Руководство. Настройка сертификатов для Azure Stack Edge Pro с GPU

Статья
06/01/2023

В этом руководстве объясняется, как настроить сертификаты для устройства Azure Stack Edge Pro со встроенным GPU, используя локальный пользовательский веб-интерфейс.

В этом руководстве описывается, как настроить сертификаты для устройства С GPU Azure Stack Edge Pro с помощью локального веб-интерфейса.

Необходимое время на выполнение этого шага зависит от выбранного варианта и существующего потока управления сертификатами в вашей среде.

В этом руководстве вы рассмотрите следующее:

Необходимые компоненты
Настройка сертификатов для физического устройства

Необходимые компоненты

Перед установкой и настройкой устройства Azure Stack Edge Pro с GPU проверьте следующие условия:

Вы установили физическое устройство, как описано в статье Установка Azure Stack Edge Pro GPU.
Если вы планируете принести собственные сертификаты:
- эти сертификаты должны быть подготовлены в соответствующем формате, включая сертификат цепочки подписывания. Дополнительные сведения о сертификате см. в статье Управление сертификатами.
- Если ваше устройство развернуто в Azure для государственных организаций, а не в общедоступном облаке Azure, то перед активацией устройства необходимо получить сертификат цепочки подписывания. Дополнительные сведения см. в статье об управлении сертификатами.

Настройка сертификатов для устройства

Откройте страницу "Сертификаты" в локальном веб-интерфейсе устройства. На этой странице будут отображаться сертификаты, доступные на устройстве. Устройство поставляется с самозаверяющей подписью сертификатов, которые также называются сертификатами устройств. Вы также можете принести собственные сертификаты.
Если вы не изменили имя устройства или домен DNS при настройке параметров устройства ранее, и вы не хотите использовать собственные сертификаты, вам не нужна какая-либо конфигурация на этой странице. Необходимо убедиться, что состояние всех сертификатов отображается как допустимое на этой странице.

Вы готовы активировать устройство с помощью существующих сертификатов устройств.
Выполните следующие действия, только если вы изменили имя устройства или домен DNS для устройства. В этих случаях состояние сертификатов устройства будет недопустимо. Это связано с тем, что имя устройства и домен DNS в сертификатах subject name и subject alternative параметры устарели.

Выберите сертификат для просмотра сведений о состоянии.
Если вы изменили имя устройства или домен DNS устройства, и вы не предоставляете новые сертификаты, активация устройства будет заблокирована. Чтобы использовать новый набор сертификатов на устройстве, выберите один из следующих вариантов:
- Создание всех сертификатов устройства. Выберите этот параметр, а затем выполните действия, описанные в разделе "Создание сертификатов устройств", если планируется использовать автоматически созданные сертификаты устройств и создавать новые сертификаты устройств. Эти сертификаты устройств следует использовать только для тестирования, а не для рабочих нагрузок.
- Использование собственных сертификатов. Выберите этот параметр, а затем выполните действия, описанные в разделе "Перенос собственных сертификатов", если вы хотите использовать собственные сертификаты подписанных конечных точек и соответствующие цепочки подписывания. Мы рекомендуем всегда использовать для рабочих нагрузок собственные сертификаты.
- Вы можете принести некоторые из собственных сертификатов и создать некоторые сертификаты устройств. Параметр "Создать все сертификаты устройства" создает только сертификаты устройства.
Если у вас есть полный набор допустимых сертификатов для устройства, устройство готово к активации. Нажмите кнопку < "Вернуться к началу работы", чтобы перейти к следующему шагу развертывания, активируйте устройство.

Откройте страницу "Сертификаты" в локальном веб-интерфейсе устройства. На этой странице будут отображаться сертификаты, доступные на устройстве. Устройство поставляется с самозаверяющей подписью сертификатов, которые также называются сертификатами устройств. Вы также можете принести собственные сертификаты.
Если вы не изменили имя устройства или домен DNS при настройке параметров устройства ранее, и вы не хотите использовать собственные сертификаты, вам не нужна какая-либо конфигурация на этой странице. Необходимо убедиться, что состояние всех сертификатов отображается как допустимое на этой странице.

Вы готовы активировать устройство с помощью существующих сертификатов устройств.
Выполните следующие действия, только если вы изменили имя устройства или домен DNS для устройства. В этих случаях состояние сертификатов устройства будет недопустимо. Это связано с тем, что имя устройства и домен DNS в сертификатах subject name и subject alternative параметры устарели.

Выберите сертификат для просмотра сведений о состоянии.
Если вы изменили имя устройства или домен DNS устройства, и вы не предоставляете новые сертификаты, активация устройства будет заблокирована. Чтобы использовать новый набор сертификатов на устройстве, выберите один из следующих вариантов:
- Создание всех сертификатов устройства. Выберите этот параметр, а затем выполните действия, описанные в разделе "Создание сертификатов устройств", если планируется использовать автоматически созданные сертификаты устройств и создавать новые сертификаты устройств. Эти сертификаты устройств следует использовать только для тестирования, а не для рабочих нагрузок.
- Использование собственных сертификатов. Выберите этот параметр, а затем выполните действия, описанные в разделе "Перенос собственных сертификатов", если вы хотите использовать собственные сертификаты подписанных конечных точек и соответствующие цепочки подписывания. Мы рекомендуем всегда использовать для рабочих нагрузок собственные сертификаты.
- Вы можете принести некоторые из собственных сертификатов и создать некоторые сертификаты устройств. Параметр "Создать все сертификаты устройства" создает только сертификаты устройства.
Если у вас есть полный набор допустимых сертификатов для устройства, устройство готово к активации. Нажмите кнопку < "Вернуться к началу работы", чтобы перейти к следующему шагу развертывания, активируйте устройство.

Создание сертификатов устройства

Выполните описанные ниже действия, чтобы создать сертификаты устройства.

Следующие шаги позволят повторно создать и скачать сертификаты устройства Azure Stack Edge Pro GPU.

В локальном пользовательском интерфейсе устройства перейдите к сертификатам конфигурации>. Выберите действие Создать сертификаты.
В разделе Создание сертификатов устройства выберите элемент Создать.

При выполнении этого действия будут созданы и применены сертификаты устройства. Создание и применение сертификатов занимает несколько минут.

Важно!

Пока выполняется операция создания сертификатов, не начинайте передачу собственных сертификатов или добавление с помощью действия + Добавить сертификат.

Когда операция завершится успешно, вы получите соответствующее извещение. Чтобы избежать возможных проблем с кэшем, перезапустите браузер.
После создания сертификатов происходят следующие изменения:
- Для всех сертификатов отображается состояние Допустимый.
- Вы можете выбрать конкретное имя сертификата и просмотреть сведения о сертификате.
- Столбец Скачивания теперь заполнен. Этот столбец содержит ссылки для скачивания повторно созданных сертификатов.
Щелкните ссылку, чтобы скачать нужный сертификат, и подтвердите его сохранение в соответствующем запросе.
Повторите этот процесс для всех нужных сертификатов.

В локальном пользовательском интерфейсе устройства перейдите к сертификатам конфигурации>. Выберите действие Создать сертификаты.
В разделе Создание сертификатов устройства выберите элемент Создать.

При выполнении этого действия будут созданы и применены сертификаты устройства. Создание и применение сертификатов занимает несколько минут.

Важно!

Пока выполняется операция создания сертификатов, не начинайте передачу собственных сертификатов или добавление с помощью действия + Добавить сертификат.

Когда операция завершится успешно, вы получите соответствующее извещение. Чтобы избежать возможных проблем с кэшем, перезапустите браузер.
После создания сертификатов происходят следующие изменения:
- Для всех сертификатов отображается состояние Допустимый.
- Вы можете выбрать конкретное имя сертификата и просмотреть сведения о сертификате.
- Столбец Скачивания теперь заполнен. Этот столбец содержит ссылки для скачивания повторно созданных сертификатов.
Щелкните ссылку, чтобы скачать нужный сертификат, и подтвердите его сохранение в соответствующем запросе.
Повторите этот процесс для всех нужных сертификатов.

Созданные устройством сертификаты сохраняются в формате DER с именами следующего вида:

<Device name>_<Endpoint name>.cer

Эти сертификаты содержат открытый ключ сертификатов, закрытая часть которых установлена на устройстве.

Их нужно установить в той клиентской системе, которую вы используете для доступа к конечным точкам на устройстве Azure Stack Edge. Эти сертификаты позволяют создать отношения доверия между клиентом и устройством.

Чтобы импортировать и установить сертификат в клиентской системе, из которой будет выполняться доступ к устройству, выполните инструкции из раздела Импорт сертификатов в клиент, обращающийся к устройству.

Если вы используете Обозреватель службы хранилища, сертификаты в клиенте нужно устанавливать в формате PEM. Для этого потребуется преобразовать в этот формат созданные устройством сертификаты.

Важно!

Ссылка для скачивания предоставляется только для созданных устройством сертификатов, но не для предоставленных вами собственных сертификатов.
Вы можете произвольным образом сочетать созданные устройством сертификаты и собственные сертификаты, если соблюдаются все остальные требования к сертификатам. Дополнительные сведения о требованиях к сертификатам см. здесь.

Использование собственных сертификатов

Вы можете использовать собственные сертификаты.

Сначала изучите типы сертификатов, которые можно использовать с устройством Azure Stack Edge.
Затем ознакомьтесь с требованиями для каждого типа сертификата.
Затем можно будет создать сертификаты с помощью Azure PowerShell или создать сертификаты с помощью средства проверки готовности.
Наконец, можно будет преобразовать сертификаты в соответствующий формат, чтобы они были готовы к передаче на устройство.

Следующая процедура позволяет передать собственные сертификаты, включая цепочку подписывания.

Чтобы отправить сертификат, выберите на странице Сертификат действие + Добавить сертификат.
Этот шаг можно пропустить, если вы включили все сертификаты в путь к сертификату при экспорте сертификатов в формате PFX. Если вы не включили все сертификаты в экспорт, отправьте цепочку подписей и нажмите кнопку "Проверить и добавить". Это необходимо сделать перед отправкой других сертификатов.

В некоторых случаях может потребоваться создать цепочку подписей только для других целей, например подключиться к серверу обновления для служб Windows Server Update Services (WSUS).
Отправьте другие сертификаты. Например, вы можете отправить сертификаты конечных точек Azure Resource Manager и (или) Хранилища BLOB-объектов.

Кроме того, вы можете отправить сертификаты локального пользовательского веб-интерфейса. Когда вы завершите отправку сертификатов, вам будет предложено перезапустить браузер и очистить кэш. После этого войдите в локальный пользовательский веб-интерфейс.

Кроме того, вы можете отправить сертификат узла.

В любое время вы можете выбрать сертификат, просмотреть сведения о нем и убедиться, что они соответствуют отправленному сертификату.

Теперь на странице "Сертификаты" должны появиться все добавленные вами сертификаты.

Примечание.

Во всех облачных конфигурациях, кроме общедоступного облака Azure (то есть в Azure для государственных организаций или Azure Stack), сертификаты цепочки подписывания нужно предоставить до активации.