为什么要换证书
iDRAC 出厂使用自签名证书，浏览器会提示不受信任，部分审计条款和自动化工具也会因此报错。替换流程是：生成 CSR、由企业 CA 签发、上传证书、重启 iDRAC 生效。不同固件版本对私钥的处理方式不同，动手前先查对应机型的手册。
基本信息
| 适用平台 | Dell PowerEdge 的 iDRAC，使用 racadm 命令行或 SSH 会话 |
|---|---|
| 权限要求 | iDRAC 管理员账号 |
| 证书类型 | -t 1 表示 Web 服务器证书（另有目录服务等其它类型） |
| 生效方式 | 上传后执行 racreset，管理控制器重启 |
| 校验工具 | openssl s_client 检查证书链、有效期与 SAN |
典型使用场景
- 消除浏览器不受信任告警，日常登录不再逐次点确认
- 满足审计要求：管理面不得长期使用自签名证书
- 自动化工具默认校验证书时，避免连接被直接拒绝
- 证书到期前主动轮换，防止管理面登录被证书错误阻断
- 批量替换前先在一台验证流程与重启影响
生成与替换
生成与替换
# 1) 生成 CSR，Common Name 与 SAN 要覆盖实际访问的 IP 或域名
racadm sslcsrgen -g -f /tmp/idrac.csr
# 2) 交给企业 CA 签发，取回只含证书的文件（私钥按版本要求另行处理）
# 3) 先备份当前证书，出问题可回滚
racadm sslcertdownload -t 1 -f /tmp/idrac-old-$(date +%F).cer
# 4) 上传新证书并重启管理控制器生效
racadm sslcertupload -t 1 -f /tmp/idrac-new.cer
racadm racreset # 连接会中断，数十秒后恢复
# 5) 验证证书链与 SAN 是否生效
openssl s_client -connect 10.0.0.10:443 -showcerts </dev/null | openssl x509 -noout -subject -dates -ext subjectAltName替换后核对
| 核对项 | 正常表现 | 异常处理 |
|---|---|---|
| 证书链 | openssl 输出能找到完整链 | 只传终端证书会提示不完整，需补中间证书 |
| 有效期 | notAfter 处于预期周期内 | 时间异常说明传了旧文件或尚未生效 |
| SAN 列表 | 覆盖当前 IP 或域名，类型正确 | 缺失时浏览器报名称不匹配 |
| 握手结果 | Web 与接口均可正常登录 | 握手失败多为证书与私钥不匹配 |
racreset 期间 Web 界面与 Redfish 全部不可用，连续快速重启还可能让管理控制器进入恢复状态：避开业务关键窗口，一次做完。
报格式错误时，先确认上传的是 PEM 或 DER 且不含多余文本；把文件统一转换后再上传，比反复重试更快定位问题。