NetWorker: команди authc зазнають невдачі з повідомленням "не вдалося знайти дійсний шлях сертифікації"

• Сервер NetWorker розгорнутий на автономній (некластеризованій) системі.
• Команди автентифікації NetWorker (authc_config, authc_mgmt) не вдається повідомити про таку помилку:

[root@networker-mc bin]# authc_mgmt -u administrator -e find-all-users
Enter password: 
ERROR [main] (DefaultLogger.java:190) - Error executing command. Failure: I/O error on POST request for https://localhost:9090/auth-server/api/v1/sec/authenticate [localhost]: sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target; nested exception is javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target

• Ця проблема виникає незалежно від того, використовується локальна автентифікація NetWorker або зовнішня (LDAP).

Є розбіжність у підписі сертифікатів emcauthctomcat. emcauthctomcat налаштовується за замовчуванням під час розгортання NetWorker. Цей сертифікат існує в трьох місцях:

Linux:

• /nsr/authc/conf/authc.keystore
• /opt/nsr/authc-server/conf/authc.truststore
• /opt/nre/java/latest/lib/security/cacerts

Вікна:

• C:\Program Files\EMC NetWorker\nsr\authc-server\tomcat\conf\authc.keystore
• C:\Program Files\EMC NetWorker\nsr\authc-server\conf\authc.truststore
• C:\Program Files\NRE\java\jre#.#.#_###\lib\security\cacerts

[root@networker-mc bin]# ./keytool -list -keystore /opt/nre/java/latest/lib/security/cacerts -storepass changeit | grep -A1 emcauth 
emcauthctomcat, Oct 7, 2022, trustedCertEntry, 
Certificate fingerprint (SHA-256): 3B:18:1E:DF:39:ED:5B:4B:CF:9F:92:22:E8:D9:96:54:E0:21:A4:EB:06:D6:36:32:03:76:5E:CC:BA:B1:15:6B

[root@networker-mc bin]# ./keytool -list -keystore /opt/nsr/authc-server/conf/authc.truststore  | grep -A1 emcauthctom 
Enter keystore password:  
emcauthctomcat, Oct 7, 2022, trustedCertEntry, 
Certificate fingerprint (SHA-256): 3B:18:1E:DF:39:ED:5B:4B:CF:9F:92:22:E8:D9:96:54:E0:21:A4:EB:06:D6:36:32:03:76:5E:CC:BA:B1:15:6B

[root@networker-mc bin]# ./keytool -list -keystore /nsr/authc/conf/authc.keystore | grep -A1 emcauthctomcat
Enter keystore password: 
emcauthctomcat, Jun 29, 2022, PrivateKeyEntry, 
Certificate fingerprint (SHA-256): 93:97:0D:ED:DF:B1:73:62:D0:E1:95:C9:EB:67:3E:EE:4D:2E:55:9F:D7:9D:5E:FD:CE:81:E3:88:23:8E:0C:C9

Виправте невідповідність сертифіката.

1. Створіть копію наявних файлів сховища ключів:
   Linux:

   • /nsr/authc/conf/authc.keystore
   • /opt/nsr/authc-server/conf/authc.truststore
   • /opt/nre/java/latest/lib/security/cacerts

   Вікна:

   • C:\Program Files\EMC NetWorker\nsr\authc-server\tomcat\conf\authc.keystore
   • C:\Program Files\EMC NetWorker\nsr\authc-server\conf\authc.truststore
   • C:\Program Files\NRE\java\jre#.#.#_###\lib\security\cacerts

    

   ПРИМІТКА: Файл cacerts знаходиться у налаштованому екземплярі JRE authc. Шляхи, показані вище, встановлюються в середовищі виконання NetWorker (NRE). Якщо встановлено Oracle Java JRE, файл cacerts знаходиться в шляху встановлення java під .. \lib\security\cacerts.

2. На сервері NetWorker відкрийте командний рядок адміністратора або root.

3. Зупинка серверних служб NetWorker:
   Linux: nsr_shutdown
   Вікна: net stop nsrd

4. Змініть каталог на каталог JRE \bin.

5. Використовуючи наведений нижче синтаксис команди, видаліть сертифікати emcauthctomcat з місць сховища ключів, де спостерігається невідповідність.

   Linux:
   ./keytool -delete -alias emcauthctomcat -keystore /path/to/keystore -storepass password

   Вікна:
   keytool -delete -alias emcauthctomcat -keystore "C:\path\to\keystore" -storepass password

   ПРИМІТКА: Пароль сховища ключів Java, незалежно від того, NRE або Oracle jre, є changeit. Сховище ключів authc — це визначений користувачем пароль сховища ключів, встановлений під час використання майстра встановлення NetWorker (Windows) або сценарію /opt/nsr/authc-server/scripts/authc_configure.sh (Linux).

Приклад:

[root@networker-mc bin]# ./keytool -delete -alias emcauthctomcat -keystore /opt/nre/java/latest/lib/security/cacerts -storepass changeit  

[root@networker-mc bin]# ./keytool -delete -alias emcauthctomcat -keystore /opt/nsr/authc-server/conf/authc.truststore
Enter keystore password:  
[root@networker-mc bin]#

6. Сертифікат emcauthctomcat за замовчуванням має існувати у такому розташуванні:
   Linux: /nsr/authc/conf/emcauthctomcat.cer
   Windows: C:\Program Files\EMC NetWorker\nsr\authc-server\tomcat\conf\emcauthctomcat.cer

7. Імпортувати сертифікат emcauthctomcat за замовчуванням до розташування сховища ключів:
   Linux:
   ./keytool -import -alias emcauthctomcat -keystore /path/to/keystore -storepass password -file /nsr/authc/conf/emcauthctomcat.cer

   Вікна:
   keytool -import -alias emcauthctomcat -keystore "C:\path\to\keystore" -storepass password -file "C:\Program Files\EMC NetWorker\nsr\authc-server\tomcat\conf\emcauthctomcat.cer"

Приклад:

[root@networker-mc bin]# ./keytool -import -alias emcauthctomcat -keystore /opt/nsr/authc-server/conf/authc.truststore  -file /nsr/authc/conf/emcauthctomcat.cer
Enter keystore password:  
Owner: CN=networker-mc.emclab.local, OU=NetWorker, O=DELL, L=Round Rock, ST=TX, C=US
Issuer: CN=networker-mc.emclab.local, OU=NetWorker, O=DELL, L=Round Rock, ST=TX, C=US
Serial number: bd1993a1
Valid from: Wed Jun 29 12:16:53 EDT 2022 until: Sun Jun 23 12:16:53 EDT 2047
Certificate fingerprints:
         SHA1: E8:7B:C8:DF:4D:24:57:C4:63:34:1F:E8:6D:AA:1F:84:79:61:92:26
         SHA256: 93:97:0D:ED:DF:B1:73:62:D0:E1:95:C9:EB:67:3E:EE:4D:2E:55:9F:D7:9D:5E:FD:CE:81:E3:88:23:8E:0C:C9
Signature algorithm name: SHA512withRSA
Subject Public Key Algorithm: 3072-bit RSA key
Version: 3

Extensions: 

#1: ObjectId: 2.5.29.17 Criticality=false
SubjectAlternativeName [
  DNSName: localhost
  IPAddress: 127.0.0.1
  DNSName: networker-mc.emclab.local
]

Trust this certificate? [no]:  y
Certificate was added to keystore
[root@networker-mc bin]# ./keytool -import -alias emcauthctomcat -keystore /opt/nre/java/latest/lib/security/cacerts -file /nsr/authc/conf/emcauthctomcat.cer   
Enter keystore password:  
Certificate already exists in keystore under alias <emcnwuiserv>
Do you still want to add it? [no]:  y
Certificate was added to keystore

8. За допомогою кнопки keytool -list Команда для підтвердження сертифіката Підписи emcauthctomcat збігаються в кожному зі сховищ ключів:
   Linux: ./keytool -list -keystore /path/to/keystore -storepass password | grep -A1 emcauth
   Вікна: keytool -list -keystore "C:\path\to\keystore" -storepass password

9. Запустіть послуги NetWorker:
   Linux: systemctl start networker
   Вікна: net start nsrd

10. Спроба використати authc_config або authc_mgmt команда:
    authc_config -u Administrator -e find-all-users

Приклад:

[root@networker-mc bin]# authc_mgmt -u administrator -e find-all-users
Enter password: 
The query returns 2 records.
User Id User Name           
1000    administrator       
1001    svc_nmc_networker-mc