Data Domain: Webbrugergrænsefladen er ikke tilgængelig på grund af udløbet https-certifikat

• Følgende 404 HTTP fejl eller andre Apache-webtjenester kan opleves, når certifikatet udløber:
  
• Andre fejl kan ses, f.eks. at ressourcen ikke er tilgængelig.

• Generelt er brugergrænsefladen utilgængelig.

• Problemet vises også som en brugerloginfejl på brugergrænsefladen.

Når vinduet HTTPS eller CA-certifikatet udløber på et Data Domain (DD), forårsager det problemer med Apache-webserveren. Det bringer brugergrænsefladen ned og gør den utilgængelig.

Hvis Data Domain er i en konfiguration med Integrated Data Protection Appliance eller Cyber Recovery-boks, skal du overveje, hvordan disse systemer overvåger Data Domain ved hjælp af certifikater. Deres support skal muligvis aktiveres, når certifikatet er udløbet, og derefter skal der tilføjes en ny.

Dette er ikke et problem for Data Domains i en DLm-løsning, da DLm ikke kræver eller bruger HTTP or HTTPS adgang til at kommunikere med Data Domain. Certifikatopdateringer på Data Domain kan udføres uden afbrydelse af DLm-båndmonteringsbeslagets behandling.

1. Kontroller, om HTTPS, CA eller begge certifikater er udløbet:

sysadmin@DD6400# adminaccess certificate show
Subject                                              Type            Application   Valid From                 Valid Until                Fingerprint
--------------------------------------------------   -------------   -----------   ------------------------   ------------------------   -----------------------------------------------------------
DD6400.ddsupport                                     host            https         Thu Sep 11 22:30:27 2025   Sun Oct 11 22:30:27 2026   30:89:8A:9D:BD:67:75:DC:D8:98:84:C6:CD:8F:9F:21:34:24:1B:87
DD6400.ddsupport                                     ca              trusted-ca    Tue Oct 08 07:42:22 2024   Mon Oct 07 07:42:22 2030   81:5B:70:A8:36:02:02:FD:55:13:DA:7C:38:BC:FF:1B:EA:92:3E:96

Meddelelsen HTTPS værtscertifikatet er gyldigt i 1 år, og CA-certifikatet er gyldigt i 6 år.

2. Hvis de ikke er udløbet, kan brugergrænsefladen være nede på grund af nedenstående problemer:
   1. Hvis certifikatet er gammelt nok, opfylder det ikke de nye certifikatsikkerhedsstandarder, og brugergrænsefladen vises ikke. Der skal genereres et nyt certifikat som i de følgende trin.
   2. Data Domain: Der kan ikke opnås adgang til brugergrænsefladen efter opgradering til DDOS eller DDMC 6.2.1.90, 7.2.0.95 eller 7.7.2.x eller nyere

3. Hvis CA-certifikatet er udløbet, skal du kontrollere de truster, der er oprettet:

sysadmin@DD6400# adminaccess trust show
Subject                   Type         Valid From                 Valid Until                Fingerprint
-----------------------   ----------   ------------------------   ------------------------   -----------------------------------------------------------
DD6400.ddsupport          trusted-ca   Tue Oct 08 07:42:22 2024   Mon Oct 07 07:42:22 2030   81:5B:70:A8:36:02:02:FD:55:13:DA:7C:38:BC:FF:1B:EA:92:3E:96
DDMCLAB-2.201             trusted-ca   Mon Jul 08 03:02:34 2024   Sun Jul 07 03:02:34 2030   E8:C1:79:5B:B4:2A:02:3A:55:4A:9A:52:AB:FC:D2:01:E7:7A:6C:CA
CorkDDMC.localdomain      trusted-ca   Tue Aug 06 04:29:41 2024   Mon Aug 05 04:29:41 2030   4B:29:2B:D3:DB:3E:62:16:98:D1:6C:36:4C:DF:2F:94:3C:A1:A8:27
DD6900-2.ddsupport.emea   trusted-ca   Sat Feb 03 20:49:25 2024   Fri Feb 01 20:49:25 2030   DC:95:CC:4A:F4:AC:58:58:5E:19:2D:05:F3:99:D9:86:14:32:7F:88
DD9900-HA-P0.ddsupport    trusted-ca   Sat Oct 05 05:08:35 2024   Fri Oct 04 05:08:35 2030   38:FD:E8:B6:C6:2F:30:42:17:93:73:F5:AE:25:3D:53:3E:F5:5C:C4
-----------------------   ----------   ------------------------   ------------------------   -----------------------------------------------------------

Certifikatet for det aktuelle Data Domain (ved hjælp af dets værtsnavn) og certifikater fra andre Data Domains eller PowerProtect DD Management Center ses.

Hvis disse tillidsforhold skal genoprettes, kræver en bruger, at sysadmin-adgangskoderne for alle Data Domains eller Data Domain Management Centers i tillidsparret genoprettes efter generering af et nyt CA-certifikat. Nogle tillid kan være forældede fra gamle replikeringskontekster og kræver ikke at blive tilføjet igen.

4. Der er yderligere overvejelser, hvis der er tilknyttet en PPDM eller Cyber Recovery til denne DD, og vi skal forny CA-certifikatet:
   1. For PPDM: PowerProtect Data Manager VM-gendannelse holder op med at svare og mislykkes med et problem med Data Domain-certifikat
   2. CR: Cyber Recovery: Efter en softwareopgradering af boksenheder skal du begynde at vise status som forringet på grund af en enhedsfejlkommunikation 
      
      
5. Kontroller, om HTTPS certifikatet er et selvsigneret certifikat, eller hvis brugeren signerer det med et nøglecenter:

# adminaccess certificate show imported-host application https

Hvis denne kommando returnerer noget, signerer brugeren certifikatet eksternt med et nøglecenter. Ellers, hvis der ikke er et importeret værtscertifikat, er certifikatet selvsigneret.

Selvom det importerede certifikat er gyldigt og ikke er udløbet, skal det fornyes som i de næste trin, hvis det selvsignerede certifikat er udløbet. Et selvsigneret værtscertifikat bruges også internt til DD-brugergrænsefladen til at kommunikere med SMS-tjenesten internt.

5. Hvis ikonet HTTPS certifikatet signeres eksternt, skal du generere en ny anmodning om certifikatsignering (CSR). Brugeren sender dette til sit nøglecenter til signering og importerer det signerede certifikat tilbage til Data Domain. Følg artiklen Data Domain: Sådan genererer du en anmodning om certifikatsignering og bruger eksternt signerede certifikater.

DDOS understøtter ét værtscertifikat til HTTPS. Hvis systemet bruger et værtscertifikat, herunder selvsigneret, og brugeren ønsker at bruge et andet værtscertifikat, skal du slette det aktuelle certifikat, før du tilføjer det nye certifikat.

6. Hvis CA-certifikatet er udløbet, og dette er et HA-system, skal support være aktiveret for at rette certifikaterne. Ellers skal du regenerere en ny HTTPS og CA-certifikat med denne kommando:

# adminaccess certificate generate self-signed-cert regenerate-ca

Bemærk, at efter generationen vil den gyldige startdato for HTTPS certifikat er en måned i fortiden, og CA-certifikatet er et år i fortiden, dette er tilsigtet.

Gå derefter til trin 8 for at genstarte brugergrænsefladetjenesterne.

7. Hvis certifikatet er selvsigneret, og kun HTTPS -certifikatet er udløbet, og dette er et HA-system, følg denne artikel: Data Domain: HA-system kører i forringet tilstand, selvsigneret værtscertifikat er udløbet, ellers skal du regenerere et nyt HTTPS Certifikat med:

# adminaccess certificate generate self-signed-cert

Bemærk, at efter generationen vil den gyldige startdato for HTTPS Certifikatet er en måned i fortiden, og det vil være gyldigt i 1 år, hvilket er ved design.

8. Hvis CA-certifikatet blev regenereret, skal en bruger genoprette den nødvendige tillid. PowerProtect DD Management Center kræver tillid til overvågning, og når replikering konfigureres ved hjælp af brugergrænsefladen. I så fald skal en bruger oprette en tillid for at det kan fungere.

9. For alle Data Domains eller Data Domain Management Centers, der har brug for tillid, skal du køre denne kommando for at slette det gamle tillidsforhold og derefter genoprette tillid ved hjælp af det nye certifikat på det aktuelle Data Domain (Dette beder om sysadmin-adgangskoden på de andre Data Domains eller Data Domain Management Centers. Kontrollér, at en bruger har alle Data Domains eller Data Domain Management Centers, eller slet tilliden til alle Data Domains eller Data Domain Management Centers, der nedlægges, uden at tilføje dem igen.

Brug kommandoen uden type mutual når du gør dette.

# adminaccess trust del host <hostname of other DD/DDMC> type mutual

# adminaccess trust add host <hostname of other DD/DDMC> type mutual

# adminaccess trust del host sc-dd2500-2.lss.emc.com type mutual
# adminaccess trust add host sc-dd2500-2.lss.emc.com type mutual

# adminaccess trust del host dd690.dssupport.emea

10. Når tilliden er genoprettet, skal du genstarte brugergrænsefladetjenesterne:

# adminaccess show
Service       Enabled   Allowed Hosts
-----------   -------   -------------
ssh           yes       -
scp           yes       (same as ssh)
telnet        no        -
ftp           no        -
ftps          no        -
http          no        -
https         yes        -
web-service   yes       N/A
-----------   -------   -------------

Dette output viser, at HTTP er deaktiveret, og HTTPS Aktivér 

# adminaccess disable https
# adminaccess enable https

# adminaccess disable http
# adminaccess disable https
# adminaccess enable https
# adminaccess enable http

11. Brugergrænsefladen skulle nu være tilgængelig.

Denne video kan også ses på YouTube.