跳过导航链接 | |
退出打印视图 | |
Oracle Solaris 10 1/13 安装指南:基于网络的安装 Oracle Solaris 10 1/13 Information Library (简体中文) |
1. 在何处查找 Oracle Solaris 安装规划信息
SPARC: 如何在 WAN boot 服务器上安装 wanboot 程序
在 WAN boot 服务器上创建 /etc/netboot 分层结构
如何在 WAN boot 服务器上创建 /etc/netboot 分层结构
将 WAN boot CGI 程序复制到 WAN boot 服务器
如何将 wanboot-cgi 程序复制到 WAN boot 服务器
13. SPARC: 使用 WAN boot 进行安装(任务)
要在从 WAN boot 服务器到客户机的传送期间保护数据,可以使用安全套接字层上的 HTTP (HTTPS)。要使用安全 WAN boot 安装配置中描述的更多安全安装配置,必须启用您的 Web 服务器以使用 HTTPS。
如果您不想执行安全 WAN boot,请跳过此部分描述的过程。要继续准备进行安全性较低的安装,请参见创建 JumpStart 安装文件。
要允许 WAN boot 服务器上的 Web 服务器软件使用 HTTPS,必须执行以下任务。
激活 Web 服务器软件中的安全套接字层 (Secure Sockets Layer, SSL) 支持。
启用 SSL 支持和客户机认证的过程随 Web 服务器的不同而不同。本文档未说明如何在 Web 服务器上启用这些安全功能。有关这些功能的信息,请参见您的 Web 服务器文档。有关在 Apache Web 服务器上激活 SSL 的信息,请参见 http://httpd.apache.org/docs-project/ 上的 "Apache Documentation Project"(“Apache 文档项目”)。
在 WAN boot 服务器上安装数字证书。
有关将数字证书用于 WAN boot 的信息,请参见如何使用数字证书进行服务器和客户机验证。
为客户机提供受信任证书。
有关如何创建受信任证书的说明,请参见如何使用数字证书进行服务器和客户机验证。
创建散列密钥和加密密钥。
有关如何创建密钥的说明,请参见如何创建散列密钥和加密密钥。
(可选)配置 Web 服务器软件,以支持客户机认证。
有关如何配置 Web 服务器,以支持客户机认证的信息,请参见 Web 服务器的文档。
此部分说明如何在 WAN boot 安装中使用数字证书和密钥。
WAN boot 安装方法可以使用 PKCS#12 文件,以通过带有服务器认证/客户机和服务器认证的 HTTPS 来执行安装。有关使用 PKCS#12 文件的要求和指南,请参见数字证书要求。
如果您不想执行安全 WAN boot,请跳至创建 JumpStart 安装文件。
开始之前
拆分 PKCS#12 文件之前,请在 WAN boot 服务器上创建 /etc/netboot 分层结构的相应子目录。
有关描述 /etc/netboot 分层结构的概述信息,请参见在 /etc/netboot 分层结构中存储配置和安全信息。
有关如何创建 /etc/netboot 分层结构的说明,请参见在 WAN boot 服务器上创建 /etc/netboot 分层结构。
# wanbootutil p12split -i p12cert \ -t /etc/netboot/net-IP/client-ID/truststore
将 PKCS#12 文件拆分为独立的私钥文件和证书文件。
指定要拆分的 PKCS#12 文件的名称。
将证书插入客户机的 truststore 文件中。net-IP 是客户机子网的 IP 地址。client-ID 可以是用户定义的 ID,也可以是 DHCP 客户机 ID。
将客户机证书插入客户机的 certstore 中。
# wanbootutil p12split -i p12cert -c \ /etc/netboot/net-IP/client-ID/certstore -k keyfile
指定要拆分的 PKCS#12 文件的名称。
将客户机证书插入客户机的 certstore 中。net-IP 是客户机子网的 IP 地址。client-ID 可以是用户定义的 ID,也可以是 DHCP 客户机 ID。
指定通过拆分 PKCS#12 文件而创建的客户机 SSL 私钥文件的名称。
将私钥插入客户机的 keystore 中。
# wanbootutil keymgmt -i -k keyfile \ -s /etc/netboot/net-IP/client-ID/keystore -o type=rsa
示例 12-4 创建用于服务器认证的受信任证书
在以下示例中,将使用 PKCS#12 文件在子网 192.168.198.0 中安装客户机 010003BA152A42。此命令样例从名为 client.p12 的 PKCS#12 文件中提取证书。然后将受信任证书的内容放入客户机的 truststore 文件中。
在执行这些命令之前,您首先必须采用与 Web 服务器用户相同的用户角色。在本示例中,Web 服务器用户角色为 nobody。
server# su nobody Password: nobody# wanbootutil p12split -i client.p12 \ -t /etc/netboot/192.168.198.0/010003BA152A42/truststore nobody# chmod 600 /etc/netboot/192.168.198.0/010003BA152A42/truststore
接下来的步骤
创建数字证书后,请创建一个散列密钥和一个加密密钥。有关说明,请参见如何创建散列密钥和加密密钥。
另请参见
有关如何创建受信任证书的更多信息,请参见 wanbootutil(1M) 手册页。
如果要使用 HTTPS 传送数据,那么您必须创建 HMAC SHA1 散列密钥和加密密钥。如果您计划通过半专用网络进行安装,可能不希望对安装数据进行加密。您可以使用 HMAC SHA1 散列密钥检查 wanboot 程序的完整性。
如果您不想执行安全 WAN boot,请跳至创建 JumpStart 安装文件。
# wanbootutil keygen -m
# wanbootutil keygen -c -o [net=net-IP,{cid=client-ID,}]type=sha1
从主密钥中创建客户机的散列密钥。
指示包含 wanbootutil keygen 命令的附加选项。
指定客户机子网的 IP 地址。如果不使用 net 选项,密钥将存储在 /etc/netboot/keystore 文件中,并可供所有 WAN boot 客户机使用。
指定客户机 ID。客户机 ID 可以是用户定制的 ID,也可以是 DHCP 客户机 ID。cid 选项之前必须有一个有效的 net= 值。如果指定 net 选项时未带有 cid 选项,密钥将存储在 /etc/netboot/net-ip/keystore 文件中。net-IP 子网上的所有 WAN boot 客户机均可使用此密钥。
指示 wanbootutil keygen 实用程序创建客户机的 HMAC SHA1 散列密钥。
您需要创建加密密钥以通过 HTTPS 执行 WAN boot 安装。在客户机与 WAN boot 服务器建立 HTTPS 连接之前,WAN boot 服务器会将加密数据和信息传送至客户机。在安装期间,加密密钥使客户机解密此信息,然后使用其中的信息。
如果只是要检查 wanboot 程序的完整性,则无需创建加密密钥。请参见在客户机上安装密钥。
# wanbootutil keygen -c -o [net=net-IP,{cid=client-ID,}]type=key-type
创建客户机的加密密钥。
指示包含 wanbootutil keygen 命令的附加选项。
指定客户机的网络 IP 地址。如果不使用 net 选项,密钥将存储在 /etc/netboot/keystore 文件中,并可供所有 WAN boot 客户机使用。
指定客户机 ID。客户机 ID 可以是用户定制的 ID,也可以是 DHCP 客户机 ID。cid 选项之前必须有一个有效的 net= 值。如果指定 net 选项时未带有 cid 选项,密钥将存储在 /etc/netboot/net-ip/keystore 文件中。net-ip 子网上的所有 WAN boot 客户机均可使用此密钥。
指示 wanbootutil keygen 实用程序创建客户机的加密密钥。key-type 可以具有 3des 的值,也可以具有 aes 的值。
示例 12-5 创建通过 HTTPS 执行 WAN boot 安装时所需的密钥
以下示例创建了 WAN boot 服务器的主 HMAC SHA1 密钥,还创建了子网 192.168.198.0 上的客户机 010003BA152A42 的 HMAC SHA1 散列密钥和 3DES 加密密钥。
在执行这些命令之前,您首先必须采用与 Web 服务器用户相同的用户角色。在本示例中,Web 服务器用户角色为 nobody。
server# su nobody Password: nobody# wanbootutil keygen -m nobody# wanbootutil keygen -c -o net=192.168.198.0,cid=010003BA152A42,type=sha1 nobody# wanbootutil keygen -c -o net=192.168.198.0,cid=010003BA152A42,type=3des
接下来的步骤
创建散列密钥和加密密钥后,您必须创建安装文件。有关说明,请参见创建 JumpStart 安装文件。
有关如何在客户机上安装密钥的说明,请参见在客户机上安装密钥。
另请参见
有关散列密钥和加密密钥的概述信息,请参见在 WAN boot 安装期间保护数据。
有关如何创建散列密钥和加密密钥的更多信息,请参见 wanbootutil(1M) 手册页。