Data Domain: Hantera värdcertifikat för HTTP och HTTPS

Certifikat kan upphöra att gälla eller bli ogiltiga. Om inget certifikat importeras använder systemet ett självsignerat certifikat som webbläsare eller integrerade program kanske inte litar på.

1. Kontrollera befintliga certifikat.

På Data Domain (DD-CLI) kör du följande kommando för att visa installerade certifikat:

adminaccess certificate show

Om certifikat har upphört att gälla eller snart upphör att gälla:

• Om det är självsignerat återskapar du med DD-CLI
• Om det har importerats följer du CSR- och importstegen nedan.

2. Generera självsignerade certifikat.

Så här återskapar du HTTPS-certifikatet:

adminaccess certificate generate self-signed-cert

Så här återskapar du HTTPS och betrodda CA-certifikat:

adminaccess certificate generate self-signed-cert regenerate-ca

3. Generera en CSR-begäran (Certificate Signing Request)

Använd DD System Manager:

1. Ange en lösenfras om du inte redan har gjort det:

system passphrase set

2. Gå till Administratörsåtkomst > för administratörsåtkomst>.
3. Välj fliken HTTPS > Konfigurera > certifikat Lägg > till.
4. Klicka på Generera CSR för det här Data Domain-systemet.
5. Fyll i CSR-formuläret och ladda ner filen från:

/ddvar/certificates/CertificateSigningRequest.csr

Alternativt CLI-exempel:

adminaccess certificate cert-signing-request generate key-strength 2048bit country "CN" state "Shanghai" city "Shanghai" org-name "Dell EMC" org-unit "Dell EMC" common-name "ddve1.example.com" subject-alt-name "DNS:ddve1.example.com, DNS:ddve1"

4. Importera signerat certifikat

Använd DD System Manager:

1. Välj Administration >Åtkomst > Enadministratör Åtkomst
2. I området Tjänster väljer du HTTPS och klickar på Konfigurera
3. Välj fliken Certifikat
4. Klicka på Lägg till. Dialogrutan Överför visas:

• Vid frågor om .p12 Filen:
  • Välj Ladda upp certifikat som .p12 anger du lösenord, bläddrar och laddar upp.
  • Exempel på .p12 Urval:

• Vid frågor om .pem Filen:
  • Välj Ladda upp offentlig nyckel som .pem fil och använd genererad privat nyckel, bläddra och ladda upp.

DD CLI-alternativ: Mer information finns i artikeln Data Domain: Så här genererar du en begäran om certifikatsignering och använder externt signerade certifikat

5. Ta bort befintligt certifikat.

Ta bort det aktuella certifikatet innan du lägger till ett nytt certifikat:

1. 1. Gå till fliken Administration > åtkomst > till administratör > åtkomst HTTPS > Konfigurera > certifikat.
   2. Välj certifikat och klicka på Ta bort.

6. CSR-validering

Validera CSR med hjälp av Windows-kommandotolken:

certutil -dump <CSR file path>

7. Felsökning: Webbläsaren visar "Certifikatet är inte betrott" efter import av CA-signerat certifikat

Om webbläsaren visar varningen "certifikatet är inte betrott" eller "anslutningen är inte säker" efter att du har importerat ett CA-signerat certifikat kan det hända att den importerade PEM- eller P12-filen saknar mellanliggande CA-certifikat i certifikatkedjan.

Orsak: När den importerade filen endast innehåller lövcertifikatet (servercertifikatet) utan mellanliggande CA-certifikat, fungerar Data Domain som en ofullständig certifikatkedja. Vissa webbläsare på stationära datorer kan automatiskt hämta saknade mellanprodukter, men mobila enheter, övervakningssystem och DD-till-DD-förtroendeåtgärder misslyckas.

Verifiera certifikatkedjan:

På en arbetsstation med OpenSSL installerat kontrollerar du PEM-filen före import:

openssl crl2pkcs7 -nocrl -certfile <certificate_file.pem> | openssl pkcs7 -print_certs -noout

Det här kommandot visar en lista över alla certifikat i filen. En komplett kedja bör innehålla:

• Lövcertifikatet (server) (ämnes-CN som matchar DD-värdnamnet/FQDN)
• Ett eller flera mellanliggande CA-certifikat
• Du kan också använda rotcertifikatutfärdarcertifikatet

Om endast lövcertifikatet finns är kedjan ofullständig.

Lösning:

1. Hämta mellanliggande CA-certifikat från företagets certifikatutfärdarteam.

2. Sammanfoga certifikaten till en enda PEM-fil i följande ordning:

   • Lövcertifikat (första)
   • Mellanliggande CA-certifikat (i kedjeordning)
   • Rotcertifikatutfärdarcertifikat (sista, valfritt)

3. Ta bort det aktuella importerade certifikatet från Data Domain:

   adminaccess certificate delete imported-host application https
   

4. Importera den rekonstruerade PEM-filen som innehåller hela kedjan med hjälp av GUI- eller CLI-förfarandena i avsnitt 4 ovan.

• Privata och offentliga nycklar måste vara 2048 bitar.
• DDOS stöder endast en aktiv CSR och ett signerat certifikat för HTTPS åt gången.

Referens: Distributions-KB: Data Domain: Så här använder du externt signerade certifikat