Data Domain: Webbgränssnittet är inte tillgängligt på grund av utgånget https-certifikat

• Du kan se 404 HTTP fel eller annan Apache-webbtjänst när certifikatet upphör att gälla:
  
• Andra fel kan visas, till exempel att resursen inte är tillgänglig.
• I allmänhet är användargränssnittet inte tillgängligt.
• Problemet visas också som användarinloggningsfel i användargränssnittet.

När HTTPS eller CA-certifikatet upphör att gälla på en Data Domain orsakar det problem med Apache-webbservern. Det tar ner användargränssnittet och gör det otillgängligt.

Om denna Data Domain finns i en Integrated Data Protection Appliance eller Cyber Recovery-valvkonfiguration bör du överväga hur dessa system övervakar Data Domain med hjälp av certifikat. Support kan behövas när ett certifikat upphör att gälla och sedan ett nytt certifikat läggs till.

Det här är inte ett bekymmer för Data Domains i en DLm-lösning eftersom DLm inte kräver eller använder HTTP or HTTPS åtkomst för att kommunicera med Data Domain. Certifikatuppdateringar i Data Domain kan utföras utan avbrott i DLm-bandkörningen.

1. Kontrollera om HTTPS eller CA, eller båda certifikaten har upphört att gälla:

# adminaccess certificate show

2. Om de inte har upphört att gälla kan användargränssnittet vara nere på grund av följande problem:

   • Data Domain: Efter uppgradering till DDOS eller DDMC 7.1.x eller senare går det inte längre att komma åt användargränssnittet
   • Data Domain: Efter uppgradering till DDOS eller DDMC 6.2.1.90, 7.2.0.95 eller 7.7.2.x eller senare går det inte längre att komma åt användargränssnittet
3. Om CA-certifikatet har upphört att gälla kontrollerar du de förtroenden som har upprättats:

# adminaccess trust show

Du ser certifikatet för den aktuella Data Domain (vid dess värdnamn) och certifikat för andra Data Domains eller PowerProtect DD Management Center. Om dessa förtroenden måste återupprättas måste en användare ha sysadmin-lösenorden för alla Data Domains eller Data Domain Management Centers i förtroendeparet för att återupprättas efter att ett nytt CA-certifikat har genererats. Vissa förtroenden kan vara inaktuella från gamla replikeringskontexter och behöver inte läggas till igen.

4. Kontrollera om HTTPS cert är ett självsignerat certifikat eller om användaren signerar det med en certifikatutfärdare (CA):

# adminaccess certificate show imported-host application https

Om det här kommandot returnerar något signerar användaren certifikatet externt med en certifikatutfärdare. Annars, om det inte finns något importerat värdcertifikat, är certifikatet självsignerat.

Även om det importerade certifikatet är giltigt och inte har upphört att gälla, om det självsignerade certifikatet har upphört att gälla, måste du förnya det som i de kommande stegen. Ett självsignerat värdcertifikat används också internt för DD UI för att kommunicera med SMS-tjänsten internt. 
 

5. Om den HTTPS certifikatet signeras externt genererar du en ny CSR-begäran (Certificate Signing Request). Användaren skickar detta till sin certifikatutfärdare för signering och importerar det signerade certifikatet tillbaka till Data Domain. Följ artikeln Data Domain: Så här genererar du en begäran om certifikatsignering och använder externt signerade certifikat.

   1. DDOS stöder ett värdcertifikat för HTTPS. Om systemet använder ett värdcertifikat, inklusive självsignerat, och användaren vill använda ett annat värdcertifikat tar du bort det aktuella certifikatet innan du lägger till det nya certifikatet.

      Steg:

      1. Logga ut från webbläsarsessionen innan du tar bort en HTTPS värdcertifikat. 
      2. Kör CLI-kommandot för att ta bort certifikatet

         adminaccess certificate delete imported-host-application https

6. Om CA-certifikatet har upphört att gälla återskapar du en ny HTTPS och CA-certifikat med det här kommandot:

# adminaccess certificate generate self-signed-cert regenerate-ca

Observera att efter genereringen ska det giltiga startdatumet för HTTPS cert är en månad i det förflutna och CA-certifikatet är ett år i det förflutna, detta är avsiktligt.

7. Om certifikatet är självsignerat och endast HTTPS certifikatet har upphört att gälla, återskapa ett nytt HTTPS cert med:

# adminaccess certificate generate self-signed-cert

8. Om CA-certifikatet har återskapats måste en användare återupprätta eventuella förtroenden som krävs. PowerProtect DD Management Center kräver förtroende för övervakning och när replikering konfigureras med hjälp av användargränssnittet. I så fall måste en användare upprätta ett förtroende för att det ska fungera.
9. För Data Domains eller Data Domain Management Center som behöver förtroende kör du det här kommandot för att ta bort det gamla förtroendet och sedan återupprätta förtroendet med hjälp av det nya certifikatet på den aktuella Data Domain (Då uppmanas du att ange sysadmin-lösenordet på andra Data Domains eller Data Domain Management Centers. Se till att en användare har alla Data Domains eller Data Domain Management Center eller ta bort förtroendet för alla Data Domains eller Data Domain Management Center som tas ur bruk utan att lägga till dem igen. Använd kommandot utan type mutual när du gör detta.

# adminaccess trust del host <hostname of other DD/DDMC> type mutual

Kör sedan det här kommandot för att upprätta ett nytt förtroende:

# adminaccess trust add host <hostname of other DD/DDMC> type mutual

I exemplet ovan kör du add och del för ALLA andra Data Domains eller Data Domain Management Centers i tur och ordning.

# adminaccess trust del host sc-dd2500-2.lss.emc.com type mutual
# adminaccess trust add host sc-dd2500-2.lss.emc.com type mutual

Om en användare inte får lägga till förtroendet igen eftersom Data Domain har inaktiverats:

# adminaccess trust del host dd690.dssupport.emea

10. När förtroendet har återupprättats, om det behövs, startar du om UI-tjänsterna:

# adminaccess disable http
# adminaccess disable https
# adminaccess enable https
# adminaccess enable http

• Från och med version 8.3 och senare, HTTP är inaktiverat som standard. Det är inte nödvändigt att aktivera det om det inte används.
• HTTPS är den rekommenderade och säkra metoden för åtkomst till användargränssnittet.

11. Användargränssnittet bör vara tillgängligt nu.

Du kan också se den här videon på YouTube.