Avamar: Administrer sessionssikkerhedsindstillinger med Avinstaller Installation Package (AVP)

Download Session Security AVP

Gå til følgende link til Dell-produktsupport, og log på for at se downloads.

Vælg f.eks. den relevante Avamar-version.



Søg efter workflowpakken til Avamar-sessionssikkerhedskonfiguration.




Forhåndskontrol før installation

Det er bedste praksis at udføre følgende, før du kører konfigurationspakken til sessionssikkerhed.

• Stop alle sikkerhedskopieringer, replikering, og sørg for, at der ikke kører vedligeholdelse (kontrolpunkt/hfscheck/affaldsindsamling).
• Kontroller, at der er et gyldigt kontrolpunkt tilgængeligt på Avamar.

Installer sessionssikkerhed AVP

Når du har downloadet den relevante konfigurationspakke til sessionssikkerhed, er der to muligheder for at installere pakken, så den kan bruges.

Mulighed 1:
Flyt den downloadede pakke direkte til følgende mappe. Avinstaller-tjenesten registrerer ændringer i mappen og begynder automatisk at indlæse pakken i pakkelageret.
 

/data01/avamar/repo/packages/

Mulighed 2:
Gå til Avinstaller-webservicen på følgende link:
 

https://<avamar_server_ip_or_hostname>/avi

Gå til afsnittet Lager:



Gennemse din lokale maskine for at finde konfigurationspakken til sessionssikkerhed.



Pakken behandles:



Når den er klar, er status "Accepteret".



Gå til fanen "Vedligeholdelse" for at køre pakken.




Administrer sikkerhedsindstillinger

for sessionerPå skærmen "Installationsopsætning" skal du vælge fanen Sikkerhedsindstillinger og markere afkrydsningsfeltet "Vis avancerede indstillinger".




Valg af

tilstandValget af "Klient-server-kommunikations- og godkendelsestype" gør det muligt at vælge de fire understøttede sessionssikkerhedstilstande:

1. Disabled
2. Blandet-Single
3. Godkendt-enkelt
4. Godkendt-dobbelt

Hvis indstillingerne ændres, genstarter MCS som en del af kørslen af pakken.

Du kan finde flere oplysninger om de forskellige tilstande i følgende KB-artikel:

000222278 | Avamar: Sessionssikkerhed

Generer certifikater

Der er to valgmuligheder for generering af certifikater:

1. Generer kun servercertifikater
   • Når valgt alene, gendannes kun GSAN-servercertifikaterne.
   • Noten fra AVP siger: "Opretter og formerer servercertifikater på Avamar-serveren og lagernoder, der skal bruges til server- og / eller klientgodkendelse ved hjælp af CA-certifikatet installeret i nøglelageret."
   • Dette udfører følgende på Avamar-serveren:
     • Kør enable_secure_config.sh scriptet:

     • enable_secure_config.sh --certs

     • Dette udfører følgende:
       • Eksportér internt Avamar-rodcertifikat fra Avamar Keystore:

       • keytool -export -rfc -keystore /usr/local/avamar/lib/avamar_keystore -alias mcrsaroot

       • Dette rodcertifikat gemmes følgende steder:

       • /home/admin/chain.pem
         /usr/local/avamar/etc/chain.pem

       • Derefter bruges rodcertifikatet i avamar_keystore til at signere et nyt certifikatnøglepar til GSAN og gemme det på følgende placeringer:

       • mcrootca rsatls <nodename> <subject_alt_names>
         
         /home/admin/key.pem
         /home/admin/cert.pem
         /usr/local/avamar/etc/key.pem
         /usr/local/avamar/etc/cert.pem

       • Disse certifikater overføres derefter til eventuelle lagernoder.
       • Endelig genindlæses GSAN SSL-stikket, så nye forbindelser til port 29000 betjener de regenererede certifikater.
   • Bemærk, at med dette valg ændres det interne Avamar-rodcertifikat ikke, og derfor behøver registrerede klienter, proxyer og Data Domain-systemer ikke at registrere sig igen.
2. Generer alle nye certifikater
   • Når dette afkrydsningsfelt er markeret, vælger det automatisk også afkrydsningsfeltet "Generer kun servercertifikater".
   • Dette skyldes den proces, der opstår, når du genererer alle nye certifikater.
   • Noten fra AVP siger: "Genskaber mcrootca og genererer alle nye rod-, TLS- og EC-rodcertifikater."
   • Dette udfører følgende trin:
     • Regenerer Avamar Internal Root Certificate Authority (CA)

       • mcrootca all

       • Dette erstatter den interne Avamar-rod-CA, der er gemt i avamar_keystore

       • /usr/local/avamar/lib/avamar_keystore
         

       • Det interne Avamar-rodcertifikat kan ses med følgende kommando:

       • keytool -list -v -keystore /usr/local/avamar/lib/avamar_keystore -alias mcrsaroot

     • GSAN-certifikater skal gendannes som beskrevet i "Generer kun servercertifikater"
   • Med dette valg skal registrerede proxyer, klienter og Data Domain-systemer genregistreres for at kunne erhverve det nye Avamar-rodnøglecenter og et signeret certifikat fra Avamar MCS, der muliggør sikker gensidig TLS-kommunikation med Avamar.
   • Hvis proceduren for at erstatte det interne Avamar-rodnøglecenter med et brugerleveret internt rodnøglecenter tidligere er blevet fulgt (ved hjælp af importcert.sh), slettes konfigurationen med dette valg, og der genereres internt betroede selvsignerede Avamar certifikater. Se følgende KB for at få flere oplysninger, 000204629 | Avamar: Installere/erstatte Avamar Certificate Authority (CA) med User Provided Certificate Authority (CA).

Når du er klar, skal du fortsætte med at køre pakken.

Denne pakke kan bruges et vilkårligt antal gange, da den kan bruges til at konfigurere disse indstillinger, når det er nødvendigt.