Data Domain: Webinterface niet toegankelijk vanwege verlopen https-certificaat

• Dit zie je misschien 404 HTTP fouten of andere Apache-webservice wanneer het certificaat verloopt:
  
• Er kunnen andere fouten worden gezien, zoals een resource die niet beschikbaar is.
• Over het algemeen is de gebruikersinterface niet toegankelijk.
• Het probleem doet zich ook voor als een aanmeldingsfout van de gebruiker in de gebruikersinterface.

Wanneer de HTTPS of CA-certificaat verloopt op een Data Domain, veroorzaakt dit problemen met de Apache-webserver. Het haalt de gebruikersinterface naar beneden en maakt deze ontoegankelijk.

Als dit Data Domain zich in een Integrated Data Protection Appliance of Cyber Recovery kluisconfiguratie bevindt, moet u nagaan hoe deze systemen het Data Domain bewaken met behulp van certificaten. Support kan nodig zijn wanneer een certificaat verloopt en er vervolgens een nieuw certificaat wordt toegevoegd.

Dit is geen probleem voor datadomeinen in een DLm-oplossing, omdat de DLm geen gebruik vereist of gebruikt HTTP or HTTPS toegang om te communiceren met het Data Domain. Certificaatupdates op het Data Domain kunnen worden uitgevoerd zonder onderbreking van de verwerking van de DLm-tapekoppeling.

1. Controleer of het HTTPS of CA, of beide certificaten zijn verlopen:

# adminaccess certificate show

2. Als ze niet verlopen, is de gebruikersinterface mogelijk niet beschikbaar vanwege de onderstaande problemen:

   • Data Domain: Na een upgrade naar DDOS of DDMC 7.1.x of hoger is de gebruikersinterface niet meer toegankelijk
   • Data Domain: Na een upgrade naar DDOS of DDMC 6.2.1.90, 7.2.0.95 of 7.7.2.x of hoger is de gebruikersinterface niet meer toegankelijk
3. Als het CA-certificaat is verlopen, controleert u de vertrouwensrelaties die zijn ingesteld:

# adminaccess trust show

U ziet het certificaat voor het huidige Data Domain (op basis van de hostnaam) en certificaten van andere Data Domains of PowerProtect DD Management Center. Als deze vertrouwensrelaties opnieuw moeten worden ingesteld, moet een gebruiker de sysadmin-wachtwoorden voor alle Data Domains of Data Domain Management Centers in het vertrouwenspaar opnieuw instellen na het genereren van een nieuw CA-certificaat. Sommige vertrouwensrelaties zijn mogelijk verouderd door oude replicatiecontexten en hoeven niet opnieuw te worden toegevoegd.

4. Controleer of het HTTPS cert is een zelfondertekend certificaat of als de gebruiker het ondertekent met een certificeringsinstantie (CA):

# adminaccess certificate show imported-host application https

Als deze opdracht iets retourneert, ondertekent de gebruiker het certificaat extern met een CA. Anders, als er geen geïmporteerd hostcertificaat is, is het certificaat zelfondertekend.

Zelfs als het geïmporteerde certificaat geldig is en niet is verlopen, moet u het vernieuwen als het zelfondertekende certificaat is verlopen zoals in de volgende stappen. Een zelfondertekend hostcertificaat wordt ook intern gebruikt voor de DD UI om intern met de sms-service te communiceren. 
 

5. Als de HTTPS Het certificaat is extern ondertekend, genereert u een nieuwe CSR (Certificate Signing Request). De gebruiker geeft dit door aan de CA ter ondertekening en importeert het ondertekende certificaat weer in het Data Domain. Volg het artikel Data Domain: Een certificaatondertekeningsaanvraag genereren en extern ondertekende certificaten gebruiken.

   1. DDOS ondersteunt één hostcertificaat voor HTTPS. Als het systeem een hostcertificaat gebruikt, inclusief zelfondertekend en de gebruiker een ander hostcertificaat wil gebruiken, verwijdert u het huidige certificaat voordat u het nieuwe certificaat toevoegt.

      Stappen:

      1. Meld u af bij de browsersessie voordat u een HTTPS Hostcertificaat. 
      2. Voer de CLI-opdracht uit om het certificaat te verwijderen

         adminaccess certificate delete imported-host-application https

6. Als het CA-certificaat is verlopen, genereert u een nieuwe HTTPS en CA-certificaat met deze opdracht:

# adminaccess certificate generate self-signed-cert regenerate-ca

Merk op dat na het genereren, de geldige startdatum voor de HTTPS cert is een maand in het verleden en het CA-certificaat is een jaar in het verleden, dit is door het ontwerp.

7. Als het certificaat zelfondertekend is en alleen het HTTPS Certificaat is verlopen, genereer dan een nieuwe HTTPS cert met:

# adminaccess certificate generate self-signed-cert

8. Als het CA-certificaat opnieuw is gegenereerd, moet een gebruiker de vereiste vertrouwensopties herstellen. Het PowerProtect DD Management Center vereist vertrouwen voor bewaking en wanneer replicatie is geconfigureerd met behulp van de gebruikersinterface. Als dat het geval is, moet een gebruiker een vertrouwensrelatie opbouwen om dat te laten werken.
9. Voor alle Data Domains of Data Domain Management Centers die een vertrouwensrelatie nodig hebben, voert u deze opdracht uit om de oude vertrouwensrelatie te verwijderen en vervolgens de vertrouwensrelatie te herstellen met behulp van het nieuwe certificaat voor het huidige Data Domain (Hierbij wordt gevraagd om het sysadmin-wachtwoord voor de andere Data Domains of Data Domain Management Centers). Zorg ervoor dat een gebruiker alle Data Domains of Data Domain Management Centers heeft of verwijder de vertrouwensrelatie voor alle Data Domains of Data Domain Management Centers die buiten gebruik zijn gesteld zonder ze weer toe te voegen. Gebruik de opdracht zonder de type mutual wanneer u dit doet.

# adminaccess trust del host <hostname of other DD/DDMC> type mutual

Voer vervolgens deze opdracht uit om een nieuwe vertrouwensrelatie tot stand te brengen:

# adminaccess trust add host <hostname of other DD/DDMC> type mutual

Voor het bovenstaande voorbeeld voert u de add als del voor ALLE andere Data Domains of Data Domain Management Centers om beurten.

# adminaccess trust del host sc-dd2500-2.lss.emc.com type mutual
# adminaccess trust add host sc-dd2500-2.lss.emc.com type mutual

Als een gebruiker de vertrouwensrelatie niet opnieuw hoeft toe te voegen, omdat het Data Domain buiten gebruik wordt gesteld:

# adminaccess trust del host dd690.dssupport.emea

10. Zodra het vertrouwen is hersteld, start u indien nodig de UI-services opnieuw:

# adminaccess disable http
# adminaccess disable https
# adminaccess enable https
# adminaccess enable http

• Vanaf versie 8.3 en hoger, HTTP is standaard uitgeschakeld. Het is niet vereist om het in te schakelen als het niet wordt gebruikt.
• HTTPS is de geprefereerde en veilige methode voor toegang tot de gebruikersinterface.

11. De gebruikersinterface zou nu toegankelijk moeten zijn.

Je kunt deze video ook bekijken op YouTube.