PowerFlex 3.X: O certificado é perdido ao fazer upgrade usando o OVA com o método de backup e restauração

O upgrade para o PowerFlex Manager 3.7 usando o novo OVA com um método de backup ou restauração pode resultar na perda de certificados gerados anteriormente para LDAP, levando a problemas de configuração de LDAP.

Os certificados SSL do equipamento são usados para a interface Web do PowerFlex Manager. Os certificados confiáveis SSL são usados para integração segura do Active Directory.

PowerFlex Manager >Gerenciamento de> equipamento virtual SSL/certificados confiáveis estão presentes antes do backup do PowerFlex Manager, mas estão ausentes após uma restauração para OVA recém-implementado:
 

Após um backup ou restauração do PowerFlex Manager para OVA recém-implementado, os certificados confiáveis SSL desaparecerão. Os certificados SSL do equipamento podem não estar presentes após esse processo. 
 

Backup/restauração de certificados SSL do equipamento e certificados confiáveis:

Certificados SSL do equipamento:

1. Faça log-in no equipamento PFxM usando SSH e sudo para raiz (sudo SU -)
2. Copie os arquivos a seguir em /home/delladmin/ ou copie-os em /tmp/ dessa forma, você não precisa fazer a etapa 3 para obter as permissões.

   1. /etc/pki/tls/certs/localhost.crt

   2. /etc/pki/tls/private/localhost.key

3. Execute o seguinte comando para alterar o proprietário para delladmin nos arquivos, de modo que você possa copiá-los do equipamento:

   1. Chown delladmin: delladmin /home/delladmin/localhost.*

4. Copie os arquivos localhost.crt e localhost.key do equipamento PFxM para o servidor jump ou outro sistema Linux para armazenamento temporário.

Após a implementação do OVA e a restauração do backup, é possível fazer o seguinte para restaurar o certificado SSL do equipamento PFxM:

1. Faça log-in no equipamento PFxM usando SSH e sudo para raiz (sudo SU -)
2. Copie o arquivo .crt e. Arquivos-chave do host de salto ou local do arquivo para o novo equipamento PFxM em /home/delladmin/ ou /tmp/
3. Execute os seguintes comandos para ajustar as permissões ao estado original ou verifique-os, pois a maneira como você os copiou pode ter mantido as permissões corretas.  Você sempre pode executar chown/chmod sem problemas, independentemente de:

   1. Chown root: root /path/to/files/localhost.*

   2. Chmod 755 /path/to/files/localhost.crt

   3. Chmod 400 /path/to/files/localhost.key

4. Copie os arquivos para o local padrão:

   1. Cp /path/to/files/localhost.crt /etc/pki/tls/certs/

   2. Cp /path/to/files/localhost.key /etc/pki/tls/private/

5. Reinicie o equipamento PFxM.
6. Na reinicialização, verifique se o certificado está sendo exibido corretamente no navegador e na IU da Web do PFxM em Settings > Virtual Appliance Management > Appliance SSL Certificate

Certificados confiáveis SSL: 

1. No equipamento PowerFlex Manager 3.6.x original, copie o banco de dados cacerts para o servidor jump ou para o destino escolhido (pode usar WinSCP ou aplicativo equivalente): /etc/pki/java/cacerts

2. Copie o arquivo cacerts para o equipamento >> PowerFlex 3.7 recém-implementado e execute o comando abaixo para listar o conteúdo. Ele deve mostrar vários certificados.

   keytool-list -keystore /etc/pki/ca-trust/extracted/java/cacerts -storepass "changeit"

     

• Neste exemplo, nós o copiamos para /home/delladmin/cacerts
• Observe que ele contém 140 entradas neste exemplo:

3. Execute o comando abaixo para verificar se o certificado pfxm está presente. Neste exemplo, você o verá como _pfxm_testcert

    keytool-list -keystore /home/delladmin/cacerts -storepass "changeit" |grep -i pfxm 

• Anote o nome do arquivo _pfxm_testcert neste exemplo:

4. Exportar certificados do banco de dados de backup cacerts

• Alias neste exemplo é _pfxm_testcert
• Changeit é a senha do keystore
•   Trusted_LDAP_AD.pem é o nome de arquivo usado para certificado, mas você pode chamá-lo como quiser

Keytool -exportcert -rfc -keystore /home/delladmin/cacerts-alias _pfxm_testcert -storepass changeit -file Trusted_LDAP_AD.pem

 

5. De qualquer diretório que você executou, copie Trusted_LDAP_AD.pem (ou qualquer nome de arquivo que você deu) para o seu servidor jump ou qualquer destino que você escolher usando WinSCP ou um aplicativo equivalente, na captura de tela acima o comando foi executado como root para que ele salvou o arquivo em /root/

6. Carregue o Trusted_LDAP_AD.pem (ou qualquer nome que você usou) para certificados confiáveis SSL clicando em editar na seção Certificados confiáveis SSL:

7. Navegue até o arquivo que foi copiado (Trusted_LDAP_AD.pem neste exemplo)

8. Depois de aplicar, um certificado confiável agora deve estar em vigor: