera att statusen för alla certifikat visas som giltig på den här sidan.

Du är redo att konfigurera Kryptering i vila med befintliga enhetscertifikat.
Följ endast de återstående stegen om du har ändrat enhetsnamnet eller DNS-domänen för enheten. I dessa fall är statusen för dina enhetscertifikat ogiltig. Det beror på att enhetsnamnet och DNS-domänen i certifikaten och subject name subject alternative inställningarna är inaktuella.

Du kan välja ett certifikat för att visa statusinformation.
Om du har ändrat enhetens namn eller DNS-domän och inte anger nya certifikat blockeras aktiveringen av enheten. Om du vill använda en ny uppsättning certifikat på enheten väljer du något av följande alternativ:
- Generera alla enhetscertifikat. Välj det här alternativet och slutför sedan stegen i Generera enhetscertifikat om du planerar att använda automatiskt genererade enhetscertifikat och behöver generera nya enhetscertifikat. Du bör bara använda dessa enhetscertifikat för testning, inte med produktionsarbetsbelastningar.
- Ta med egna certifikat. Välj det här alternativet och utför sedan stegen i Bring your own certificates (Ta med egna certifikat), om du vill använda dina egna signerade slutpunktscertifikat och motsvarande signeringskedjor. Vi rekommenderar att du alltid tar med egna certifikat för produktionsarbetsbelastningar.
- Du kan välja att ta med några av dina egna certifikat och generera vissa enhetscertifikat. Alternativet Generera alla enhetscertifikat återskapar endast enhetscertifikaten.
När du har en fullständig uppsättning giltiga certifikat för enheten väljer du < Tillbaka till Kom igång. Nu kan du fortsätta med att konfigurera Kryptering i vila.

Generera enhetscertifikat

Följ de här stegen för att generera enhetscertifikat.

Följ dessa steg för att återskapa och ladda ned Azure Stack Edge Pro 2-enhetscertifikaten:

Gå till Konfigurationscertifikat > i enhetens lokala användargränssnitt. Välj Generera certifikat.
I generera enhetscertifikat väljer du Generera.

Enhetscertifikaten genereras och tillämpas nu. Det tar några minuter att generera och tillämpa certifikaten.

Viktigt!

När certifikatgenereringen pågår ska du inte ta med dina egna certifikat och försöka lägga till dem via alternativet + Lägg till certifikat .

Du meddelas när åtgärden har slutförts. Starta om webbläsaren för att undvika eventuella cacheproblem.
När certifikaten har genererats:
- Kontrollera att statusen för alla certifikat visas som Giltig.
- Du kan välja ett specifikt certifikatnamn och visa certifikatinformationen.
- Kolumnen Ladda ned är nu ifylld. Den här kolumnen innehåller länkar för att ladda ned de återskapade certifikaten.
Välj nedladdningslänken för ett certifikat och spara certifikatet när du uppmanas att göra det.
Upprepa den här processen för alla certifikat som du vill ladda ned.

De enhetsgenererade certifikaten sparas som DER-certifikat med följande namnformat:

<Device name>_<Endpoint name>.cer. Dessa certifikat innehåller den offentliga nyckeln för motsvarande certifikat som är installerade på enheten.

Du måste installera dessa certifikat i det klientsystem som du använder för att få åtkomst till slutpunkterna på Azure Stack Edge-enheten. Dessa certifikat upprättar förtroende mellan klienten och enheten.

Om du vill importera och installera dessa certifikat på klienten som du använder för att komma åt enheten följer du stegen i Importera certifikat på klienterna som har åtkomst till din Azure Stack Edge Pro GPU-enhet.

Om du använder Azure Storage Explorer måste du installera certifikat på klienten i PEM-format och du måste konvertera de enhetsgenererade certifikaten till PEM-format.

Viktigt!

Nedladdningslänken är endast tillgänglig för de enhetsgenererade certifikaten och inte om du tar med dina egna certifikat.
Du kan välja att ha en blandning av enhetsgenererade certifikat och ta med egna certifikat så länge som andra certifikatkrav uppfylls. Mer information finns i Certifikatkrav.

Ta med dina egna certifikat

Du kan ta med egna certifikat.

Börja med att förstå vilka typer av certifikat som kan användas med din Azure Stack Edge-enhet.
Granska sedan certifikatkraven för varje typ av certifikat.
Du kan sedan skapa dina certifikat via Azure PowerShell eller Skapa dina certifikat via verktyget Beredskapskontroll.
Konvertera slutligen certifikaten till lämpligt format så att de är redo att laddas upp på enheten.

Följ de här stegen för att ladda upp dina egna certifikat, inklusive signeringskedjan.

Om du vill ladda upp certifikatet går du till sidan Certifikat och väljer + Lägg till certifikat.
Du kan hoppa över det här steget om du har inkluderat alla certifikat i certifikatsökvägen när du exporterade certifikat i .pfx-format. Om du inte tog med alla certifikat i exporten laddar du upp signeringskedjan och väljer sedan Verifiera och lägg till. Du måste göra detta innan du laddar upp dina andra certifikat.

I vissa fall kanske du vill ta med en signeringskedja ensam i andra syften , till exempel för att ansluta till din uppdateringsserver för Windows Server Update Services (WSUS).
Ladda upp andra certifikat. Du kan till exempel ladda upp Slutpunktscertifikaten för Azure Resource Manager och Blob Storage.

Du kan också ladda upp det lokala webbgränssnittscertifikatet. När du har laddat upp det här certifikatet måste du starta webbläsaren och rensa cacheminnet. Sedan måste du ansluta till enhetens lokala webbgränssnitt.

Du kan också ladda upp nodcertifikatet.

Certifikatsidan bör uppdateras för att återspegla de nyligen tillagda certifikaten. När som helst kan du välja ett certifikat och visa informationen för att se till att dessa matchar det certifikat som du laddade upp.

Kommentar

Förutom det offentliga Azure-molnet måste signeringskedjans certifikat tas in innan du aktiverar alla molnkonfigurationer (Azure Government eller Azure Stack).

Konfigurera kryptering i vila

På panelen Säkerhet väljer du Konfigurera för kryptering i vila.

Kommentar

Det här är en obligatorisk inställning och du kan inte aktivera enheten förrän den har konfigurerats.

När enheterna har avbildats på fabriken aktiveras BitLocker-kryptering på volymnivå. När du har fått enheten måste du konfigurera kryptering i vila. Lagringspoolen och volymerna återskapas och du kan ange BitLocker-nycklar för att aktivera kryptering i vila och därmed skapa ett andra krypteringslager för dina vilande data.
I fönstret Kryptering i vila anger du en 32 tecken lång Base-64-kodad nyckel. Det här är en engångskonfiguration och den här nyckeln används för att skydda den faktiska krypteringsnyckeln. Du kan välja att automatiskt generera den här nyckeln.

Du kan också ange en egen Base-64-kodad ASE-256-bitars krypteringsnyckel.

Nyckeln sparas i en nyckelfil på sidan Molninformation när enheten har aktiverats.
Välj Använd. Den här åtgärden tar flera minuter och status för åtgärden visas.
När statusen visas som Slutförd är enheten nu redo att aktiveras. Välj < Tillbaka för att komma igång.