HTTPS方式登录UI 使用说明

Size: px

Start display at page:

Download "HTTPS方式登录UI 使用说明"

安邱
5 years ago
Views:

1 HTTPS 方式登录 UI 使用说明产品版本 :ZStack 文档版本 :V2.3.2

3 HTTPS 方式登录 UI 使用说明 / 版权声明版权声明版权所有上海云轴信息科技有限公司 2018 保留一切权利非经本公司书面许可, 任何单位和个人不得擅自摘抄复制本文档内容的部分或全部, 并不得以任何形式传播商标说明 ZStack 商标和其他云轴商标均为上海云轴信息科技有限公司的商标本文档提及的其他所有商标或注册商标, 由各自的所有人拥有注意您购买的产品服务或特性等应受上海云轴公司商业合同和条款的约束, 本文档中描述的全部或部分产品服务或特性可能不在您的购买或使用范围之内除非合同另有约定, 上海云轴公司对本文档内容不做任何明示或暗示的声明或保证由于产品版本升级或其他原因, 本文档内容会不定期进行更新除非另有约定, 本文档仅作为使用指导, 本文档中的所有陈述信息和建议不构成任何明示或暗示的担保文档版本 :V2.3.2 I

5 HTTPS 方式登录 UI 使用说明 / 1 介绍 1 介绍 ZStack 支持 HTTPS 方式登录 UI 管理界面, 进一步提升系统安全性 HTTPS 方式默认不启用启用 HTTPS 后, 系统默认支持 5443 端口, 且支持自定义指定其它端口登录启用 HTTPS 后, 如使用 HTTP 方式的 5000 端口登录, 将会自动重定向到 HTTPS 方式目前仅支持 HTTP 的 5000 端口自动重定向到 HTTPS 系统默认支持 PKCS12 格式证书目前仅提供 PKCS12/JKS 格式证书支持, 如使用其它格式证书, 请自行格式转换以下介绍 HTTPS 方式登录 UI 的使用方法文档版本 :V

6 HTTPS 方式登录 UI 使用说明 / 2 HTTPS 方式登录 UI 2 HTTPS 方式登录 UI 2.1 默认 HTTPS 方式背景信息初始状态下, 支持使用系统默认证书以 HTTPS 方式登录 UI 操作步骤 1. 在管理节点执行以下命令, 停止管理节点服务和 UI 服务 zstack-ctl stop 2. 确保 VNC 控制台支持 HTTPS 功能 a) 执行以下命令, 查看证书的路径和私钥密码 ( 初始状态下均为系统默认值 ) zstack-ctl show_ui_config 例如 : [root@localhost ~]# zstack-ctl show_ui_config db_url = jdbc:mysql:// :3306 db_username = zstack_ui db_password = zstack.ui.password mn_host = mn_port = 8080 webhook_host = webhook_port = 5000 server_port = 5000 log = /usr/local/zstack/apache-tomcat/logs enable_ssl = false ssl_keyalias = zstackui ssl_keystore = /usr/local/zstack/zstack-ui/ui.keystore.p12 // 证书路径 ssl_keystore_type = PKCS12 ssl_keystore_password = password // 私钥密码 b) 由于 UI 默认支持 PKCS12 格式证书,VNC 控制台代理默认支持 x509 格式证书, 如希望 VNC 控制台代理也能使用 UI 证书, 需将 PKCS12 格式证书转换成 x509 格式 openssl pkcs12 -in /path/to/mykeystore.p12 -out ui.keystore.pem -nodes 其中,/path/to/mykeystore.p12 是证书路径,ui.keystore.pem 是私钥密码文件例如 : [root@localhost ~]# openssl pkcs12 -in /usr/local/zstack/zstack-ui/ui.keystore.p12 \ -out ui.keystore.pem -nodes Enter Import Password: 2 文档版本 :V2.3.2

7 HTTPS 方式登录 UI 使用说明 / 2 HTTPS 方式登录 UI MAC verified OK c) 进入 /usr/local/zstack/apache-tomcat/webapps/zstack/web-inf/classes/zstack.properties 修改 zstack.properties 配置文件, 将证书路径设置为绝对路径 ( 绝对路径指向证书私钥密码文件 ) consoleproxycertfile = /usr/local/zstack/zstack-ui/ui.keystore.pem 3. 执行以下命令, 将基于默认配置自动生成证书, 并使用默认证书以 HTTPS 方式登录 UI, 端口默认为 5443 zstack-ctl config_ui --enable-ssl=true 4. 在管理节点执行以下命令, 启动管理节点服务和 UI 服务 zstack-ctl start 5. 使用 Chrome 浏览器或 FireFox 浏览器进入 ZStack 管理界面 ( 输入默认用户名和密码 (admin/password), 即可以默认 HTTPS 方式成功登录 2.2 自定义 HTTPS 方式背景信息操作步骤初始状态下, 支持使用自定义证书以 HTTPS 方式登录 UI 1. 准备好自定义证书, 可使用相关工具生成自签证书, 也可购买正规 CA 签发证书如使用 Keytool(Java 数据证书管理工具 ) 生成自签证书 : mkdir certs keytool -genkey -alias tomcat -storetype PKCS12 -keyalg RSA -keysize keystore./ certs/keystore.p12 -validity 365 例如 : [root@localhost ~]# mkdir certs [root@localhost ~]# keytool -genkey -alias tomcat -storetype PKCS12 -keyalg RSA - keysize 2048 \ -keystore./certs/keystore.p12 -validity 365 输入密钥库口令 : 再次输入新口令 : 您的名字与姓氏是什么? [Unknown]: Jack Chen 您的组织单位名称是什么? [Unknown]: ZStack 您的组织名称是什么? [Unknown]: DOC 您所在的城市或区域名称是什么? 文档版本 :V

8 HTTPS 方式登录 UI 使用说明 / 2 HTTPS 方式登录 UI [Unknown]: SH 您所在的省 / 市 / 自治区名称是什么? [Unknown]: SH 该单位的双字母国家 / 地区代码是什么? [Unknown]: CN CN=Jack Chen, OU=ZStack, O=DOC, L=SH, ST=SH, C=CN 是否正确? [ 否 ]: 是 [root@localhost certs]# ls keystore.p12 2. 在管理节点执行以下命令, 停止管理节点服务和 UI 服务 zstack-ctl stop 3. 确保 VNC 控制台支持 HTTPS 功能 a) VNC 控制台代理默认支持 x509 格式证书, 如有需要, 进行证书格式转换如将 PKCS12 格式证书转换成 x509 格式 : openssl pkcs12 -in /path/to/mykeystore.p12 -out ui.keystore.pem -nodes 其中,/path/to/mykeystore.p12 是证书路径,ui.keystore.pem 是私钥密码文件例如 : [root@localhost ~]# openssl pkcs12 -in /root/certs/keystore.p12 \ -out ui.keystore.pem -nodes Enter Import Password: MAC verified OK b) 修改 zstack.properties 配置文件, 将证书路径设置为绝对路径 ( 绝对路径指向证书私钥密码文件 ) consoleproxycertfile = /usr/local/zstack/zstack-ui/ui.keystore.pem 4. 执行以下命令, 自定义证书别名证书路径证书类型私钥密码 HTTPS 登录端口等信息, 并使用自定义证书以 HTTPS 方式登录 UI zstack-ctl config_ui --enable-ssl=true \ --ssl-keyalias=*** --ssl-keystore=*** --ssl-keystore-type=*** \ --ssl-keystore-password=*** --server-port=*** // 将自定义参数信息记录到 zstack.ui.properties 配置文件 // 包括设置 : 启用 HTTPS 功能证书别名证书路径证书类型私钥密码 HTTPS 登录端口 zstack-ctl show_ui_config // 可查看自定义参数信息 zstack-ctl stop_ui 4 文档版本 :V2.3.2

9 HTTPS 方式登录 UI 使用说明 / 2 HTTPS 方式登录 UI zstack-ctl start_ui // 每次以 HTTPS 方式登录 UI 例如 : [root@localhost ~]# zstack-ctl config_ui --enable-ssl=true \ --ssl-keyalias=tomcat --ssl-keystore=/root/certs/keystore.p12 --ssl-keystore-type=pkcs12 \ --ssl-keystore-password=password --server-port=8888 [root@localhost ~]# zstack-ctl show_ui_config db_url = jdbc:mysql:// :3306 db_username = zstack_ui db_password = zstack.ui.password mn_host = mn_port = 8080 webhook_host = webhook_port = 5000 server_port = 8888 log = /usr/local/zstack/apache-tomcat/logs enable_ssl = true ssl_keyalias = tomcat ssl_keystore = /usr/local/zstack/zstack-ui/ui.keystore.p12.cp ssl_keystore_type = PKCS12 ssl_keystore_password = password [root@localhost ~]# zstack-ctl stop_ui successfully stopped the UI server [root@localhost ~]# zstack-ctl start_ui successfully started UI server on the local host, PID[32166], 5. 在管理节点执行以下命令, 启动管理节点服务和 UI 服务 zstack-ctl start 6. 使用 Chrome 浏览器或 FireFox 浏览器进入 ZStack 管理界面 ( rver_port), 输入默认用户名和密码 (admin/password), 即可以自定义 HTTPS 方式成功登录注 : 若使用 FireFox 浏览器访问 VNC 控制台, 需单独指定这样的端口许可例外, 才可正常打开 VNC 控制台文档版本 :V

10 HTTPS 方式登录 UI 使用说明 / 3 恢复 HTTP 方式登录 UI 3 恢复 HTTP 方式登录 UI 操作步骤 1. 执行以下命令, 将 zstack.ui.properties 中关于 HTTPS 功能的相关参数恢复到系统默认值后续操作 zstack-ctl config_ui --restore 2. 执行 zstack-ctl stop_ui 及 zstack-ctl start_ui 即可例如 : [root@localhost ~]# zstack-ctl config_ui --restore [root@localhost ~]# zstack-ctl show_ui_config db_url = jdbc:mysql:// :3306 db_username = zstack_ui db_password = zstack.ui.password mn_host = mn_port = 8080 webhook_host = webhook_port = 5000 server_port = 5000 log = /usr/local/zstack/apache-tomcat/logs enable_ssl = false ssl_keyalias = zstackui ssl_keystore = /usr/local/zstack/zstack-ui/ui.keystore.p12 ssl_keystore_type = PKCS12 ssl_keystore_password = password [root@localhost ~]# zstack-ctl stop_ui successfully stopped the UI server [root@localhost ~]# zstack-ctl start_ui successfully started UI server on the local host, PID[43261], 3. 使用 Chrome 浏览器或 FireFox 浏览器进入 ZStack 管理界面 ( 输入默认用户名和密码 (admin/password), 即可恢复默认 HTTP 方式成功登录至此,HTTPS 方式登录 UI 的使用方法介绍完毕 6 文档版本 :V2.3.2

11 HTTPS 方式登录 UI 使用说明 / 术语表术语表区域 (Zone) ZStack 中最大的一个资源定义, 包括集群二层网络主存储等资源集群 (Cluster) 一个集群是类似物理主机 (Host) 组成的逻辑组在同一个集群中的物理主机必须安装相同的操作系统 ( 虚拟机管理程序,Hypervisor), 拥有相同的二层网络连接, 可以访问相同的主存储在实际的数据中心, 一个集群通常对应一个机架 (Rack) 管理节点 (Management Node) 安装系统的物理主机, 提供 UI 管理云平台部署功能计算节点 (Compute Node) 也称之为物理主机 ( 或物理机 ), 为云主机实例提供计算网络存储等资源的物理主机主存储 (Primary Storage) 用于存储云主机磁盘文件的存储服务器支持本地存储 NFS Ceph FusionStor Shared Mount Point 等类型镜像服务器 (Backup Storage) 也称之为备份存储服务器, 主要用于保存镜像模板文件建议单独部署镜像服务器镜像仓库 (Image Store) 镜像服务器的一种类型, 可以为正在运行的云主机快速创建镜像, 高效管理云主机镜像的版本变迁以及发布, 实现快速上传下载镜像, 镜像快照, 以及导出镜像的操作云主机 (VM Instance) 运行在物理机上的虚拟机实例, 具有独立的 IP 地址, 可以访问公共网络, 运行应用服务镜像 (Image) 云主机或云盘使用的镜像模板文件, 镜像模板包括系统云盘镜像和数据云盘镜像文档版本 :V

12 HTTPS 方式登录 UI 使用说明 / 术语表云盘 (Volume) 云主机的数据盘, 给云主机提供额外的存储空间, 共享云盘可挂载到一个或多个云主机共同使用计算规格 (Instance Offering) 启动云主机涉及到的 CPU 数量内存网络设置等规格定义云盘规格 (Disk Offering) 创建云盘容量大小的规格定义二层网络 (L2 Network) 二层网络对应于一个二层广播域, 进行二层相关的隔离一般用物理网络的设备名称标识三层网络 (L3 Network) 云主机使用的网络配置, 包括 IP 地址范围网关 DNS 等公有网络 (Public Network) 由因特网信息中心分配的公有 IP 地址或者可以连接到外部互联网的 IP 地址私有网络 (Private Network) 云主机连接和使用的内部网络 L2NoVlanNetwork 物理主机的网络连接不采用 Vlan 设置 L2VlanNetwork 物理主机节点的网络连接采用 Vlan 设置,Vlan 需要在交换机端提前进行设置 VXLAN 网络池 (VXLAN Network Pool) VXLAN 网络中的 Underlay 网络, 一个 VXLAN 网络池可以创建多个 VXLAN Overlay 网络 ( 即 VXLAN 网络 ), 这些 Overlay 网络运行在同一组 Underlay 网络设施上 VXLAN 网络 (VXLAN) 使用 VXLAN 协议封装的二层网络, 单个 VXLAN 网络需从属于一个大的 VXLAN 网络池, 不同 VXLAN 网络间相互二层隔离 8 文档版本 :V2.3.2

13 HTTPS 方式登录 UI 使用说明 / 术语表云路由 (vrouter) 云路由通过定制的 Linux 云主机来实现的多种网络服务安全组 (Security Group) 针对云主机进行第三层网络的防火墙控制, 对 IP 地址网络包类型或网络包流向等可以设置不同的安全规则弹性 IP(EIP) 公有网络接入到私有网络的 IP 地址快照 (Snapshot) 某一个时间点上某一个磁盘的数据备份包括自动快照和手动快照两种类型文档版本 :V