Виправлення неполадок із ланцюжком сертифікатів, потрібних для міграції OpenManage Enterprise

• Сертифікат = сертифікат із підписом ЦС (автономний)
• Ланцюжок сертифікатів = підписаний сертифікат ЦС + проміжний сертифікат ЦС (за наявності) + кореневий сертифікат ЦС

Вимоги до ланцюжка сертифікатів для міграції 

1. Збіги ключів запиту на підписування сертифіката – під час завантаження сертифіката перевіряється ключ запиту на підписування сертифіката (CSR). OpenManage Enterprise підтримує вивантаження лише тих сертифікатів, які запитуються за допомогою запиту на підписання сертифіката (CSR) цим пристроєм. Ця перевірка валідації виконується під час вивантаження як для окремого сервера-сертифіката, так і для ланцюжка сертифікатів.
2. Кодування сертифіката – файл сертифіката потребує кодування Base 64. Переконайтеся, що під час збереження експортованого сертифіката з центру сертифікації використовується кодування Base 64, інакше файл сертифіката вважатиметься недійсним.
3. Перевірка розширеного використання ключа сертифіката – переконайтеся, що використання ключа ввімкнено як для автентифікації сервера, так і для автентифікації клієнта. Це пов'язано з тим, що міграція є двостороннім зв'язком між джерелом і об'єктом, де будь-який з них може виступати в ролі сервера і клієнта під час обміну інформацією. Для окремих сертифікатів сервера потрібна лише автентифікація сервера.
4. Сертифікат увімкнено для шифрування ключа - шаблон сертифіката, який використовується для створення сертифіката, повинен містити шифрування ключа. Це гарантує, що ключі в сертифікаті можна буде використовувати для шифрування зв'язку.
5. Ланцюжок сертифікатів із кореневим сертифікатом - Сертифікат містить повний ланцюжок , який включає кореневий сертифікат. Це потрібно для того, щоб джерело та ціль могли довіряти обом. Кореневий сертифікат буде додано до надійного кореневого сховища кожної базової системи. ВАЖЛИВИЙ: OpenManage Enterprise підтримує щонайбільше 10 сертифікатів лідів у ланцюжку сертифікатів.
6. Виданий і виданий - кореневий сертифікат використовується як якір довіри, а потім використовується для перевірки всіх сертифікатів у ланцюжку на відповідність цьому якорю довіри. Переконайтеся, що ланцюжок сертифікатів містить кореневий сертифікат.

Операція завантаження ланцюжка сертифікатів

• CGEN1008 - Не вдається обробити запит через помилку
• CSEC9002 - Не вдається завантажити сертифікат, оскільки наданий файл сертифіката недійсний.

CGEN1008 - Неможливо обробити запит через помилку.

CGEN1008 - Unable to process the request because an error occurred.
Retry the operation. If the issue persists, contact your system administrator.

• Недійсний ключ CSR для ланцюжка сертифікатів
  • Переконайтеся, що сертифікат згенеровано за допомогою CSR із веб-інтерфейсу OpenManage Enterprise. OpenManage Enterprise не підтримує завантаження сертифіката, який не було створено за допомогою CSR з того самого пристрою.
  • Наступна помилка видно в журналі додатків tomcat, розташованому в зв'язці журналу консолі:

./tomcat/application.log

[ERROR] 2024-01-25 11:10:34.735 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-10] SSLController - uploadNewCertificateChain():
 Error uploading certificate chain: {"error":{"code":"Base.1.0.GeneralError",
"message":"A general error has occurred. See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CGEN1008","RelatedProperties":[],
"Message":"Unable to process the request because an error occurred.",
"MessageArgs":["Invalid CSR key."],
"Severity":"Critical","Resolution":"Retry the operation. If the issue persists, contact your system administrator."}]}}

• Недійсний ланцюжок сертифікатів
  • Кореневий сертифікат і всі сертифікати проміжних центрів сертифікації повинні бути включені в сертифікат.
  • Наступна помилка видно в журналі додатків tomcat, розташованому в зв'язці журналу консолі:

./tomcat/application.log

[ERROR] 2024-01-25 11:04:56.396 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-1] SSLController - uploadNewCertificateChain():
 Error uploading certificate chain: {"error":{"code":"Base.1.0.GeneralError",
"message":"A general error has occurred. See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CGEN1008","RelatedProperties":[],
"Message":"Unable to process the request because an error occurred.",
"MessageArgs":["Invalid certificate chain provided."],
"Severity":"Critical","Resolution":"Retry the operation. If the issue persists, contact your system administrator."}]}}

• У листовому сертифікаті не знайдено спільної назви - Усі сертифікати повинні містити загальні назви та не містити символів узагальнення (*).

CGEN6002 - Unable to complete the request because the input value for DistinguishedName is missing or an invalid value is entered.

 

• Розширене використання ключа автентифікації клієнта та сервера (EKU) у листовому сертифікаті
  • Сертифікат повинен включати автентифікацію як сервера, так і клієнта для розширеного використання ключа.
  • Наступна помилка видно в журналі додатків tomcat, розташованому в зв'язці журналу консолі:

./tomcat/application.log

[ERROR] 2024-01-25 10:56:54.175 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-17] SSLController - uploadNewCertificateChain():
 Error uploading certificate chain: {"error":{"code":"Base.1.0.GeneralError",
"message":"A general error has occurred. See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CGEN1008","RelatedProperties":[],
"Message":"Unable to process the request because an error occurred.",
"MessageArgs":["No Client/Server authentication EKU present in leaf certificate."],
"Severity":"Critical","Resolution":"Retry the operation. If the issue persists, contact your system administrator."}]}}

• Перегляньте відомості про сертифікат для розширеного використання ключа. Якщо жодного з них не вистачає, переконайтеся, що шаблон, який використовується для створення сертифіката, увімкнено для обох.

 

• Відсутнє шифрування ключа для використання ключа
  • Сертифікат, який завантажується, повинен мати зашифрований ключ для використання ключа.
  • Наступна помилка видно в журналі додатків tomcat, розташованому в зв'язці журналу консолі:

./tomcat/application.log

[ERROR] 2024-01-25 11:01:01.475 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-3] SSLController - uploadNewCertificateChain():
 Error uploading certificate chain: {"error":{"code":"Base.1.0.GeneralError","message":"A general error has occurred.
 See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CGEN1008","RelatedProperties":[],
"Message":"Unable to process the request because an error occurred.",
"MessageArgs":["User Certificate is not a web server certificate."],
"Severity":"Critical","Resolution":"Retry the operation. If the issue persists, contact your system administrator."}]}}

• Перегляньте відомості про використання ключа в сертифікаті. Переконайтеся, що в шаблоні, який використовується для створення сертифіката, увімкнено шифрування ключа.

 
 

CSEC9002 - Не вдається завантажити сертифікат, оскільки наданий файл сертифіката недійсний.

CSEC9002 - Unable to upload the certificate because the certificate file provided is invalid.
Make sure the CA certificate and private key are correct and retry the operation.

• Шифрування відсутнього ключа сертифіката сервера
  • Переконайтеся, що в шаблоні, який використовується для створення сертифіката, увімкнено шифрування ключа. Використовуючи сертифікат для міграції, переконайтеся, що завантажено весь ланцюжок сертифікатів, а не один сертифікат сервера.
  • Наступна помилка видно в журналі додатків tomcat, розташованому в зв'язці журналу консолі:

./tomcat/application.log

[ERROR] 2024-01-29 08:03:05.200 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-3] SSLController - {"error":{"code":"Base.1.0.GeneralError",
"message":"A general error has occurred. See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CSEC9002","RelatedProperties":[],
"Message":"Unable to upload the certificate because the certificate file provided is invalid.",
"MessageArgs":[],"Severity":"Critical","Resolution":"Make sure the CA certificate and private key are correct and retry the operation."}]}}

• Файл сертифіката містить неправильне кодування
  • Переконайтеся, що файл сертифіката збережено з використанням кодування Base 64.
  • Наступна помилка видно в журналі додатків tomcat, розташованому в зв'язці журналу консолі:

./tomcat/application.log

[ERROR] 2024-01-29 08:03:05.200 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-3] SSLController - {"error":{"code":"Base.1.0.GeneralError",
"message":"A general error has occurred. See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CSEC9002","RelatedProperties":[],
"Message":"Unable to upload the certificate because the certificate file provided is invalid.",
"MessageArgs":[],"Severity":"Critical","Resolution":"Make sure the CA certificate and private key are correct and retry the operation."}]}}

Операція перевірки міграційного з'єднання

• Видано та видано - Назви центрів сертифікації в ланцюжку між кожним вихідним і цільовим сертифікатами мають однакові «видано до» та «видано». Якщо ці імена не збігаються, джерело або ціль не зможуть перевірити, чи видали сертифікати ті самі центри підписування. Це має вирішальне значення для дотримання системи безпеки з нульовою довірою.

• Термін дії - звіряє термін дії сертифіката з датою та часом роботи приладу.
• Максимальна глибина - переконайтеся, що ланцюжок сертифікатів не перевищує максимальну глибину 10 листових сертифікатів.

Unable to mutually authenticate and connect to the remote appliance.
Please check the source and target appliances has valid certificate chain uploaded which are signed by the same CA.

Обхід вимог до ланцюжка сертифікатів

Якщо проблеми з виконанням вимог ланцюжка сертифікатів тривають, існує підтримуваний метод, яким можна скористатися для використання самопідписаних сертифікатів. Продовжуйте використовувати функцію резервного копіювання та відновлення, як описано в наступній статті:

https://www.dell.com/support/kbdoc/en-us/000223239/openmanage-enterprise-administrators-may-run-across-several-errors-during-the-certificate-chain-upload-cgen1008-and-csec9002-report-challenges-in-procuring-a-certificate-chain-required-by-openmanage-enterprise-ome-4-0-x-for-the-migration-featur