Rozwiązywanie problemów z łańcuchem certyfikatów wymaganych dla OpenManage Enterprise Migration

• Certificate = certyfikat podpisany przez instytucję certyfikującą (autonomiczny)
• Certificate Chain = certyfikat podpisany przez instytucję certyfikującą + pośredni certyfikat urzędu certyfikacji (jeśli istnieje) + certyfikat głównego urzędu certyfikacji

Wymagania dotyczące łańcucha certyfikatów dla migracji 

1. Certificate Signing Request key matches — podczas przekazywania certyfikatu klucz żądania podpisania certyfikatu (CSR) jest sprawdzany. Oprogramowanie OpenManage Enterprise obsługuje tylko przesyłanie certyfikatów, które są żądane za pomocą żądania podpisanego certyfikatu (CSR) przez to urządzenie. Sprawdzanie poprawności jest wykonywane podczas przesyłania zarówno pojedynczego certyfikatu serwera, jak i łańcucha certyfikatów.
2. Kodowanie certyfikatów — plik certyfikatu wymaga kodowania Base 64. Upewnij się, że podczas zapisywania wyeksportowanego certyfikatu z urzędu certyfikacji używane jest kodowanie Base 64, w przeciwnym razie plik certyfikatu zostanie uznany za nieprawidłowy.
3. Sprawdź poprawność użycia klucza rozszerzonego certyfikatu — sprawdź, czy użycie klucza jest włączone zarówno dla uwierzytelniania serwera, jak i uwierzytelniania klienta. Wynika to z faktu, że migracja jest dwukierunkową komunikacją między źródłem i obiektem docelowym, w której każdy z nich może działać jako serwer i klient podczas wymiany informacji. W przypadku certyfikatów pojedynczego serwera wymagane jest tylko uwierzytelnianie serwera.
4. Certyfikat jest włączony do szyfrowania klucza — szablon certyfikatu użyty do wygenerowania certyfikatu musi zawierać szyfrowanie klucza. Dzięki temu klucze w certyfikacie mogą być używane do szyfrowania komunikacji.
5. Łańcuch certyfikatów z certyfikatem głównym — certyfikat zawiera pełny łańcuch zawierający certyfikat główny. Jest to wymagane dla źródła i obiektu docelowego, aby upewnić się, że oba elementy są zaufane. Certyfikat główny jest dodawany do zaufanego magazynu głównego każdego urządzenia. WAŻNE: OpenManage Enterprise obsługuje maksymalnie 10 certyfikatów wiodących w łańcuchu certyfikatów.
6. Wystawiony dla i wystawiony przez — certyfikat główny jest używany jako kotwica zaufania, a następnie używany do sprawdzania poprawności wszystkich certyfikatów w łańcuchu względem tej kotwicy zaufania. Upewnij się, że łańcuch certyfikatów zawiera certyfikat główny.

Operacja przesyłania łańcucha certyfikatów

• CGEN1008 — nie można przetworzyć żądania, ponieważ wystąpił błąd
• CSEC9002 — nie można przekazać certyfikatu, ponieważ podany plik certyfikatu jest nieprawidłowy.

CGEN1008 — nie można przetworzyć żądania, ponieważ wystąpił błąd.

CGEN1008 - Unable to process the request because an error occurred.
Retry the operation. If the issue persists, contact your system administrator.

• Nieprawidłowy klucz CSR dla łańcucha certyfikatów
  • Upewnij się, że certyfikat został wygenerowany przy użyciu CSR z interfejsu sieciowego oprogramowania OpenManage Enterprise. Oprogramowanie OpenManage Enterprise nie obsługuje przesyłania certyfikatu, który nie został wygenerowany przy użyciu CSR z tego samego urządzenia.
  • W dzienniku aplikacji tomcat znajdującym się w pakiecie dzienników konsoli widoczny jest następujący błąd:

./tomcat/application.log

[ERROR] 2024-01-25 11:10:34.735 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-10] SSLController - uploadNewCertificateChain():
 Error uploading certificate chain: {"error":{"code":"Base.1.0.GeneralError",
"message":"A general error has occurred. See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CGEN1008","RelatedProperties":[],
"Message":"Unable to process the request because an error occurred.",
"MessageArgs":["Invalid CSR key."],
"Severity":"Critical","Resolution":"Retry the operation. If the issue persists, contact your system administrator."}]}}

• Nieprawidłowy łańcuch certyfikatów
  • Certyfikat główny i certyfikaty wszystkich pośrednich urzędów certyfikacji muszą być zawarte w certyfikacie.
  • W dzienniku aplikacji tomcat znajdującym się w pakiecie dzienników konsoli widoczny jest następujący błąd:

./tomcat/application.log

[ERROR] 2024-01-25 11:04:56.396 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-1] SSLController - uploadNewCertificateChain():
 Error uploading certificate chain: {"error":{"code":"Base.1.0.GeneralError",
"message":"A general error has occurred. See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CGEN1008","RelatedProperties":[],
"Message":"Unable to process the request because an error occurred.",
"MessageArgs":["Invalid certificate chain provided."],
"Severity":"Critical","Resolution":"Retry the operation. If the issue persists, contact your system administrator."}]}}

• Nie znaleziono nazwy pospolitej w certyfikacie liścia — wszystkie certyfikaty muszą zawierać nazwy pospolite i nie mogą zawierać żadnych symboli wieloznacznych (*).

CGEN6002 - Unable to complete the request because the input value for DistinguishedName is missing or an invalid value is entered.

 

• W certyfikacie liścia nie ma rozszerzonego użycia klucza (EKU) uwierzytelniania klienta i serwera
  • Certyfikat musi obejmować zarówno uwierzytelnianie serwera, jak i klienta, aby można było korzystać z klucza rozszerzonego.
  • W dzienniku aplikacji tomcat znajdującym się w pakiecie dzienników konsoli widoczny jest następujący błąd:

./tomcat/application.log

[ERROR] 2024-01-25 10:56:54.175 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-17] SSLController - uploadNewCertificateChain():
 Error uploading certificate chain: {"error":{"code":"Base.1.0.GeneralError",
"message":"A general error has occurred. See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CGEN1008","RelatedProperties":[],
"Message":"Unable to process the request because an error occurred.",
"MessageArgs":["No Client/Server authentication EKU present in leaf certificate."],
"Severity":"Critical","Resolution":"Retry the operation. If the issue persists, contact your system administrator."}]}}

• Przejrzyj szczegóły certyfikatu, aby uzyskać informacje na temat rozszerzonego użycia klucza. Jeśli brakuje któregokolwiek z nich, upewnij się, że szablon użyty do wygenerowania certyfikatu jest włączony dla obu.

 

• Brak szyfrowania klucza dla użycia klucza
  • Przesyłany certyfikat musi mieć wymienione szyfrowanie klucza w celu użycia klucza.
  • W dzienniku aplikacji tomcat znajdującym się w pakiecie dzienników konsoli widoczny jest następujący błąd:

./tomcat/application.log

[ERROR] 2024-01-25 11:01:01.475 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-3] SSLController - uploadNewCertificateChain():
 Error uploading certificate chain: {"error":{"code":"Base.1.0.GeneralError","message":"A general error has occurred.
 See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CGEN1008","RelatedProperties":[],
"Message":"Unable to process the request because an error occurred.",
"MessageArgs":["User Certificate is not a web server certificate."],
"Severity":"Critical","Resolution":"Retry the operation. If the issue persists, contact your system administrator."}]}}

• Przejrzyj szczegóły certyfikatu dotyczące użycia klucza. Upewnij się, że szablon użyty do wygenerowania certyfikatu ma włączone szyfrowanie klucza.

 
 

CSEC9002 — Nie można przekazać certyfikatu, ponieważ podany plik certyfikatu jest nieprawidłowy.

CSEC9002 - Unable to upload the certificate because the certificate file provided is invalid.
Make sure the CA certificate and private key are correct and retry the operation.

• Szyfrowanie braku klucza certyfikatu serwera
  • Upewnij się, że szablon użyty do wygenerowania certyfikatu ma włączone szyfrowanie klucza. W przypadku korzystania z certyfikatu do migracji należy upewnić się, że przekazano pełny łańcuch certyfikatów, a nie pojedynczy certyfikat serwera.
  • W dzienniku aplikacji tomcat znajdującym się w pakiecie dzienników konsoli widoczny jest następujący błąd:

./tomcat/application.log

[ERROR] 2024-01-29 08:03:05.200 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-3] SSLController - {"error":{"code":"Base.1.0.GeneralError",
"message":"A general error has occurred. See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CSEC9002","RelatedProperties":[],
"Message":"Unable to upload the certificate because the certificate file provided is invalid.",
"MessageArgs":[],"Severity":"Critical","Resolution":"Make sure the CA certificate and private key are correct and retry the operation."}]}}

• Plik certyfikatu zawiera nieprawidłowe kodowanie
  • Upewnij się, że plik certyfikatu został zapisany przy użyciu kodowania Base 64.
  • W dzienniku aplikacji tomcat znajdującym się w pakiecie dzienników konsoli widoczny jest następujący błąd:

./tomcat/application.log

[ERROR] 2024-01-29 08:03:05.200 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-3] SSLController - {"error":{"code":"Base.1.0.GeneralError",
"message":"A general error has occurred. See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CSEC9002","RelatedProperties":[],
"Message":"Unable to upload the certificate because the certificate file provided is invalid.",
"MessageArgs":[],"Severity":"Critical","Resolution":"Make sure the CA certificate and private key are correct and retry the operation."}]}}

Operacja weryfikacji połączenia migracji

• Wystawione dla i wydane przez – nazwy urzędów certyfikacji w łańcuchu między certyfikatami źródłowymi i docelowymi mają takie same wartości "wystawiony dla" i "wystawiony przez". Jeśli te nazwy nie są zgodne, źródło lub obiekt docelowy nie może zweryfikować, czy te same urzędy podpisujące wystawiły certyfikaty. Ma to kluczowe znaczenie dla przestrzegania zasad bezpieczeństwa Zero-Trust.

• Okres ważności — sprawdza okres ważności certyfikatu z datą i godziną urządzenia.
• Maksymalna głębokość — sprawdź, czy łańcuch certyfikatów nie przekracza maksymalnej głębokości 10 certyfikatów liścia.

Unable to mutually authenticate and connect to the remote appliance.
Please check the source and target appliances has valid certificate chain uploaded which are signed by the same CA.

Pomiń wymagania dotyczące łańcucha certyfikatów

Jeśli nadal występują problemy ze spełnianiem wymagań łańcucha certyfikatów, istnieje obsługiwana metoda, której można użyć do wykorzystania certyfikatów z podpisem własnym. Kontynuuj korzystanie z funkcji tworzenia kopii zapasowych i przywracania w sposób opisany w następującym artykule:

https://www.dell.com/support/kbdoc/en-us/000223239/openmanage-enterprise-administrators-may-run-across-several-errors-during-the-certificate-chain-upload-cgen1008-and-csec9002-report-challenges-in-procuring-a-certificate-chain-required-by-openmanage-enterprise-ome-4-0-x-for-the-migration-featur