Come generare un CSR su un cluster Nutanix

Questa guida ti mostra come generare una CSR (Certificate Signing Request) per un cluster Nutanix, la richiesta che invii alla tua Certificate Authority per ottenere un certificato SSL/TLS affidabile per Prism Element (console a cluster singolo) e Prism Central (console multi-cluster). Prism non include una procedura guidata CSR integrata, quindi generi la richiesta e la chiave privata corrispondente al di fuori del cluster con OpenSSL, invii la CSR alla CA, poi importi il certificato emesso di nuovo in Prism.

Nutanix accetta una chiave RSA 2048 firmata con SHA-256, oppure una chiave ECDSA 256 (P-256) o ECDSA 384 (P-384). Scegli uno di questi tipi di chiave quando generi la CSR, altrimenti l’importazione in Prism fallirà. I passaggi seguenti coprono Windows (OpenSSL su Windows) e Linux/macOS, e si applicano alle versioni AOS correnti (AOS 6.x e AOS 7.x) e a Prism Central 2024.x / 2025.x.

Prima di iniziare

• OpenSSL 1.1.1 o versione successiva sulla workstation in cui eseguirai i comandi. macOS e la maggior parte delle distribuzioni Linux lo includono già. Su Windows, installa una build mantenuta (ad esempio il pacchetto Win64 OpenSSL di Shining Light Productions), quindi apri un nuovo terminale in modo che il comando openssl sia disponibile nel tuo PATH.
• Il nome di dominio completamente qualificato (FQDN) esatto che gli utenti digiteranno nel browser per raggiungere Prism, ad esempio prism.example.com. Se hai più di un nome (un FQDN più un hostname breve, oppure diversi VIP di cluster dietro un unico certificato), elenca tutti i nomi necessari in modo da poterli aggiungere come Subject Alternative Names.
• I tuoi dati organizzativi: nome legale dell’organizzazione, località (città), stato o provincia e il codice paese ISO a due lettere. Questi sono richiesti per i certificati OV/EV e vengono verificati dalla CA rispetto ai registri pubblici.

Genera la CSR con OpenSSL (un comando, con SAN)

Questo è il metodo più rapido e funziona su Windows, Linux e macOS purché tu abbia OpenSSL 1.1.1 o versione successiva. Produce una chiave RSA a 2048 bit e una CSR con il Common Name impostato, l’estensione SAN popolata e SHA-256 come hash di firma.

Passo 1: Esegui il comando OpenSSL

Apri un terminale (Prompt dei comandi o PowerShell su Windows, Terminale su macOS/Linux), spostati nella cartella in cui vuoi salvare la chiave e la CSR, ed esegui:

openssl req -new -newkey rsa:2048 -nodes -sha256 
  -keyout prism.example.com.key 
  -out prism.example.com.csr 
  -subj "/C=US/ST=California/L=San Jose/O=Example Inc/CN=prism.example.com" 
  -addext "subjectAltName=DNS:prism.example.com,DNS:prism"

Nel Prompt dei comandi di Windows, scrivi il comando su un’unica riga (elimina le continuazioni di riga con backslash). Ecco cosa fa ciascun flag:

• -newkey rsa:2048 genera una nuova coppia di chiavi RSA a 2048 bit. Attieniti a 2048: Nutanix elenca RSA 2048 come dimensione RSA supportata nel menu a discesa Private Key Type, e alcuni clienti hanno segnalato errori di importazione con chiavi RSA 4096 su Prism Central. Se hai bisogno di una chiave più robusta, usa invece ECDSA P-256 o P-384 (entrambe supportate).
• -nodes scrive la chiave privata senza passphrase. Prism importa una chiave PEM non cifrata, quindi questo ti risparmia un passaggio di rimozione successivo.
• -sha256 firma la CSR con SHA-256. SHA-1 non è accettato da alcuna CA pubblica.
• -subj imposta il Distinguished Name in un’unica riga. Sostituisci ciascun valore con il tuo. Usa il codice paese ISO a due lettere (US, GB, DE). Il campo Organizational Unit (OU) è deprecato per i certificati pubblici e può essere omesso.
• -addext “subjectAltName=DNS:…” scrive l’estensione Subject Alternative Name nella CSR. Elenca tutti gli hostname che i client utilizzeranno, separati da virgole, ciascuno preceduto da DNS:. I browser ignorano il Common Name e verificano la corrispondenza solo con il SAN, quindi questo elenco è ciò che effettivamente compare sul certificato.

Per generare una chiave ECDSA invece di RSA, sostituisci l’argomento -newkey:

# ECDSA P-256 (Nutanix "ECDSA 256")
openssl req -new -newkey ec -pkeyopt ec_paramgen_curve:prime256v1 -nodes -sha256 
  -keyout prism.example.com.key -out prism.example.com.csr 
  -subj "/C=US/ST=California/L=San Jose/O=Example Inc/CN=prism.example.com" 
  -addext "subjectAltName=DNS:prism.example.com,DNS:prism"

# ECDSA P-384 (Nutanix "ECDSA 384") - usa -sha384 per abbinare la curva
openssl req -new -newkey ec -pkeyopt ec_paramgen_curve:secp384r1 -nodes -sha384 
  -keyout prism.example.com.key -out prism.example.com.csr 
  -subj "/C=US/ST=California/L=San Jose/O=Example Inc/CN=prism.example.com" 
  -addext "subjectAltName=DNS:prism.example.com,DNS:prism"

La forma -pkeyopt ec_paramgen_curve: funziona su ogni piattaforma e shell — Linux, macOS, e sia il Prompt dei comandi che PowerShell su Windows — senza bisogno di un file di parametri separato. (Sulle build OpenSSL più datate che non dispongono di questa opzione, genera prima i parametri della curva con openssl ecparam -name prime256v1 -out ec.param e usa invece -newkey ec:ec.param.)

Passo 2: Conferma che i due file siano stati creati

OpenSSL scrive due file nella cartella corrente:

• prism.example.com.key, la chiave privata. Mantieni segreto questo file e crea un backup sicuro. Prism la importa durante l’installazione, e non puoi recuperarla solo a partire dal certificato.
• prism.example.com.csr, la CSR che invii alla CA.

Passo 3: Ispeziona la CSR prima di inviarla

Vale la pena verificare rapidamente che il Common Name, ogni voce SAN e la dimensione della chiave siano corretti. Sulla stessa macchina:

openssl req -noout -text -in prism.example.com.csr

Cerca la riga Subject: e un blocco X509v3 Subject Alternative Name: che elenchi tutti gli hostname di cui hai bisogno. Se preferisci un controllo basato su browser, incolla il contenuto della CSR nel CSR Decoder di SSL Dragon e conferma gli stessi dettagli.

Passo 4: Invia la CSR alla Certificate Authority

Apri prism.example.com.csr in un qualsiasi editor di testo. Vedrai un blocco che inizia e termina così:

-----BEGIN CERTIFICATE REQUEST-----
MIICvDCCAaQCAQAwdzELMAkGA1UEBhMCVVMxEzARBgNVBAgMCkNhbGlmb3JuaWEx
... (many lines of base64) ...
-----END CERTIFICATE REQUEST-----

Seleziona l’intero blocco, comprese le righe BEGIN CERTIFICATE REQUEST e END CERTIFICATE REQUEST, copialo e incollalo nel campo CSR del tuo modulo d’ordine. La CA valida la richiesta, emette il certificato e ti invia via email un pacchetto contenente il tuo certificato server più uno o più certificati CA intermedi (e root).

In alternativa: usa un file di configurazione OpenSSL

Se preferisci mantenere i parametri della richiesta in un file (comodo quando riemetti lo stesso certificato o devi aggiungere un lungo elenco di SAN), inserisci quanto segue in un file chiamato nutanix.cnf:

[ req ]
default_bits       = 2048
default_md         = sha256
prompt             = no
encrypt_key        = no
distinguished_name = req_dn
req_extensions     = v3_req

[ req_dn ]
C  = US
ST = California
L  = San Jose
O  = Example Inc
CN = prism.example.com

[ v3_req ]
basicConstraints     = CA:FALSE
keyUsage             = digitalSignature, keyEncipherment
extendedKeyUsage     = serverAuth, clientAuth
subjectAltName       = @alt_names

[ alt_names ]
DNS.1 = prism.example.com
DNS.2 = prism

Sostituisci i valori sotto [ req_dn ] con i tuoi, e aggiungi una riga DNS.n per ogni hostname sotto [ alt_names ]. Poi genera la chiave e la CSR in un solo passaggio:

openssl req -new -nodes -newkey rsa:2048 -sha256 
  -keyout prism.example.com.key 
  -out prism.example.com.csr 
  -config nutanix.cnf

L’output è identico al metodo con comando singolo descritto sopra: una chiave RSA a 2048 bit, e una CSR con il tuo subject e tutti i SAN codificati. Ispezionala con openssl req -noout -text -in prism.example.com.csr prima di inviarla.

Dopo che la CA emette il tuo certificato

La CA restituisce il certificato server emesso e la catena (uno o più certificati intermedi e la CA root). Prism importa tre file:

• Private Key: il file .key che hai generato con OpenSSL, PEM non cifrato.
• Public Certificate: il tuo certificato server emesso in formato PEM (spesso consegnato con estensione .crt o .pem).
• CA Certificate/Chain: un singolo file PEM con tutti i certificati intermedi più la CA root, concatenati in ordine, con la CA root per ultima. Prism fornisce solo un campo per la catena, quindi combina tutto in un unico file.

Per il flusso completo di installazione (percorso nell’interfaccia di Prism Element e Prism Central, selezione del Private Key Type, e il breve riavvio del servizio web dopo l’importazione), segui la nostra guida come installare un certificato SSL su un cluster Nutanix. Per verificare il certificato attivo dopo l’importazione, scansiona l’URL di Prism con lo SSL Checker (se Prism è su una rete interna, esegui il controllo dall’interno di quella rete oppure ispeziona il certificato nel tuo browser).

Preferisci un modulo web? Usa il nostro CSR Generator

Se preferisci non eseguire OpenSSL, il nostro CSR Generator crea una CSR e una chiave privata equivalenti a partire da un unico modulo. Scegli RSA 2048, ECDSA P-256 o ECDSA P-384 in modo che l’output corrisponda a quanto accettato da Nutanix, compila il tuo subject e l’elenco SAN, poi scarica la chiave e la CSR. Salva il file della chiave nello stesso modo in cui salveresti l’output di OpenSSL: Prism non può riemetterla né recuperarla.