Data Domain：即将进行的 Microsoft Azure 存储传输层安全证书更改
Summary: 包含在配置了云层的受影响 Data Domain 系统和部署在具有对象存储上的活动层 (ATOS) 的 Azure 上的 Data Domain Virtual Edition (DDVE) 中的传输层安全性 (TLS) 证书更改。Dell Technologies 建议尽快安装新证书，以避免任何中断。
Symptoms
如果在将新证书添加为云信任证书之前发生 Azure 存储证书更改（从 2022 年 7 月开始），在 Azure 中配置了云层的 Data Domain 系统的云设备将变为连接断开状态：
# alert show current Id Post Time Severity Class Object Message ----- ------------------------ -------- ----- ------------------------ ------------------------------------------------------------------------- m0-76 Mon Apr 19 15:34:03 2021 CRITICAL Cloud CloudUnit=azure-unit EVT-CLOUD-00001: Unable to access provider for cloud unit azure-unit. ----- ------------------------ -------- ----- ------------------------ ------------------------------------------------------------------------- There is 1 active alert. # cloud unit list Name Profile Status -------------- --------- ------------ azure-unit azure Disconnected -------------- --------- ------------
如果 DDVE 部署在具有对象存储上的活动层 （ATOS） 的 Azure 上，则文件系统将被禁用，并显示以下警报消息：
Alert History ------------- Id Post Time Clear Time Severity Class Object Message ----- ------------------------ ------------------------ -------- ----------------- ------ -------------------------------------------------------------------------------------- m0-26 Tue Apr 6 13:58:41 2021 Tue Apr 6 13:59:03 2021 ERROR Filesystem EVT-FILESYS-00008: Filesystem has encountered an error and is restarting. m0-27 Tue Apr 6 14:19:59 2021 Tue Apr 6 14:20:03 2021 ALERT Filesystem EVT-FILESYS-00002: Problem is preventing filesystem from
Cause
Microsoft Azure 存储服务进行了更新，以使用链接到 DigiCert Global G2 根的证书颁发机构 (CA) 的 TLS 证书。但是，与此同时，将继续使用当前证书（由 Baltimore Cyber-Trust root 颁发）。
此更改从 2022 年 7 月开始，预计将于 2022 年 10 月底完成。建议在 2022 年 6 月 30 日之前安装新证书，并且不要删除当前证书。
要访问 Blob 容器（适用于 Data Domain Cloud Tier 或 DDVE ATOS），Data Domain 系统需要新的 DigiCert Global G2 根 CA 证书，而不是当前的 Baltimore Cyber-Trust 根 CA 证书作为云的可信证书。
有关该主题的更多详细信息，请参阅以下官方 Azure 安全 Blob：
Azure 存储 TLS：关键变化几乎都在这里！（...以及为什么您应该关心这些变化）— Microsoft 技术社区。
Resolution
为了在 2022 年 7 月开始推送更改时尽可能顺利地过渡到新的 Azure 存储安全证书，有必要将受信任的“Baltimore Cyber-Trust 根 CA”证书保留为 Data Domain 中的云受信任证书，并添加新的“DigiCert Global G2 Root CA”证书，也作为云的受信任证书。 而不是用另一个替换一个。
保留这两个证书不会引起任何问题，并且无论提供由任一 CA 颁发的证书，Data Domain DDVE 系统都可以信任与 Azure 存储的连接，从而避免在从 2022 年 7 月开始的某个时间点首次向 Data Domain/DDVE 系统提供新证书时的任何停机时间。
以下步骤适用于配置了云层的 Data Domain 系统或部署在具有 ATOS 的 Azure 云平台上的 DDVE 的 DigiCert Global G2 根证书。此外，还建议添加DigiCert Global G3根证书和Microsoft ECC或RSA根证书颁发机构证书，以避免将来发生中断。
根据以下示例，确认 Data Domain DDVE 系统具有适用于云应用程序的“Baltimore Cyber-Trust Root”：
sysadmin@dd01# adminaccess certificate show
Subject Type Application Valid From Valid Until Fingerprint
------------------------- ------------- ----------- ------------------------ ------------------------ -----------------------------------------------------------
dd01.example.com host https Tue Mar 26 10:38:34 2019 Wed Jan 31 10:48:38 2024 30:78:FE:93:DF:2F:9D:B5:08:D7:EC:5E:9E:89:E2:BD:16:13:E1:BA
dd01.example.com ca trusted-ca Wed Mar 27 17:38:34 2019 Wed Jan 31 10:16:38 2024 CB:9D:64:39:56:48:FB:58:C6:93:40:FB:29:91:56:9A:BD:08:7A:C8
Baltimore CyberTrust Root imported-ca cloud Fri May 12 11:46:00 2000 Mon May 12 16:59:00 2025 D4:DE:20:D0:5E:66:FC:53:FE:1A:50:88:2C:78:DB:28:52:CA:E4:74
------------------------- ------------- ----------- ------------------------ ------------------------ -----------------------------------------------------------
选项 1：使用 Microsoft Windows 工作站
安装证书的说明 有关演示，请单击以下视频：
在 YouTube
-
在本地工作站上创建文件夹。
例如：
C:\MS-AZ-certificates -
下载 DigiCert Global Root G2/G3 证书，请参阅以下页面：
DigiCert 根证书 - 下载和测试 | DigiCert.com右键单击 Download PEM并将链接另存为：
DigiCertGlobalRootG2.crt.pem
SHA1 Fingerprint：DF：3C：24：F9：BF：D6：66：76：1B：26：80：73：FE：06：D1：CC：8D：4F：82：A4DigiCertGlobalRootG3.crt.pem
SHA1 Fingerprint：7E:04:DE:89:6A:3E:66:6D:00:E6:87:D3:3F:FA:D9:3B:E8:3D:34:9E -
下载 Microsoft RSA 和 ECC 证书。
右键单击 Download PEM并将链接另存为：
Microsoft RSA 根证书颁发机构 2017
（指纹：73a5e64a3bff8316ff0edccc618a906e4eae4d74）Microsoft ECC 根证书颁发机构 2017
（指纹：999a64c37ff47d9fab95f14769891460eec4c3c5） -
转到命令行并 运行 以下步骤。这些命令是从 Windows 主机运行的，但是，可以从 Linux 主机运行类似的命令。
C:\MS-AZ-certificates>dir Volume in drive C is OS Volume Serial Number is E4AE-2A04 Directory of C:\MS-AZ-certificates 15/10/2021 09:30 AM <DIR> . 15/10/2021 09:30 AM <DIR> .. 15/10/2021 09:29 AM 1,294 DigiCertGlobalRootG2.crt.pem 15/10/2021 09:29 AM 839 DigiCertGlobalRootG3.crt.pem 15/10/2021 09:30 AM 605 Microsoft ECC Root Certificate Authority 2017.crt 15/10/2021 09:30 AM 1,452 Microsoft RSA Root Certificate Authority 2017.crt 4 File(s) 4,190 bytes
-
重命名 DigiCertGlobalRootG2 文件，如下所示 .pem。
C:\MS-AZ-certificates>rename DigiCertGlobalRootG2.crt.pem DigiCertGlobalRootG2.pem C:\MS-AZ-certificates>rename DigiCertGlobalRootG3.crt.pem DigiCertGlobalRootG3.pem
-
转换 从 crt 到 pem 格式的 Microsoft ECC RSA 根证书颁发机构证书，如下所示：
C:\MS-AZ-certificates>certutil -encode "Microsoft ECC Root Certificate Authority 2017.crt" ms-ecc-root.pem Input Length = 605 Output Length = 890 CertUtil: -encode command completed successfully. C:\MS-AZ-certificates>certutil -encode "Microsoft RSA Root Certificate Authority 2017.crt" ms-rsa-root.pem Input Length = 1452 Output Length = 2054 CertUtil: -encode command completed successfully. C:\MS-AZ-certificates>dir Volume in drive C is OS Volume Serial Number is E4AE-2A04 Directory of C:\MS-AZ-certificates 15/10/2021 10:25 AM <DIR> . 15/10/2021 10:25 AM <DIR> .. 15/10/2021 09:29 AM 1,294 DigiCertGlobalRootG2.pem 15/10/2021 09:29 AM 839 DigiCertGlobalRootG3.pem 15/10/2021 09:46 AM 605 Microsoft ECC Root Certificate Authority 2017.crt 15/10/2021 09:45 AM 1,452 Microsoft RSA Root Certificate Authority 2017.crt 15/10/2021 10:25 AM 890 ms-ecc-root.pem 15/10/2021 10:25 AM 2,054 ms-rsa-root.pem 6 File(s) 7,134 bytes
-
使用 PowerProtect DD System Manager UI 从该文件夹中导入所有 PEM 格式的证书文件。
- 对于配置了云层的 Data Domain 系统：
Data ManagementFile SystemCloud >> UnitsManage > CertificatesAdd > 。
对其余三个证书重复上述步骤。 - 对于在具有 ATOS 的 Azure 平台上运行的 Data Domain 系统：
数据管理 > 文件系统 > 摘要修改 > 对象存储 > 证书 > 添加。
对其余三个证书重复上述步骤。提醒：请勿在访问管理下添加新的证书颁发机构证书。
- 对于配置了云层的 Data Domain 系统：
选项 2：使用 Linux 工作站安装证书的说明
-
以 .pem 格式下载以下两个 DigiCert 证书。
https://cacerts.digicert.com/DigiCertGlobalRootG2.crt.pem SHA1 指纹：DF：3C：24：F9：BF：D6：66：76：1B：26：80：73：FE：06：D1：CC：8D：4F：82：A4
https://cacerts.digicert.com/DigiCertGlobalRootG3.crt.pem SHA1 指纹：7E:04:DE:89:6A:3E:66:6D:00:E6:87:D3:3F:FA:D9:3B:E8:3D:34:9E -
下载 DER CRT 格式的以下两个根证书。
Microsoft RSA 根证书颁发机构 2017
（指纹：73a5e64a3bff8316ff0edccc618a906e4eae4d74）Microsoft ECC 根证书颁发机构 2017
（指纹：999a64c37ff47d9fab95f14769891460eec4c3c5）示例：
使用 Linux wget 实用程序下载证书：
$ mkdir certs $ cd certs $ wget https://cacerts.digicert.com/DigiCertGlobalRootG2.crt.pem --2021-10-18 20:10:52-- https://cacerts.digicert.com/DigiCertGlobalRootG2.crt.pem . . 2021-10-18 20:10:53 (16.5 MB/s) - ‘DigiCertGlobalRootG2.crt.pem’ saved [1294/1294] $ wget https://cacerts.digicert.com/DigiCertGlobalRootG3.crt.pem --2021-10-18 20:32:21-- https://cacerts.digicert.com/DigiCertGlobalRootG3.crt.pem . . 2021-10-18 20:32:21 (41.1 MB/s) - ‘DigiCertGlobalRootG3.crt.pem’ saved [839/839] $ wget https://www.microsoft.com/pkiops/certs/Microsoft%20RSA%20Root%20Certificate%20Authority%202017.crt --2021-10-18 20:31:44-- https://www.microsoft.com/pkiops/certs/Microsoft%20RSA%20Root%20Certificate%20Authority%202017.crt . . 2021-10-18 20:31:45 (73.2 MB/s) - ‘Microsoft RSA Root Certificate Authority 2017.crt’ saved [1452/1452] $ wget https://www.microsoft.com/pkiops/certs/Microsoft%20ECC%20Root%20Certificate%20Authority%202017.crt --2021-10-18 20:31:16-- https://www.microsoft.com/pkiops/certs/Microsoft%20ECC%20Root%20Certificate%20Authority%202017.crt . . 2021-10-18 20:31:16 (15.7 MB/s) - ‘Microsoft ECC Root Certificate Authority 2017.crt’ saved [605/605] admin@linux:~/certs$ ls -l total 155 -rw-rw-rw-. 1 admin admin 178 Oct 18 20:32 cert.list -rw-rw-rw-. 1 admin admin 1294 Dec 6 2017 DigiCertGlobalRootG2.crt.pem -rw-rw-rw-. 1 admin admin 839 Sep 22 12:36 DigiCertGlobalRootG3.crt.pem -rw-rw-rw-. 1 admin admin 605 Jan 22 2020 Microsoft ECC Root Certificate Authority 2017.crt -rw-rw-rw-. 1 admin admin 1452 Jan 22 2020 Microsoft RSA Root Certificate Authority 2017.crt
-
使用以下命令将两个根证书转换为 .pem 格式。
admin@linux:~/certs$ openssl x509 -inform der -in Microsoft\ ECC\ Root\ Certificate\ Authority\ 2017.crt -out ms-ecc-root.pem admin@linux:~/certs$ openssl x509 -inform der -in Microsoft\ RSA\ Root\ Certificate\ Authority\ 2017.crt -out ms-rsa-root.pem admin@linux:~/certs$ ls -l total 155 -rw-rw-rw-. 1 admin admin 178 Oct 18 20:32 cert.list -rw-rw-rw-. 1 admin admin 1294 Dec 6 2017 DigiCertGlobalRootG2.crt.pem -rw-rw-rw-. 1 admin admin 839 Sep 22 12:36 DigiCertGlobalRootG3.crt.pem -rw-rw-rw-. 1 admin admin 605 Jan 22 2020 Microsoft ECC Root Certificate Authority 2017.crt -rw-rw-rw-. 1 admin admin 1452 Jan 22 2020 Microsoft RSA Root Certificate Authority 2017.crt -rw-rw-rw-. 1 admin admin 875 Oct 18 2021 ms-ecc-root.pem -rw-rw-rw-. 1 admin admin 2021 Oct 18 2021 ms-rsa-root.pem
-
复制 Data Domain 系统上的 .pem 证书文件。
admin@linux:~/certs$ scp *.pem sysadmin@dd01.example.com:/ddr/var/certificates/ DigiCertGlobalRootG2.crt.pem 100% 1294 13.6KB/s 00:00 DigiCertGlobalRootG3.crt.pem 100% 839 8.8KB/s 00:00 ms-ecc-root.pem 100% 875 9.2KB/s 00:00 ms-rsa-root.pem 100% 2021 21.2KB/s 00:00
-
按如下方式安装 证书：
adminaccess certificate import ca application cloud file <file-name> Certificates should be stored in /ddr/var/certificates before you run the adminaccess command.
admin@linux:~/certs$ ssh sysadmin@dd01.example.com
sysadmin@dd01# adminaccess certificate import ca application cloud file DigiCertGlobalRootG2.crt.pem The SHA1 fingerprint for the imported CA certificate is: DF:3C:24:F9:BF:D6:66:76:1B:26:80:73:FE:06:D1:CC:8D:4F:82:A4 Do you want to import this certificate? (yes|no) [yes]: y CA certificate imported for application(s) : "cloud". sysadmin@dd01# adminaccess certificate import ca application cloud file DigiCertGlobalRootG3.crt.pem The SHA1 fingerprint for the imported CA certificate is: 7E:04:DE:89:6A:3E:66:6D:00:E6:87:D3:3F:FA:D9:3B:E8:3D:34:9E Do you want to import this certificate? (yes|no) [yes]: y CA certificate imported for application(s) : "cloud". sysadmin@dd01# adminaccess certificate import ca application cloud file ms-ecc-root.pem The SHA1 fingerprint for the imported CA certificate is: 99:9A:64:C3:7F:F4:7D:9F:AB:95:F1:47:69:89:14:60:EE:C4:C3:C5 Do you want to import this certificate? (yes|no) [yes]: y CA certificate imported for application(s) : "cloud". sysadmin@dd01# adminaccess certificate import ca application cloud file ms-rsa-root.pem The SHA1 fingerprint for the imported CA certificate is: 73:A5:E6:4A:3B:FF:83:16:FF:0E:DC:CC:61:8A:90:6E:4E:AE:4D:74 Do you want to import this certificate? (yes|no) [yes]: y CA certificate imported for application(s) : "cloud".
-
从 DD DDVE 命令行检查新证书信息：
sysadmin@ddve# sysadmin@ddve# adminaccess cert show
Subject Type Application Valid From Valid Until Fingerprint
--------------------------------------------- ------------- ----------- ------------------------ ------------------------ -----------------------------------------------------------
dd01.example.com host https Tue Mar 26 10:38:34 2019 Wed Jan 31 10:48:38 2024 30:78:FE:93:DF:2F:9D:B5:08:D7:EC:5E:9E:89:E2:BD:16:13:E1:BA
dd01.example.com ca trusted-ca Wed Mar 27 17:38:34 2019 Wed Jan 31 10:16:38 2024 CB:9D:64:39:56:48:FB:58:C6:93:40:FB:29:91:56:9A:BD:08:7A:C8
Baltimore CyberTrust Root imported-ca cloud Fri May 12 11:46:00 2000 Mon May 12 16:59:00 2025 D4:DE:20:D0:5E:66:FC:53:FE:1A:50:88:2C:78:DB:28:52:CA:E4:74
DigiCert Global Root G2 imported-ca cloud Thu Aug 1 05:00:00 2013 Fri Jan 15 04:00:00 2038 DF:3C:24:F9:BF:D6:66:76:1B:26:80:73:FE:06:D1:CC:8D:4F:82:A4
DigiCert Global Root G3 imported-ca cloud Thu Aug 1 05:00:00 2013 Fri Jan 15 04:00:00 2038 7E:04:DE:89:6A:3E:66:6D:00:E6:87:D3:3F:FA:D9:3B:E8:3D:34:9E
Microsoft ECC Root Certificate Authority 2017 imported-ca cloud Wed Dec 18 15:06:45 2019 Fri Jul 18 16:16:04 2042 99:9A:64:C3:7F:F4:7D:9F:AB:95:F1:47:69:89:14:60:EE:C4:C3:C5
Microsoft RSA Root Certificate Authority 2017 imported-ca cloud Wed Dec 18 14:51:22 2019 Fri Jul 18 16:00:23 2042 73:A5:E6:4A:3B:FF:83:16:FF:0E:DC:CC:61:8A:90:6E:4E:AE:4D:74
--------------------------------------------- ------------- ----------- ------------------------ ------------------------ -----------------------------------------------------------
-
如果意外为“云”以外的“应用程序”添加了任何证书，请将其从访问管理 UI 下的证书颁发机构证书中删除。
提醒：请勿删除旧的“Baltimore Cyber-Trust Root”证书。
对于配置了云层文件系统的 Data Domain 系统，可能需要重新启动才能重新建立与云设备的连接。安排停机时间并运行以下命令以重新启动文件系统：
#filesys restart
对于在 Azure 平台上运行的 Data Domain 系统，重新启动 DDVE：
#system reboot