Data Domain: HTTP ve HTTPS için Ana Bilgisayar Sertifikalarını Yönetme

Sertifikaların süresi dolabilir veya geçersiz hale gelebilir. Herhangi bir sertifika içe aktarılmazsa sistem, tarayıcıların veya entegre uygulamaların güvenmeyebileceği kendinden imzalı bir sertifika kullanır.

1. Mevcut sertifikaları kontrol edin.

Data Domain de (DD-CLI) yüklü sertifikaları görüntülemek için aşağıdaki komutu çalıştırın:

adminaccess certificate show

Sertifikaların süresi dolduysa veya sona ermek üzereyse:

• Kendinden imzalıysa DD-CLI kullanarak yeniden oluşturun
• İçe aktarıldıysa aşağıdaki CSR ve içe aktarma adımlarını uygulayın.

2. Kendinden imzalı sertifikalar oluşturun.

HTTPS sertifikasını yeniden oluşturmak için:

adminaccess certificate generate self-signed-cert

HTTPS ve güvenilen CA sertifikalarını yeniden oluşturmak için:

adminaccess certificate generate self-signed-cert regenerate-ca

3. Sertifika İmzalama İsteği (CSR) oluşturma

DD System Manager'ı kullanın:

1. Henüz yapmadıysanız bir anahtar parolası belirleyin:

system passphrase set

2. Administration > Access Administrator > Access seçeneğine gidin.
3. HTTPS > Configure > Certificate sekmesi > Add öğesini seçin.
4. Bu Data Domain sistemi için CSR oluştur a tıklayın.
5. CSR formunu doldurun ve dosyayı şuradan indirin:

/ddvar/certificates/CertificateSigningRequest.csr

CLI Alternatif Örneği:

adminaccess certificate cert-signing-request generate key-strength 2048bit country "CN" state "Shanghai" city "Shanghai" org-name "Dell EMC" org-unit "Dell EMC" common-name "ddve1.example.com" subject-alt-name "DNS:ddve1.example.com, DNS:ddve1"

4. İmzalı Sertifikayı İçe Aktar

DD System Manager'ı kullanın:

1. Administration > Access > Administrator Access öğesini seçin
2. Services alanında HTTPS'yi seçin ve Configure öğesine tıklayın
3. Certificate sekmesini seçin
4. Add öğesine tıklayın. Upload iletişim kutusu açılır:

• Şu işletim sistemlerinde: .p12 :
  • Upload certificate as öğesini seçin .p12 dosyalayın, şifreyi girin, göz atın ve yükleyin.
  • Örnek .p12 Seçim:

• Şu işletim sistemlerinde: .pem :
  • Genel anahtarı şu şekilde yükle'yi seçin .pem Oluşturulan özel anahtarı dosyalayın ve kullanın, göz atın ve yükleyin.

DD CLI alternatifi: Data Domain: Sertifika İmzalama İsteği Oluşturma ve Harici Olarak İmzalanmış Sertifikaları Kullanma makalesine bakın

5. Mevcut sertifikayı silin.

Yeni bir sertifika eklemeden önce mevcut sertifikayı silin:

1. 1. Administration > Access > Administrator Access > > HTTPS Configure > Certificate sekmesine gidin.
   2. Sertifikayı seçin ve Delete öğesine tıklayın.

6. CSR Doğrulaması

Windows Komut İstemi'ni kullanarak CSR'yi doğrulayın:

certutil -dump <CSR file path>

7. Sorun Giderme: CA İmzalı Sertifika İçe Aktarma İşleminden Sonra Tarayıcı "Sertifikaya Güvenilmiyor" Mesajını Gösteriyor

CA tarafından imzalanmış bir sertifikayı içe aktardıktan sonra tarayıcı "sertifikaya güvenilmiyor" veya "bağlantı güvenli değil" uyarılarını görüntülerse içe aktarılan PEM veya P12 dosyasında sertifika zincirinde ara CA sertifikaları eksik olabilir.

Neden: İçe aktarılan dosya, ara CA sertifikaları olmadan yalnızca yaprak (sunucu) sertifikayı içeriyorsa Data Domain, tamamlanmamış bir sertifika zincirine hizmet eder. Bazı masaüstü tarayıcıları eksik ara ürünleri otomatik olarak alabilir, ancak mobil cihazlar, izleme sistemleri ve DD'den DD'ye güven işlemleri başarısız olur.

Sertifika zincirini doğrulayın:

OpenSSL yüklü bir iş istasyonunda, içe aktarmadan önce PEM dosyasını inceleyin:

openssl crl2pkcs7 -nocrl -certfile <certificate_file.pem> | openssl pkcs7 -print_certs -noout

Bu komut, dosyadaki tüm sertifikaları listeler. Tam bir zincir şunları içermelidir:

• Yaprak (sunucu) sertifikası (DD ana bilgisayar adı/FQDN ile eşleşen konu CN'si)
• Bir veya daha fazla ara CA sertifikası
• İsteğe bağlı olarak, kök CA sertifikası

Yalnızca yaprak sertifikası varsa, zincir tamamlanmamıştır.

Çözüm:

1. Ara CA sertifikalarını kurumsal Sertifika Yetkilisi ekibinden alın.

2. Sertifikaları aşağıdaki sırayla tek bir PEM dosyasında birleştirin:

   • Yaprak sertifikası (ilk)
   • Ara CA sertifikaları (zincirleme sırada)
   • Kök CA sertifikası (son, isteğe bağlı)

3. İçe aktarılan geçerli sertifikayı Data Domain'den silin:

   adminaccess certificate delete imported-host application https
   

4. Yukarıdaki Bölüm 4'te yer alan GUI veya CLI prosedürlerini kullanarak tam zinciri içeren yeniden yapılandırılmış PEM dosyasını içe aktarın.

• Özel ve genel anahtarlar 2048 bit olmalıdır.
• DDOS, aynı anda yalnızca etkin bir CSR'yi ve HTTPS için imzalı bir sertifikayı destekler.

Referans: Dağıtım KB: Data Domain: Harici olarak imzalanmış sertifikaları kullanma