인증서 확인
풀에 대해 인증서 확인을 사용하도록 설정하면 관리 네트워크의 모든 TLS 통신 엔드포인트는 기밀 정보를 전송하기 전에 인증서를 사용하여 피어의 ID를 확인합니다.
행동
관리 네트워크의 XenServer 호스트가 시작한 연결에는 대상 엔드포인트에서 TLS 인증서를 제공하여 신원을 확인해야 합니다. 이 요구 사항은 풀의 일부이거나 풀과 상호 작용하는 다음 항목에 영향을 줍니다.
- 풀의 호스트
- XenCenter (젠센터)
- API를 사용하는 타사 클라이언트
인증서 확인은 XenServer에서 제공하는 자체 서명된 인증서와 신뢰할 수 있는 기관에서 서명한 사용자 설치 인증서 모두와 호환됩니다. 자세한 내용은 호스트에 TLS 인증서를 설치합니다.
풀의 각 XenServer 호스트에는 호스트를 식별하는 두 개의 인증서가 있습니다.
-
풀 내부 ID 인증서 는 풀 내의 호스트 간 통신을 보호하는 데 사용됩니다. 풀 내 통신의 경우 XenServer는 항상 자체 서명된 인증서를 사용합니다.
-
서버 ID 인증서 는 관리 네트워크의 풀과 통신하는 모든 클라이언트 응용 프로그램에 대한 XenServer 호스트의 ID를 확인하는 데 사용됩니다. 호스트와 클라이언트 애플리케이션 간의 통신을 위해 자체 서명된 인증서를 사용하거나 호스트에 자체 TLS 인증서를 설치할 수 있습니다.
호스트가 풀에 처음 가입하거나 클라이언트가 처음으로 풀에 연결할 때 풀은 연결을 신뢰합니다. 이 첫 번째 연결 중에 풀과 조인 호스트 또는 연결 클라이언트 간에 인증서가 교환됩니다. 관리 네트워크에서 이 호스트 또는 클라이언트에 의한 모든 후속 통신의 경우 인증서는 통신에 관련된 당사자의 ID를 확인하는 데 사용됩니다.
모든 호스트와 풀에서 인증서 확인을 사용하도록 설정하는 것이 좋습니다. XenServer 호스트가 풀에 성공적으로 가입하려면 호스트와 풀 모두에서 인증서 확인을 사용하거나 사용하지 않도록 설정해야 합니다. 인증서 확인이 한쪽에서만 활성화되어 있고 다른 쪽에서는 활성화되지 않은 경우 조인 작업이 성공하지 못합니다. XenCenter는 풀 또는 가입 호스트에서 인증서 확인을 사용하도록 설정하라는 경고 메시지를 제공합니다.
호스트가 인증서 확인이 활성화된 풀을 벗어나면 호스트와 풀 모두 다른 호스트와 관련된 인증서를 삭제합니다.
Workload Balancing 가상 장비는 인증서 확인과 함께 사용할 수 있습니다. Workload Balancing 자체 서명 인증서가 XenServer 호스트에 설치되어 있는지 확인해야 합니다.
Conversion Manager 가상 장비는 XenServer 호스트에 연결되지 않으므로 TLS 클라이언트 끝점 역할을 하는 경우 인증 확인 요구 사항이 면제됩니다.
풀에 대한 인증서 확인 사용
인증서 확인은 XenServer 8 이상을 새로 설치할 때 기본적으로 사용됩니다. 이전 버전의 XenServer 또는 Citrix Hypervisor에서 업그레이드하는 경우 인증서 확인이 자동으로 활성화되지 않으므로 활성화해야 합니다. XenCenter는 다음에 업그레이드된 풀에 연결할 때 인증서 확인을 사용하도록 설정하라는 메시지를 표시합니다.
풀에서 인증서 확인을 사용하도록 설정하기 전에 풀에서 실행 중인 작업이 없는지 확인합니다.
XenCenter를 사용하여 사용하도록 설정
XenCenter는 인증서 확인을 사용하도록 설정하는 여러 가지 방법을 제공합니다.
-
인증서 확인을 사용하도록 설정하지 않고 XenCenter를 풀에 처음 연결하면 인증서 확인을 사용하도록 설정하라는 메시지가 표시됩니다. 클릭 예, 인증서 확인을 활성화합니다..
-
안에 풀 메뉴에서 선택 인증서 확인 사용.
-
에 일반 탭에서 항목을 마우스 오른쪽 버튼으로 클릭합니다. 인증서 확인 을 클릭하고 인증서 확인 사용 메뉴에서.
xe CLI를 사용하여 활성화
풀에 대한 인증서 확인을 사용하도록 설정하려면 풀에 있는 호스트의 콘솔에서 다음 명령을 실행합니다.
xe pool-enable-tls-verification
인증서 관리
호스트의 ID를 확인하는 데 사용되는 인증서를 설치하고, 이에 대한 정보를 보고, 재설정할 수 있습니다.
인증서 설치
관리 네트워크의 클라이언트 애플리케이션에서 연결을 수신할 때 호스트가 ID 인증서로 제공할 자체 TLS 인증서를 설치할 수 있습니다.
자세한 내용은 호스트에 TLS 인증서를 설치합니다.
인증서 정보 보기
풀에 인증서 확인이 활성화되어 있는지 확인하려면 다음을 수행합니다.
-
XenCenter에서 일반 탭을 클릭합니다. 이 일반 section에는 에 대한 항목이 있습니다. 인증서 확인 인증서 확인이 활성화되었는지 또는 비활성화되었는지 여부를 표시합니다. 이 탭에는 다음 항목도 포함되어 있습니다. 인증서 CA 인증서의 이름, 유효성 및 지문을 나열하는 섹션입니다.
-
xe CLI를 사용하여 다음 명령을 실행할 수 있습니다.
xe pool-param-get uuid=<pool_uuid> param-name=tls-verification-enabled인증서 확인이 활성화된 경우 줄
tls-verification-enabled (RO) : 참이 명령 출력에 나타납니다.
XenServer 호스트의 인증서에 대한 정보를 보려면 다음과 같이 하십시오.
-
XenCenter에서 일반 탭을 누릅니다. 이 인증서 섹션에는 서버 ID 인증서 및 풀 내부 ID 인증서의 지문과 유효 날짜가 표시됩니다.
-
xe CLI를 사용하여 다음 명령을 실행할 수 있습니다.
xe certificate-list
풀 내부 ID 인증서 새로 고침
xe CLI를 사용하여 풀 내부 ID 인증서를 새로 고칠 수 있습니다.
-
다음 명령을 실행하여 인증서를 재설정하려는 호스트의 UUID를 찾습니다.
xe host-list -
인증서를 재설정하려면 다음 명령을 실행합니다.
xe host-refresh-server-certificate host=<host_uuid>메모:
이 명령과 함께 모든 호스트 선택기 매개 변수를 사용하여 인증서를 다시 설정할 호스트를 나타낼 수 있습니다.
서버 ID 인증서 재설정
XenCenter 또는 xe CLI에서 서버 ID 인증서를 재설정할 수 있습니다. 인증서를 재설정하면 호스트에서 인증서가 삭제되고 그 자리에 자체 서명된 새 인증서가 설치됩니다.
XenCenter에서 인증서를 재설정하려면:
- 로 이동 일반 탭을 클릭합니다.
- 안에 인증서 섹션에서 재설정하려는 인증서를 마우스 오른쪽 버튼으로 클릭합니다.
- 메뉴에서 인증서 재설정.
- 대화상자가 나타나면 예 인증서 재설정을 확인합니다.
또는 서버 메뉴에서 다음으로 이동할 수 있습니다. 인증서 > 인증서 재설정.
인증서를 재설정하면 XenCenter와 호스트 간의 연결을 포함하여 XenServer 호스트에 대한 모든 기존 연결의 연결이 끊어집니다. XenCenter는 인증서 재설정 후 호스트에 자동으로 다시 연결됩니다.
xe CLI를 사용하여 인증서를 재설정하려면 다음을 수행합니다.
-
다음 명령을 실행하여 인증서를 재설정하려는 호스트의 UUID를 찾습니다.
xe host-list -
인증서를 재설정하려면 다음 명령을 실행합니다.
xe host-reset-server-certificate host=<host_uuid>메모:
이 명령과 함께 모든 호스트 선택기 매개 변수를 사용하여 인증서를 다시 설정할 XenServer 호스트를 나타낼 수 있습니다.
인증서를 재설정하면 XenCenter와 호스트 간의 연결을 포함하여 XenServer 호스트에 대한 모든 기존 연결의 연결이 끊어집니다. XenCenter는 인증서 재설정 후 호스트에 자동으로 다시 연결됩니다.
만료 알림
XenCenter는 알림을 서버 자격 증명 인증서, 풀 내부 자격 증명 인증서 또는 풀 CA 인증서의 만료 날짜가 가까워지면 확인합니다.
인증서 확인을 임시로 비활성화
호스트 또는 풀에서 인증서 확인을 사용하도록 설정한 후에는 사용하지 않도록 설정하는 것이 좋습니다. 그러나 XenServer는 인증서 문제를 해결할 때 호스트별로 인증서 확인을 비활성화하는 데 사용할 수 있는 명령을 제공합니다.
인증서 확인을 일시적으로 사용하지 않도록 설정하려면 호스트 콘솔에서 다음 명령을 실행합니다.
xe host-emergency-disable-tls-verification
XenCenter는 알림을 이 기능이 활성화된 풀의 호스트에서 인증서 확인이 비활성화된 경우를 봅니다.
호스트의 인증서와 관련된 문제를 해결한 후에는 호스트에서 인증서 확인을 다시 사용하도록 설정해야 합니다. 인증서 확인을 다시 활성화하려면 호스트 콘솔에서 다음 명령을 실행합니다.
xe host-emergency-reenable-tls-verification