Data Domain: No se puede acceder a la interfaz de usuario web debido a un certificado https vencido

• Es posible que veas 404 HTTP errores u otro servicio web Apache cuando vence el certificado:
  
• Es posible que se observen otros errores, como recurso no disponible.
• En general, no se puede acceder a la interfaz de usuario.
• El problema también se presenta como un error de inicio de sesión del usuario en la IU.

Cuando se borra la propiedad de HTTPS o el certificado de CA vence en un Data Domain, causa problemas con el servidor web Apache. Esto desactiva la interfaz de usuario y la hace inaccesible.

Si este Data Domain se encuentra en una configuración de Integrated Data Protection Appliance o Cyber Recovery Vault, considere cómo esos sistemas monitorean Data Domain mediante certificados. Es posible que se requiera soporte cuando un certificado vence y, a continuación, se agrega uno nuevo.

Esto no es una preocupación para Data Domain en una solución DLm, ya que DLm no requiere ni utiliza HTTP or HTTPS acceso para comunicarse con el Data Domain. Las actualizaciones de certificados en Data Domain se pueden realizar sin interrupción del procesamiento del montaje en cinta de DLm.

1. Compruebe si el HTTPS o CA, o ambos certificados están vencidos:

# adminaccess certificate show

2. Si no están vencidas, es posible que la interfaz del usuario esté inactiva debido a los siguientes problemas:

   • Data Domain: Después de actualizar a DDOS o DDMC 7.1.x o posterior, ya no se puede acceder a la interfaz de usuario
   • Data Domain: Después de actualizar a DDOS o DDMC 6.2.1.90, 7.2.0.95, 7.7.2.x o posterior, ya no se puede acceder a la interfaz de usuario
3. Si el certificado de CA venció, verifique las confianzas que se establecen:

# adminaccess trust show

Puede ver el certificado del Data Domain actual (por su nombre de host) y los certificados de otros Data Domain o de PowerProtect DD Management Center. Si esas confianzas se deben restablecer, un usuario requiere que se restablezcan las contraseñas de sysadmin de todos los Data Domain o Data Domain Management Centers del par de confianza después de generar un nuevo certificado de CA. Es posible que algunas confianzas estén obsoletas desde contextos de replicación antiguos y no es necesario volver a agregarlas.

4. Compruebe si el HTTPS cert es un certificado autofirmado o si el usuario lo firma con una autoridad de certificación (CA):

# adminaccess certificate show imported-host application https

Si este comando devuelve algo, el usuario firma el certificado externamente con una CA. De lo contrario, si no hay ningún certificado de host importado, el certificado se autofirma.

Incluso si el certificado importado es válido y no está vencido, si el certificado autofirmado está vencido, debe renovarlo como en los siguientes pasos. Un certificado de host autofirmado también se utiliza internamente para que la interfaz del usuario de DD se comunique con el servicio SMS internamente. 
 

5. Si la solicitud en HTTPS El certificado está firmado externamente, genere una nueva solicitud de firma de certificado (CSR). El usuario pasa esto a su CA para la firma e importa el certificado firmado nuevamente a Data Domain. Siga el artículo Data Domain: Cómo generar una solicitud de firma de certificado y usar certificados firmados externamente.

   1. DDOS soporta un certificado de host para HTTPS. Si el sistema utiliza un certificado de host que incluye el autofirmado y el usuario desea utilizar un certificado de host diferente, elimine el certificado actual antes de agregar el nuevo certificado.

      Pasos:

      1. Cierre sesión en el navegador antes de eliminar un HTTPS Certificado de host. 
      2. Ejecute el comando de la CLI para eliminar el certificado

         adminaccess certificate delete imported-host-application https

6. Si el certificado de CA venció, vuelva a generar uno nuevo HTTPS y CA cert con este comando:

# adminaccess certificate generate self-signed-cert regenerate-ca

Tenga en cuenta que después de la generación, la fecha de inicio válida para el HTTPS El certificado es un mes en el pasado y el certificado de CA es en un año en el pasado, esto es por diseño.

7. Si el certificado está autofirmado y solo el HTTPS El certificado venció, vuelva a generar uno nuevo HTTPS Certificado con:

# adminaccess certificate generate self-signed-cert

8. Si se volvió a generar el certificado de CA, el usuario debe restablecer la confianza necesaria. PowerProtect DD Management Center requiere confianza para el monitoreo y cuando la replicación se configura mediante la interfaz de usuario. Si es así, un usuario debe establecer una confianza para que eso funcione.
9. Para cualquier Data Domain o Data Domain Management Center que necesite confianza, ejecute este comando para eliminar la confianza antigua y, a continuación, restablezca la confianza con el uso del nuevo certificado en el Data Domain actual (se solicita la contraseña de sysadmin en los otros Data Domain o Data Domain Management Centers. Asegúrese de que un usuario tenga todos los Data Domain o Data Domain Management Centers, o elimine la confianza para todos los Data Domain o Data Domain Management Centers que se desactiven sin volver a agregarlos. Utilice el comando sin el comando type mutual Al hacer esto.

# adminaccess trust del host <hostname of other DD/DDMC> type mutual

A continuación, ejecute este comando para establecer una nueva confianza:

# adminaccess trust add host <hostname of other DD/DDMC> type mutual

En el ejemplo anterior, ejecute el comando add y del para TODOS los demás Data Domains o Data Domain Management Centers a su vez.

# adminaccess trust del host sc-dd2500-2.lss.emc.com type mutual
# adminaccess trust add host sc-dd2500-2.lss.emc.com type mutual

Si un usuario no debe volver a agregar la confianza porque Data Domain está fuera de servicio:

# adminaccess trust del host dd690.dssupport.emea

10. Una vez que se restablezca la confianza, si es necesario, reinicie los servicios de la interfaz de usuario:

# adminaccess disable http
# adminaccess disable https
# adminaccess enable https
# adminaccess enable http

• A partir de la versión 8.3 y superior, HTTP está desactivada de forma predeterminada. No es necesario habilitarlo si no se utiliza.
• HTTPS es el método preferido y seguro para acceder a la interfaz de usuario.

11. La interfaz de usuario debería ser accesible ahora.

También puedes ver este video en YouTube.