Data Domain: https証明書の有効期限が切れているためWeb UIにアクセスできない

• 次を行います。 404 HTTP 証明書の有効期限が切れると、エラーまたはその他のApache Webサービスが表示されることがあります。
  
• リソースが使用できないなど、その他のエラーが表示される場合があります。

• 一般に、UIにはアクセスできません。

• この問題は、UIでのユーザー ログインの失敗としても表示されます。

使用済み HTTPS またはData Domain (DD)でCA証明書の有効期限が切れると、Apache Webサーバーに問題が発生します。UIがダウンし、アクセスできなくなります。

Data DomainがIntegrated Data Protection ApplianceまたはCyber Recoveryヴォールト構成にある場合は、それらのシステムが証明書を使用してData Domainを監視する方法を検討します。証明書の有効期限が切れてから新しい証明書が追加された場合は、サポートへの連絡が必要になる場合があります。

DLmはこれを必要とせず、これを使用しないため、これはDLmソリューションのData Domainに関する懸念事項ではありません HTTP or HTTPS Data Domainと通信するためのアクセス。Data Domain上の証明書の更新は、DLmテープ マウント処理を中断することなく実行できます。

1. かどうかを確認します HTTPS, CA、または両方の証明書の有効期限が切れています。

sysadmin@DD6400# adminaccess certificate show
Subject                                              Type            Application   Valid From                 Valid Until                Fingerprint
--------------------------------------------------   -------------   -----------   ------------------------   ------------------------   -----------------------------------------------------------
DD6400.ddsupport                                     host            https         Thu Sep 11 22:30:27 2025   Sun Oct 11 22:30:27 2026   30:89:8A:9D:BD:67:75:DC:D8:98:84:C6:CD:8F:9F:21:34:24:1B:87
DD6400.ddsupport                                     ca              trusted-ca    Tue Oct 08 07:42:22 2024   Mon Oct 07 07:42:22 2030   81:5B:70:A8:36:02:02:FD:55:13:DA:7C:38:BC:FF:1B:EA:92:3E:96

『オペレーティングシステム』ディスクはオプションなので、同梱されていないコンピューターもあります。 HTTPS ホスト証明書は1年間有効で、CA証明書は6年間有効です。

2. 有効期限が切れていない場合は、以下の問題が原因でUIがダウンしている可能性があります。
   1. 証明書が十分に古い場合、新しい証明書のセキュリティ標準を満たさず、ユーザー インターフェイスが起動しません。以降の手順で、新しい証明書を生成する必要があります。
   2. Data Domain:DDOSまたはDDMC 6.2.1.90、7.2.0.95、7.7.2.x以降にアップグレードした後、UIにアクセスできない

3. CA証明書の有効期限が切れている場合は、確立されている信頼を確認します。

sysadmin@DD6400# adminaccess trust show
Subject                   Type         Valid From                 Valid Until                Fingerprint
-----------------------   ----------   ------------------------   ------------------------   -----------------------------------------------------------
DD6400.ddsupport          trusted-ca   Tue Oct 08 07:42:22 2024   Mon Oct 07 07:42:22 2030   81:5B:70:A8:36:02:02:FD:55:13:DA:7C:38:BC:FF:1B:EA:92:3E:96
DDMCLAB-2.201             trusted-ca   Mon Jul 08 03:02:34 2024   Sun Jul 07 03:02:34 2030   E8:C1:79:5B:B4:2A:02:3A:55:4A:9A:52:AB:FC:D2:01:E7:7A:6C:CA
CorkDDMC.localdomain      trusted-ca   Tue Aug 06 04:29:41 2024   Mon Aug 05 04:29:41 2030   4B:29:2B:D3:DB:3E:62:16:98:D1:6C:36:4C:DF:2F:94:3C:A1:A8:27
DD6900-2.ddsupport.emea   trusted-ca   Sat Feb 03 20:49:25 2024   Fri Feb 01 20:49:25 2030   DC:95:CC:4A:F4:AC:58:58:5E:19:2D:05:F3:99:D9:86:14:32:7F:88
DD9900-HA-P0.ddsupport    trusted-ca   Sat Oct 05 05:08:35 2024   Fri Oct 04 05:08:35 2030   38:FD:E8:B6:C6:2F:30:42:17:93:73:F5:AE:25:3D:53:3E:F5:5C:C4
-----------------------   ----------   ------------------------   ------------------------   -----------------------------------------------------------

現在のData Domainの(ホスト名による)証明書と、他のData DomainまたはPowerProtect DD Management Centerの証明書が表示されます。

これらの信頼を再確立する必要がある場合、ユーザーは、新しいCA証明書を生成した後に再確立するために、信頼ペア内のData DomainまたはData Domain Management Centerのsysadminパスワードを要求します。一部の信頼は、古いレプリケーション コンテキストから古くなっている可能性があり、再度追加する必要はありません。

4. このDDにPPDMまたはCyber Recoveryが接続されており、CA証明書を更新する必要がある場合は、追加の考慮事項があります。
   1. PPDMの場合: PowerProtect Data Manager VMのリストアが応答を停止し、Data Domain証明書の問題で失敗します
   2. CRの場合: Cyber Recovery:ヴォールト デバイスのソフトウェア アップグレード後、デバイスの通信ミスが原因でステータスが縮退として表示され始める 
      
      
5. かどうかを確認します HTTPS 証明書が自己署名証明書であるか、ユーザーが認証局(CA)で署名している場合:

# adminaccess certificate show imported-host application https

このコマンドが何かを返した場合、ユーザーはCAを使用して外部で証明書に署名します。それ以外の場合、インポートされたホスト証明書がない場合、証明書は自己署名です。

インポートされた証明書が有効で有効期限が切れていない場合でも、自己署名証明書の有効期限が切れている場合は、次の手順のように更新する必要があります。自己署名ホスト証明書は、DD UIがSMSサービスと内部的に通信するために内部的にも使用されます。

5. 「Fusion」 HTTPS 証明書が外部で署名されている場合は、新しい証明書署名要求(CSR)を生成します。ユーザーはこれをCAに渡して署名を依頼し、署名済み証明書をData Domainにインポートして戻します。「Data Domain:証明書署名要求を生成し、外部署名付き証明書を使用する方法」の記事に従ってください。

DDOSは、次のホスト証明書を1つサポートします。 HTTPS。現在、システムでホスト証明書を使用していて、別のホスト証明書を使用する場合は、現在の証明書を削除してから新しい証明書を追加する必要があります。

6. CA証明書の有効期限が切れており、これがHAシステムの場合は、証明書を修正するためにサポートと連携する必要があります。それ以外の場合は、新しい HTTPS CA証明書を次のコマンドで使用します。

# adminaccess certificate generate self-signed-cert regenerate-ca

生成後、 HTTPS 証明書は過去1か月で、CA証明書は過去1年です。これは仕様によるものです。

次に、手順8に進み、UIサービスを再起動します。

7. 証明書が自己署名で、 HTTPS 証明書の有効期限が切れており、これはHAシステムです。次の記事に従ってください:Data Domain:機能低下状態で実行されているHAシステム、自己署名ホスト証明書の有効期限が切れています。それ以外の場合は、新しい証明書を再生成します HTTPS 証明書の記載:

# adminaccess certificate generate self-signed-cert

生成後、 HTTPS 証明書は過去1か月で、設計により1年間有効です。

8. CA証明書が再生成された場合、ユーザーは必要な信頼を再確立する必要があります。PowerProtect DD Management Centerでは、UIを使用してレプリケーションを構成する場合とモニタリングを行う際に信頼が必要です。その場合、ユーザーはそれが機能するために信頼を確立する必要があります。

9. 信頼を必要とするData DomainまたはData Domain Management Centerの場合は、このコマンドを実行して古い信頼を削除してから、現在のData Domainで新しい証明書を使用して信頼を再確立します(これにより、他のData DomainまたはData Domain Management Centerでsysadminパスワードが要求されます。ユーザーがすべてのData DomainまたはData Domain Management Centerを持っていることを確認するか、追加せずに廃止されたData DomainまたはData Domain Management Centerの信頼関係を削除します。

コマンドを type mutual これを行うとき。

# adminaccess trust del host <hostname of other DD/DDMC> type mutual

# adminaccess trust add host <hostname of other DD/DDMC> type mutual

# adminaccess trust del host sc-dd2500-2.lss.emc.com type mutual
# adminaccess trust add host sc-dd2500-2.lss.emc.com type mutual

# adminaccess trust del host dd690.dssupport.emea

10. 必要に応じて信頼が再確立されたら、UIサービスを再起動します。

# adminaccess show
Service       Enabled   Allowed Hosts
-----------   -------   -------------
ssh           yes       -
scp           yes       (same as ssh)
telnet        no        -
ftp           no        -
ftps          no        -
http          no        -
https         yes        -
web-service   yes       N/A
-----------   -------   -------------

この出力は、次のことを示しています HTTP が無効になっており、かつ HTTPS 有効化： 

# adminaccess disable https
# adminaccess enable https

# adminaccess disable http
# adminaccess disable https
# adminaccess enable https
# adminaccess enable http

11. これで、ユーザー インターフェイスにアクセスできるようになります。

このビデオはYouTubeでも視聴できます。