Users Guide

表. 16: 基于登录类型的证书类型
登录类型 证书类型 获取方法
使用 Active Directory 的单点登录 可信 CA 证书 生成 CSR 并从证书颁发机构获取签名
SHA-2 证书也受支持。
本地或 Active Directory 用户的智能卡
登录
● 用户证书
● 可信 CA 证书
● 用户证书 - 使用智能卡供应商提供
的卡管理软件将智能卡用户证书导
出为基于 64 位编码的文件。
● 可信 CA 证书 - 此证书由 CA 颁发。
SHA-2 证书也受支持。
Active Directory 用户登录 可信 CA 证书 此证书由 CA 颁发。
SHA-2 证书也受支持。
本地用户登录 SSL 证书 生成 CSR 并从可信 CA 获取签名
注: iDRAC 附带默认的自签名 SSL
服务器证书。iDRAC Web 服务器、
虚拟介质和虚拟控制台使用此证
书。
SHA-2 证书也受支持。
SSL 服务器证书
iDRAC 包含一个 Web 服务器，该服务器配置为使用行业标准 SSL 安全协议，以通过网络传输加密数据。提供了 SSL 加密选项以禁用
较弱密码。SSL 基于非对称加密技术构建，广泛用于在客户端和服务器之间提供经过验证和加密的通信，以防止在网络上窃听。
启用 SSL 的系统可以执行下列任务：
● 向启用 SSL 的客户端验证自身
● 允许两个系统建立加密的连接
注: 如果 SSL 加密设置为 256 位或更改以及 168 位或更改，则您的虚拟机环境（JVM、IcedTea）的密码系统环境可能需要安装
Unlimited Strength Java Cryptography Extension Policy Files 以允许将 iDRAC 插件（例如 vConsole）用于此级别加密。有关安装策
略文件的信息，请参阅 Java 的说明文件。
默认情况下，iDRAC Web 服务器具有 Dell 自签名的唯一 SSL 数字证书。您可以将默认 SSL 证书更换为公认的认证机构 (CA) 签名的
证书。认证机构是信息技术行业认可的企业实体，可满足高标准的可靠性审查、识别和其他重要安全标准。例如，Thwate 和
VeriSign 均为 CA。要启动获取 CA 签名证书的流程，请使用您的公司信息通过 iDRAC Web 界面或 RACADM 界面生成证书签名请求
(CSR)，然后将生成的 CSR 提供给 CA（如 VeriSign 或 Thawte）。CA 可以是根 CA 或中间 CA。收到 CA 签名的 SSL 证书后，将其
上传到 iDRAC。
对于管理站信任的每个 iDRAC，该 iDRAC 的 SSL 证书必须放在管理站的证书存储区。一旦管理站上安装 SSL 证书后，支持的浏览器
可以访问 iDRAC 而不会显示证书警告。
您也可以上传自定义签名证书以签署 SSL 证书，而不是依赖于默认的签名证书执行此功能。通过将一个自定义签名证书导入所有管
理站，使用自定义签名证书的所有 iDRAC 都将受信任。如果在已使用自定义 SSL 证书的情况下上传自定义签名证书，则自定义 SSL
证书会被禁用并使用一次性自动生成且带有自定义签名证书的 SSL 证书。您可以下载自定义签名证书（无需私钥）。您也可以删除
现有的自定义签名证书。删除自定义签名证书后，iDRAC 将会重设并自动生成新的自签名 SSL 证书。如果重新生成一个自签名证
书，则必须在该 iDRAC 和管理工作站之间重新建立信任。自动生成的 SSL 证书自带签名并且有效期为七年零一天，开始日期为过去
的某一天（针对管理站和 iDRAC 上不同的时区设置）。
当生成证书自签名请求 (CSR) 时，iDRAC Web 服务器 SSL 证书支持星号字符 (*) 作为常用名称最左侧组件的部分。例如 *.qa.com 或
*.company.qa.com。这称为通配符证书。如果在 iDRAC 以外生成通配符 CSR，您可以获得签名的单个通配符 SSL 证书并为多个
iDRAC 上传该证书，并且所有 iDRAC 都受到受支持的浏览器的信任。使用支持通配符证书的受支持浏览器连接到 iDRAC Web 界面
时，iDRAC 将受到浏览器的信任。在启动查看器时，iDRAC 将受到查看器客户端的信任。
生成新的证书签名请求
CSR 是向认证机构 (CA) 提交的 SSL 服务器证书的数字请求。SSL 服务器证书使服务器客户端能够信任服务器的身份并与服务器协商
加密会话。
100 配置 iDRAC