Data Domain: Kommende ændringer i sikkerhedscertifikater for Microsoft Azure Storage Transport Layer
Summary: Ændringerne af TLS-certifikatet (Transport Layer Security) i påvirker Data Domain-systemer, der er konfigureret med Cloud Tier og Data Domain Virtual Edition (DDVE), der er udrullet på Azure Cloud-platform med Active Tier on Object Storage (ATOS). Dell Technologies anbefaler, at du installerer de nye certifikater så hurtigt som muligt for at undgå afbrydelser. ...
Symptoms
Hvis Azure Storage-certifikatet ændres (startende i juli 2022), før de nye certifikater tilføjes som pålidelige til clouden, går cloudenheden i en afbrydelsestilstand for et Data Domain-system, der er konfigureret med Cloud Tier i Azure:
# alert show current Id Post Time Severity Class Object Message ----- ------------------------ -------- ----- ------------------------ ------------------------------------------------------------------------- m0-76 Mon Apr 19 15:34:03 2021 CRITICAL Cloud CloudUnit=azure-unit EVT-CLOUD-00001: Unable to access provider for cloud unit azure-unit. ----- ------------------------ -------- ----- ------------------------ ------------------------------------------------------------------------- There is 1 active alert. # cloud unit list Name Profile Status -------------- --------- ------------ azure-unit azure Disconnected -------------- --------- ------------
Hvis DDVE udrulles på Azure med Active Tier on Object Storage (ATOS), deaktiveres filsystemet med følgende påmindelsesmeddelelser:
Alert History ------------- Id Post Time Clear Time Severity Class Object Message ----- ------------------------ ------------------------ -------- ----------------- ------ -------------------------------------------------------------------------------------- m0-26 Tue Apr 6 13:58:41 2021 Tue Apr 6 13:59:03 2021 ERROR Filesystem EVT-FILESYS-00008: Filesystem has encountered an error and is restarting. m0-27 Tue Apr 6 14:19:59 2021 Tue Apr 6 14:20:03 2021 ALERT Filesystem EVT-FILESYS-00002: Problem is preventing filesystem from
Cause
Microsoft Azure Storage-tjenester blev opdateret til at bruge TLS-certifikater fra nøglecentre (CA'er), der kædes op til DigiCert Global G2-roden. I mellemtiden fortsætter de nuværende certifikater (udstedt af Baltimore Cyber-Trust-roden) dog fortsat
.Denne ændring træder i kraft i juli 2022 og forventes afsluttet ved udgangen af oktober 2022. Det anbefales at installere et nyt certifikat inden 30. juni 2022 og IKKE slette det nuværende certifikat.
For at få adgang til Blob-containere (for enten Data Domain Cloud Tier eller DDVE ATOS) kræver Data Domain-systemer det nye DigiCert Global G2 CA-rodcertifikat i stedet for det aktuelle Baltimore Cyber-Trust CA-rodcertifikat som betroet til clouden.
Du kan finde flere oplysninger om emnet i følgende officielle Azure-sikkerhedsblob:
Azure Storage TLS: Kritiske ændringer er næsten her! (… og hvorfor du skal bekymre dig) - Microsoft Tech Community.
Resolution
For at gøre overgangen til de nye Azure Storage-sikkerhedscertifikater så problemfri som muligt, når ændringerne begynder at blive skubbet i juli 2022, er det nødvendigt at beholde det pålidelige "Baltimore Cyber-Trust root CA"-certifikat som betroet til cloud i Data Domain og tilføje det nye "DigiCert Global G2 Root CA"-certifikat også som betroet til clouden. i stedet for at erstatte den ene med den anden.
Det medfører ikke noget problem at beholde begge certifikater, og Data Domain DDVE-systemet kan have tillid til forbindelserne til Azure Storage, uanset hvilket certifikat der vises, udstedt af et af nøglecentrene, og dermed undgå nedetid, når det nye certifikat præsenteres for Data Domain/DDVE-systemet for første gang på et tidspunkt fra juli 2022.
Følgende trin gælder for understøttelse af DigiCert Global G2-rodcertifikat til Data Domain-systemer, der er konfigureret enten med Cloud Tier eller DDVE udrullet på Azure Cloud-platform med ATOS. Det anbefales også at tilføje DigiCert Global G3-rodcertifikat og Microsoft ECC- eller RSA-rodcertifikatmyndighedscertifikat for at undgå fremtidige afbrydelser.
Bekræft, at Data Domain DDVE-systemet har "Baltimore Cyber-Trust Root" til cloud-programmet i henhold til følgende eksempel:
sysadmin@dd01# adminaccess certificate show
Subject Type Application Valid From Valid Until Fingerprint
------------------------- ------------- ----------- ------------------------ ------------------------ -----------------------------------------------------------
dd01.example.com host https Tue Mar 26 10:38:34 2019 Wed Jan 31 10:48:38 2024 30:78:FE:93:DF:2F:9D:B5:08:D7:EC:5E:9E:89:E2:BD:16:13:E1:BA
dd01.example.com ca trusted-ca Wed Mar 27 17:38:34 2019 Wed Jan 31 10:16:38 2024 CB:9D:64:39:56:48:FB:58:C6:93:40:FB:29:91:56:9A:BD:08:7A:C8
Baltimore CyberTrust Root imported-ca cloud Fri May 12 11:46:00 2000 Mon May 12 16:59:00 2025 D4:DE:20:D0:5E:66:FC:53:FE:1A:50:88:2C:78:DB:28:52:CA:E4:74
------------------------- ------------- ----------- ------------------------ ------------------------ -----------------------------------------------------------
MULIGHED 1: Instruktioner til installation af certifikat ved hjælp af Microsoft Windows-arbejdsstation
For en demo, klik på nedenstående video:
Se på YouTube
-
Opret en mappe på din lokale arbejdsstation.
F.eks.:
C:\MS-AZ-certifikater -
Downloade DigiCert Global Root G2/G3-certifikater fra følgende side:
DigiCert-rodcertifikater – Download og test | DigiCert.comHøjreklik på Download PEM, og gem linket som:
DigiCertGlobalRootG2.crt.pem
SHA1-fingeraftryk: DF:3C:24:F9:BF:D6:66:76:1B:26:80:73:FE:06:D1:CC:8D:4F:82:A4DigiCertGlobalRootG3.crt.pem
SHA1-fingeraftryk: 7E:04:DE:89:6A:3E:66:6D:00:E6:87:D3:3F:FA:D9:3B:E8:3D:34:9E -
Downloade Microsoft RSA- og ECC-certifikat.
Højreklik på Download PEM, og gem linket som:
Microsoft RSA Root Certificate Authority 2017
(Tommelfingeraftryk: 73A5E64A3BFF8316FF0EDCCC618A906E4EAE4D74)Microsoft ECC Root Certificate Authority 2017
(Tommelfingeraftryk: 999A64C37FF47D9FAB95F14769891460eec4C3C5) -
Gå til kommandolinjen, og kør nedenstående trin. Disse skal køre fra en Windows-vært, men lignende kommandoer kan køre fra en Linux-vært.
C:\MS-AZ-certificates>dir Volume in drive C is OS Volume Serial Number is E4AE-2A04 Directory of C:\MS-AZ-certificates 15/10/2021 09:30 AM <DIR> . 15/10/2021 09:30 AM <DIR> .. 15/10/2021 09:29 AM 1,294 DigiCertGlobalRootG2.crt.pem 15/10/2021 09:29 AM 839 DigiCertGlobalRootG3.crt.pem 15/10/2021 09:30 AM 605 Microsoft ECC Root Certificate Authority 2017.crt 15/10/2021 09:30 AM 1,452 Microsoft RSA Root Certificate Authority 2017.crt 4 File(s) 4,190 bytes
-
Omdøb DigiCertGlobalRootG2-filer som følger med .pem.
C:\MS-AZ-certificates>rename DigiCertGlobalRootG2.crt.pem DigiCertGlobalRootG2.pem C:\MS-AZ-certificates>rename DigiCertGlobalRootG3.crt.pem DigiCertGlobalRootG3.pem
-
Konvertere Microsoft ECC RSA Root Certificate Authority-certifikat fra crt til pem-format som følger:
C:\MS-AZ-certificates>certutil -encode "Microsoft ECC Root Certificate Authority 2017.crt" ms-ecc-root.pem Input Length = 605 Output Length = 890 CertUtil: -encode command completed successfully. C:\MS-AZ-certificates>certutil -encode "Microsoft RSA Root Certificate Authority 2017.crt" ms-rsa-root.pem Input Length = 1452 Output Length = 2054 CertUtil: -encode command completed successfully. C:\MS-AZ-certificates>dir Volume in drive C is OS Volume Serial Number is E4AE-2A04 Directory of C:\MS-AZ-certificates 15/10/2021 10:25 AM <DIR> . 15/10/2021 10:25 AM <DIR> .. 15/10/2021 09:29 AM 1,294 DigiCertGlobalRootG2.pem 15/10/2021 09:29 AM 839 DigiCertGlobalRootG3.pem 15/10/2021 09:46 AM 605 Microsoft ECC Root Certificate Authority 2017.crt 15/10/2021 09:45 AM 1,452 Microsoft RSA Root Certificate Authority 2017.crt 15/10/2021 10:25 AM 890 ms-ecc-root.pem 15/10/2021 10:25 AM 2,054 ms-rsa-root.pem 6 File(s) 7,134 bytes
-
Importer alle PEM-formaterede certifikatfiler fra mappen ved hjælp af brugergrænsefladen i PowerProtect DD System Manager.
- For Data Domain-systemer konfigureret med Cloud Tier:
Data Management > File System > Cloud-enheder > Administrer certifikater > Tilføj.
Gentag ovenstående trin for de resterende tre certifikater. - For Data Domain-systemer, der kører på Azure Platform med ATOS:
Datastyring > Filsystemoversigt >> Rediger objektlager > CERTIFIKAT > Tilføj.
Gentag ovenstående trin for de resterende tre certifikater.Bemærk: Tilføj ikke nye nøglecentercertifikater under Adgangsstyring.
- For Data Domain-systemer konfigureret med Cloud Tier:
MULIGHED 2: Instruktioner til installation af certifikat ved hjælp af Linux-arbejdsstation
-
Download følgende to DigiCert-certifikater i .pem-format.
https://cacerts.digicert.com/DigiCertGlobalRootG2.crt.pem SHA1-fingeraftryk: DF:3C:24:F9:BF:D6:66:76:1B:26:80:73:FE:06:D1:CC:8D:4F:82:A4
https://cacerts.digicert.com/DigiCertGlobalRootG3.crt.pem SHA1-fingeraftryk: 7E:04:DE:89:6A:3E:66:6D:00:E6:87:D3:3F:FA:D9:3B:E8:3D:34:9E -
Download følgende to rodcertifikater er i DER CRT-format.
Microsoft RSA Root Certificate Authority 2017
(Tommelfingeraftryk: 73A5E64A3BFF8316FF0EDCCC618A906E4EAE4D74)Microsoft ECC Root Certificate Authority 2017
(Tommelfingeraftryk: 999A64C37FF47D9FAB95F14769891460eec4C3C5)Eksempel:
Download af certifikater ved hjælp af Linux wget-værktøjet:
$ mkdir certs $ cd certs $ wget https://cacerts.digicert.com/DigiCertGlobalRootG2.crt.pem --2021-10-18 20:10:52-- https://cacerts.digicert.com/DigiCertGlobalRootG2.crt.pem . . 2021-10-18 20:10:53 (16.5 MB/s) - ‘DigiCertGlobalRootG2.crt.pem’ saved [1294/1294] $ wget https://cacerts.digicert.com/DigiCertGlobalRootG3.crt.pem --2021-10-18 20:32:21-- https://cacerts.digicert.com/DigiCertGlobalRootG3.crt.pem . . 2021-10-18 20:32:21 (41.1 MB/s) - ‘DigiCertGlobalRootG3.crt.pem’ saved [839/839] $ wget https://www.microsoft.com/pkiops/certs/Microsoft%20RSA%20Root%20Certificate%20Authority%202017.crt --2021-10-18 20:31:44-- https://www.microsoft.com/pkiops/certs/Microsoft%20RSA%20Root%20Certificate%20Authority%202017.crt . . 2021-10-18 20:31:45 (73.2 MB/s) - ‘Microsoft RSA Root Certificate Authority 2017.crt’ saved [1452/1452] $ wget https://www.microsoft.com/pkiops/certs/Microsoft%20ECC%20Root%20Certificate%20Authority%202017.crt --2021-10-18 20:31:16-- https://www.microsoft.com/pkiops/certs/Microsoft%20ECC%20Root%20Certificate%20Authority%202017.crt . . 2021-10-18 20:31:16 (15.7 MB/s) - ‘Microsoft ECC Root Certificate Authority 2017.crt’ saved [605/605] admin@linux:~/certs$ ls -l total 155 -rw-rw-rw-. 1 admin admin 178 Oct 18 20:32 cert.list -rw-rw-rw-. 1 admin admin 1294 Dec 6 2017 DigiCertGlobalRootG2.crt.pem -rw-rw-rw-. 1 admin admin 839 Sep 22 12:36 DigiCertGlobalRootG3.crt.pem -rw-rw-rw-. 1 admin admin 605 Jan 22 2020 Microsoft ECC Root Certificate Authority 2017.crt -rw-rw-rw-. 1 admin admin 1452 Jan 22 2020 Microsoft RSA Root Certificate Authority 2017.crt
-
Konverter to rodcertifikater til .pem-format ved hjælp af nedenstående kommandoer.
admin@linux:~/certs$ openssl x509 -inform der -in Microsoft\ ECC\ Root\ Certificate\ Authority\ 2017.crt -out ms-ecc-root.pem admin@linux:~/certs$ openssl x509 -inform der -in Microsoft\ RSA\ Root\ Certificate\ Authority\ 2017.crt -out ms-rsa-root.pem admin@linux:~/certs$ ls -l total 155 -rw-rw-rw-. 1 admin admin 178 Oct 18 20:32 cert.list -rw-rw-rw-. 1 admin admin 1294 Dec 6 2017 DigiCertGlobalRootG2.crt.pem -rw-rw-rw-. 1 admin admin 839 Sep 22 12:36 DigiCertGlobalRootG3.crt.pem -rw-rw-rw-. 1 admin admin 605 Jan 22 2020 Microsoft ECC Root Certificate Authority 2017.crt -rw-rw-rw-. 1 admin admin 1452 Jan 22 2020 Microsoft RSA Root Certificate Authority 2017.crt -rw-rw-rw-. 1 admin admin 875 Oct 18 2021 ms-ecc-root.pem -rw-rw-rw-. 1 admin admin 2021 Oct 18 2021 ms-rsa-root.pem
-
Kopiér .pem-certifikatfiler på Data Domain-systemet.
admin@linux:~/certs$ scp *.pem sysadmin@dd01.example.com:/ddr/var/certificates/ DigiCertGlobalRootG2.crt.pem 100% 1294 13.6KB/s 00:00 DigiCertGlobalRootG3.crt.pem 100% 839 8.8KB/s 00:00 ms-ecc-root.pem 100% 875 9.2KB/s 00:00 ms-rsa-root.pem 100% 2021 21.2KB/s 00:00
-
Installer certifikatet på følgende måde:
adminaccess certificate import ca application cloud file <file-name> Certificates should be stored in /ddr/var/certificates before you run the adminaccess command.
admin@linux:~/certs$ ssh sysadmin@dd01.example.com
sysadmin@dd01# adminaccess certificate import ca application cloud file DigiCertGlobalRootG2.crt.pem The SHA1 fingerprint for the imported CA certificate is: DF:3C:24:F9:BF:D6:66:76:1B:26:80:73:FE:06:D1:CC:8D:4F:82:A4 Do you want to import this certificate? (yes|no) [yes]: y CA certificate imported for application(s) : "cloud". sysadmin@dd01# adminaccess certificate import ca application cloud file DigiCertGlobalRootG3.crt.pem The SHA1 fingerprint for the imported CA certificate is: 7E:04:DE:89:6A:3E:66:6D:00:E6:87:D3:3F:FA:D9:3B:E8:3D:34:9E Do you want to import this certificate? (yes|no) [yes]: y CA certificate imported for application(s) : "cloud". sysadmin@dd01# adminaccess certificate import ca application cloud file ms-ecc-root.pem The SHA1 fingerprint for the imported CA certificate is: 99:9A:64:C3:7F:F4:7D:9F:AB:95:F1:47:69:89:14:60:EE:C4:C3:C5 Do you want to import this certificate? (yes|no) [yes]: y CA certificate imported for application(s) : "cloud". sysadmin@dd01# adminaccess certificate import ca application cloud file ms-rsa-root.pem The SHA1 fingerprint for the imported CA certificate is: 73:A5:E6:4A:3B:FF:83:16:FF:0E:DC:CC:61:8A:90:6E:4E:AE:4D:74 Do you want to import this certificate? (yes|no) [yes]: y CA certificate imported for application(s) : "cloud".
-
Kontrollér de nye certifikatoplysninger fra DD DDVE-kommandolinjen:
sysadmin@ddve# sysadmin@ddve# adminaccess cert show
Subject Type Application Valid From Valid Until Fingerprint
--------------------------------------------- ------------- ----------- ------------------------ ------------------------ -----------------------------------------------------------
dd01.example.com host https Tue Mar 26 10:38:34 2019 Wed Jan 31 10:48:38 2024 30:78:FE:93:DF:2F:9D:B5:08:D7:EC:5E:9E:89:E2:BD:16:13:E1:BA
dd01.example.com ca trusted-ca Wed Mar 27 17:38:34 2019 Wed Jan 31 10:16:38 2024 CB:9D:64:39:56:48:FB:58:C6:93:40:FB:29:91:56:9A:BD:08:7A:C8
Baltimore CyberTrust Root imported-ca cloud Fri May 12 11:46:00 2000 Mon May 12 16:59:00 2025 D4:DE:20:D0:5E:66:FC:53:FE:1A:50:88:2C:78:DB:28:52:CA:E4:74
DigiCert Global Root G2 imported-ca cloud Thu Aug 1 05:00:00 2013 Fri Jan 15 04:00:00 2038 DF:3C:24:F9:BF:D6:66:76:1B:26:80:73:FE:06:D1:CC:8D:4F:82:A4
DigiCert Global Root G3 imported-ca cloud Thu Aug 1 05:00:00 2013 Fri Jan 15 04:00:00 2038 7E:04:DE:89:6A:3E:66:6D:00:E6:87:D3:3F:FA:D9:3B:E8:3D:34:9E
Microsoft ECC Root Certificate Authority 2017 imported-ca cloud Wed Dec 18 15:06:45 2019 Fri Jul 18 16:16:04 2042 99:9A:64:C3:7F:F4:7D:9F:AB:95:F1:47:69:89:14:60:EE:C4:C3:C5
Microsoft RSA Root Certificate Authority 2017 imported-ca cloud Wed Dec 18 14:51:22 2019 Fri Jul 18 16:00:23 2042 73:A5:E6:4A:3B:FF:83:16:FF:0E:DC:CC:61:8A:90:6E:4E:AE:4D:74
--------------------------------------------- ------------- ----------- ------------------------ ------------------------ -----------------------------------------------------------
-
Hvis et eller flere af certifikaterne ved et uheld blev tilføjet til et andet "program" end "cloud", skal du slette det fra nøglecentercertifikatet under brugergrænsefladen til adgangsstyring.
Bemærk: Slet ikke det gamle "Baltimore Cyber-Trust Root"-certifikat.
For et Data Domain-system, der er konfigureret med et Cloud Tier-filsystem, kan det være nødvendigt at genstarte for at genoprette forbindelsen til Cloud-enheder. Sørg for nedetid, og kør følgende kommando for at genstarte filsystemet:
#filesys restart
For Data Domain-systemer, der kører på Azure Platform, skal du genstarte DDVE:
#system reboot