Data Domain: Sieciowy interfejs użytkownika jest niedostępny z powodu wygaśnięcia certyfikatu https

• Możesz zobaczyć 404 HTTP błędy lub inna usługa internetowa Apache po wygaśnięciu certyfikatu:
  
• Mogą wystąpić inne błędy, takie jak niedostępne zasoby.
• Ogólnie rzecz biorąc, interfejs użytkownika jest niedostępny.
• Problem objawia się również jako błąd logowania użytkownika w interfejsie użytkownika.

Po zakończeniu HTTPS lub certyfikat CA wygasa w Data Domain, powoduje problemy z serwerem WWW Apache. Obniża to interfejs użytkownika i czyni go niedostępnym.

Jeśli ta domena danych znajduje się w konfiguracji magazynu Integrated Data Protection Appliance lub magazynu Cyber Recovery, należy zastanowić się, w jaki sposób te systemy monitorują system Data Domain za pomocą certyfikatów. Pomoc techniczna może być wymagana po wygaśnięciu certyfikatu, a następnie dodaniu nowego certyfikatu.

Nie jest to problem dla Data Domain w rozwiązaniu DLm, ponieważ DLm nie wymaga ani nie używa HTTP or HTTPS dostęp do komunikacji z Data Domain. Aktualizacje certyfikatów w Data Domain mogą być wykonywane bez zakłóceń przetwarzania montażu taśm DLm.

1. Sprawdź, czy ikona HTTPS lub CA, albo oba certyfikaty wygasły:

# adminaccess certificate show

2. Jeśli nie wygasły, interfejs użytkownika może być wyłączony z powodu poniższych problemów:

   • Data Domain: Po uaktualnieniu DDOS lub DDMC do wersji 7.1.x lub nowszej nie można już uzyskać dostępu do interfejsu użytkownika
   • Data Domain: Po uaktualnieniu DDOS lub DDMC do wersji 6.2.1.90, 7.2.0.95, 7.7.2.x lub nowszej nie można już uzyskać dostępu do interfejsu użytkownika
3. Jeśli certyfikat CA wygasł, sprawdź ustanowione zaufane relacje:

# adminaccess trust show

Zobaczysz certyfikat bieżącej domeny danych (według nazwy hosta) oraz certyfikaty innych systemów Data Domain lub PowerProtect DD Management Center. Jeśli te relacje zaufania muszą zostać ponownie ustanowione, użytkownik wymaga ponownego ustanowienia haseł sysadmin dla wszystkich domen Data Domain lub Data Domain Management Center w parze zaufania po wygenerowaniu nowego certyfikatu urzędu certyfikacji. Niektóre relacje zaufania mogą być przestarzałe ze starych kontekstów replikacji i nie wymagają ponownego dodania.

4. Sprawdź, czy ikona HTTPS cert jest certyfikatem z podpisem własnym lub, jeśli użytkownik podpisze go w urzędzie certyfikacji (CA):

# adminaccess certificate show imported-host application https

Jeśli to polecenie zwróci cokolwiek, użytkownik podpisze certyfikat zewnętrznie przy użyciu urzędu certyfikacji. W przeciwnym razie, jeśli nie ma zaimportowanego certyfikatu hosta, certyfikat jest z podpisem własnym.

Nawet jeśli zaimportowany certyfikat jest ważny i nie wygasł, jeśli certyfikat z podpisem własnym wygasł, należy go odnowić, tak jak w kilku następnych krokach. Certyfikat hosta z podpisem własnym jest również używany wewnętrznie przez interfejs użytkownika systemu DD do wewnętrznej komunikacji z usługą SMS. 
 

5. Jeśli trzeba odzyskać HTTPS certyfikat jest podpisany zewnętrznie, wygeneruj nowe żądanie podpisania certyfikatu (CSR). Użytkownik przekazuje go do swojego urzędu certyfikacji w celu podpisania i importuje podpisany certyfikat z powrotem do Data Domain. Postępuj zgodnie z artykułem Data Domain: Generowanie żądania podpisania certyfikatu i korzystanie z certyfikatów podpisanych zewnętrznie.

   1. DDOS obsługuje jeden certyfikat hosta dla HTTPS. Jeśli system używa certyfikatu hosta, w tym certyfikatu z podpisem własnym, a użytkownik chce użyć innego certyfikatu hosta, przed dodaniem nowego certyfikatu usuń bieżący certyfikat.

      Czynności:

      1. Wyloguj się z sesji przeglądarki przed usunięciem HTTPS Certyfikat hosta. 
      2. Uruchom polecenie CLI, aby usunąć certyfikat

         adminaccess certificate delete imported-host-application https

6. Jeśli certyfikat CA wygasł, wygeneruj ponownie nowy HTTPS i CA cert za pomocą tego polecenia:

# adminaccess certificate generate self-signed-cert regenerate-ca

Zwróć uwagę, że po wygenerowaniu prawidłowa data początkowa dla HTTPS cert jest miesiąc temu, a CA cert jest rok temu, jest to zgodne z projektem.

7. Jeśli certyfikat jest samopodpisany i tylko HTTPS certyfikat wygasł, wygeneruj ponownie nowy HTTPS Certyfikat z:

# adminaccess certificate generate self-signed-cert

8. Jeśli certyfikat urzędu certyfikacji został ponownie wygenerowany, użytkownik musi ponownie ustanowić wymagane zaufanie. PowerProtect DD Management Center wymaga zaufania podczas monitorowania i konfiguracji replikacji przy użyciu interfejsu użytkownika. Jeśli tak, użytkownik musi ustanowić zaufanie, aby to zadziałało.
9. W przypadku wszystkich systemów Data Domain lub Data Domain Management Center, które wymagają zaufania, uruchom to polecenie, aby usunąć stare zaufanie, a następnie ponownie ustanów zaufanie za pomocą nowego certyfikatu w bieżącej Data Domain (spowoduje to monit o hasło sysadmin w innych domenach Data Domain lub Data Domain Management Center). Upewnij się, że użytkownik ma wszystkie domeny Data Domain lub Data Domain Management Center, lub usuń relację zaufania dla wszystkich Data Domains lub Data Domain Management Center, które zostały zlikwidowane bez dodawania ich ponownie. Użyj polecenia bez type mutual robiąc to.

# adminaccess trust del host <hostname of other DD/DDMC> type mutual

Następnie uruchom to polecenie, aby ustanowić nowe zaufanie:

# adminaccess trust add host <hostname of other DD/DDMC> type mutual

W powyższym przykładzie uruchom polecenie add i del dla WSZYSTKICH innych Data Domain lub Data Domain Management Center po kolei.

# adminaccess trust del host sc-dd2500-2.lss.emc.com type mutual
# adminaccess trust add host sc-dd2500-2.lss.emc.com type mutual

Jeśli użytkownik nie może dodać zaufania z powrotem, ponieważ Data Domain jest likwidowany:

# adminaccess trust del host dd690.dssupport.emea

10. Po ponownym ustanowieniu zaufania, jeśli to konieczne, uruchom ponownie usługi interfejsu użytkownika:

# adminaccess disable http
# adminaccess disable https
# adminaccess enable https
# adminaccess enable http

• Począwszy od wersji 8.3 i nowszych, HTTP jest domyślnie wyłączona. Nie jest wymagane włączanie go, jeśli nie jest używany.
• HTTPS jest preferowaną i bezpieczną metodą uzyskiwania dostępu do interfejsu użytkownika.

11. Interfejs użytkownika powinien być już dostępny.

Możesz również obejrzeć ten film na YouTube.