Avamar: Installere eller erstatte Avamar Certificate Authority (CA) med brukerlevert sertifiseringsinstans (CA)
Summary: Slik erstatter du standard selvsignert rotsertifiseringsinstanser (MCS) for Management Console Service (MCS) med en egen sertifiseringsinstans for gsan/mcs/avagent.
This article applies to
This article does not apply to
This article is not tied to any specific product.
Not all product versions are identified in this article.
Instructions
Bakgrunn
Avamar eksponerer flere porter med sertifikater installert.
Webserverne på Avamar viser følgende porter med SSL-sertifikater:
Når øktsikkerhet er aktivert, laster følgende porter inn SSL-sertifikater:
Når øktsikkerhet er aktivert, laster sikkerhetskopieringsklienter SSL-sertifikater på følgende porter:
Denne kunnskapsartikkelen beskriver riktig kontekst for å erstatte sertifikatmyndigheten på de sikre portene som brukes når øktsikkerhet er aktivert for klientregistrering, sikkerhetskopiering og replikering.
Scenarier
Første scenario:
Hvis du vil erstatte Avamar-webserversertifikatene, kan du se følgende KB-artikkel:
000198691 | Avamar 19.2+ : Installere signerte webserversertifikater for avinstaller, aam/flr/dtlt, mcsdk, rmi og apache aui
Andre scenario:
Hvis du vil erstatte sertifikatene som brukes til sikkerhetskopiering/replikering/registrering (gsan/mc root ca):
Følg fremgangsmåten nedenfor for å erstatte Avamar CA med din egen sertifiseringsinstans.
Sikkerhetsbakgrunn
for øktFra veiledningen
for produktsikkerhetSikkerhetsfunksjoner
for øktSikkerhetsfunksjonene for Avamar-økten leveres av Avamar-installasjonen, Avamar Virtual Edition-konfigurasjonen (AVE), oppgraderingsarbeidsflytpakker og en frittstående arbeidsflyt for sikkerhetskonfigurasjon av økter.
Sikkerhetsfunksjoner for økter inkluderer sikkerhetsforbedringer for kommunikasjon mellom Avamar-systemprosesser.
Avamar-systemet sikrer all kommunikasjon mellom Avamar-systemprosesser ved hjelp av øktforespørsler. En gyldig øktbillett kreves før en Avamar-systemprosess godtar overføring fra en annen Avamar-systemprosess.
Øktbillettene har følgende generelle egenskaper:
- Øktbilletten er kryptert og signert for å beskytte mot endring.
- Øktbilletten er gyldig i kort tid.
– Hver øktbillett inneholder en unik signatur og tilordnes bare én Avamar-systemprosess.
- Integriteten til en øktbillett er beskyttet av kryptering.
– Hver Avamar-systemnode verifiserer separat øktbillettsignaturen.
- En økt kan forlenges utover øktbillettens levetid ved behov.
Avamar-servergodkjenning
Når du har installert sikkerhetsfunksjonene for økten, fungerer Avamar-systemet som en privat sertifiseringsinstans og genererer et unikt serversertifikat for Avamar-systemet.
Avamar-systemet installerer den offentlige nøkkelen for serversertifikatet på alle Avamar-klienter som er registrert på Avamar-serveren. Avamar-klienter bruker den offentlige nøkkelen til å godkjenne overføringer fra Avamar-systemet.
For klienter som er registrert, overføres fellesnøkkelen for serversertifikatet og andre nødvendige sertifikatfiler til klienten innen en time etter installasjonen.
Avamar-systemet deler også automatisk Avamar-serversertifikatet med Avamar-lagringsnodene. Deling av sertifikatet gjør det mulig for verktøynoden og lagringsnodene å gi samme sertifikat for godkjenning.
Det er en supplerende KB-artikkel med mer informasjon om øktsikkerhet nedenfor:
000222278 | Avamar: Øktsikkerhet
Kontroller sikkerhetsinnstillingene
for øktenLogg på Avamar-serveren med ssh
Kjør følgende kommando som rotbruker:
Hvis noen av innstillingene er sanne, aktiveres øktsikkerhet.
Hvis du trenger mer hjelp til å endre sikkerhetsinnstillingene for økten, kan du se følgende KB-artikler:
000222234 | Avamar: Behandle sikkerhetsinnstillinger for økt fra CLI
000222279 | Avamar: Administrer sikkerhetsinnstillinger for økt med AVP-installasjonsinstallasjonspakke (AVP)
Notater
Forskjellen mellom å erstatte web server certs vs gsan / mcs root certs:
- Webserver certer erstattet ved hjelp av aui.
- Webserver certer kan bruke offentlig eller intern kjedet ca.
- Webserversertifikater installerer et leaf/server/end-entity-sertifikat med tilhørende privat nøkkel.
- Web server cert's server sertifikat har en grunnleggende begrensning av CA: Usann, noe som angir at sertifikatet IKKE kan brukes til å utstede flere nedstrøms CA-sertifikater (som en annen mellomliggende CA)
– gsan/mcs-rotsertifikater erstattet ved hjelp av importcert.sh-skript på Avamar Utility Node.
- gsan/mcs root certs er CA-sertifikater, IKKE leaf/server/end-entity.
- gsan/mcs root certs har en grunnleggende begrensning av CA: Sann
Hva er en grunnleggende begrensning?
Grunnleggende begrensninger er en X.509 versjon 3-sertifikatutvidelse og brukes til å identifisere typen sertifikatinnehaver eller emne.
Hvis sertifikatet er en rot-CA eller mellomliggende sertifiseringsinstans, forventes det å ha en Basic Constraints Extension med CA-boolsk angitt til True. Dette vil gjøre det mulig for sertifikatet å signere andre sertifikater og sertifikatopphevelsesliste (CRLer), validere signaturen til utstedte sertifikater og eventuelt angi begrensninger eller begrensninger for konfigurasjonen av utstedte sertifikater.
Hvis sertifikatet er et leaf/server/end-entity-sertifikat, forventes det å ha en Basic Constraints Extension med CA-boolsk satt til False. Et sluttenhetssertifikat kan ikke signere ytterligere nedstrømssertifikater.
Når du erstatter GSAN/MC-rotsertifiseringene, erstattes de med en annen sertifiseringsinstans (CA). Sannsynligvis internt, siden ingen offentlig betrodd CA noen gang ville overlevere sin CA private nøkkel til en sluttkunde.
Fremgangsmåte for å erstatte Avamar CA med brukerlevert CA
1. Klargjøre rot-/mellomliggende sertifikatfiler:
- Privat nøkkel: Den private nøkkelen som tilsvarer det nedstrøms CA-sertifikatet lengst nedstrøms som har muligheten til å utstede sertifikater.
- 'server' cert: Det nedstrøms CA-sertifikatet i PEM-format (Privacy-Enhanced Mail) som har muligheten til å utstede sertifikater.
- kjedesertifikat: en fil som inneholder sammenkoblede PEM-formaterte mellomliggende / root CA-sertifikater for å bygge en tillitskjede.
2. Kjør importcert.sh-skriptet som rotbruker for å installere den nye brukerleverte sertifiseringsinstansen:
- Stoppe MCS og backup planleggeren.
- Bekreft nøkkel og sertifikat samsvar.
- Kontroller at kjedefilen bygger en tillitskjede for sertifikatet.
– Importer filene til Avamar-nøkkellageret.
- Oppdater GSAN-sertifikatene.
- Start MCS-
Forsøk å registrere alle klienter på nytt.
- Resync med data domene.
- Gjenoppta backupplanleggertjenesten.
Eksempel
Tre filer utarbeidet
int_key.pem - intern mellomliggende CA privat nøkkel i PKCS1-format
int_cert.crt - internt mellomliggende CA-sertifikat
root_ca.crt - internt CA-rotsertifikat
int_key.pem
int_cert.crt
root_ca.crt
Installering
Etter installasjonen
Når installasjonsskriptet er fullført, kan det være nødvendig å registrere noen agentbaserte klienter manuelt og VMware-proxyer.
Hvis du vil kontrollere innholdet i Avamar nøkkellager for å se resultatet av å kjøre skriptet, kjører du følgende kommando:
Mcrsaroot skal være et CA-alias med en grunnleggende begrensning CA: Sann
McRsatls skal være et fullstendig kjedet sluttenhetssertifikat som utstedes til Avamar-serveren av brukerlevert nedstrøms sertifiseringsinstans
Hvis du vil bekrefte at sertifikatene ble erstattet, kan du koble til Avamar-verktøynoden som en sikker klient ved hjelp av openssl for å hente sertifikatinnholdet for gsan/mcs/registreringsportene.
Avamar eksponerer flere porter med sertifikater installert.
Webserverne på Avamar viser følgende porter med SSL-sertifikater:
Port Service 7778 Java Remote Method Invocation (RMI) 7779 Java Remote Method Invocation (RMI) 7780 Java Remote Method Invocation (RMI) 7781 Java Remote Method Invocation (RMI) 443 Apache Webserver 9443 MCSDK (MCS Developer Kit SOAP API) 8543 Tomcat/DTLT/EMT 7543 Avinstaller/Jetty
Når øktsikkerhet er aktivert, laster følgende porter inn SSL-sertifikater:
Port Service 29000 GSAN secure listening port 30001 Avagent/MCS secure registration port 30002 Avagent/MCS secure port (when replication destination is configured) 30003 Avagent/MCS secure registration port
Når øktsikkerhet er aktivert, laster sikkerhetskopieringsklienter SSL-sertifikater på følgende porter:
Port Service 30002 Avagent/MCS secure listening port (backup client)
Denne kunnskapsartikkelen beskriver riktig kontekst for å erstatte sertifikatmyndigheten på de sikre portene som brukes når øktsikkerhet er aktivert for klientregistrering, sikkerhetskopiering og replikering.
Scenarier
Første scenario:
Hvis du vil erstatte Avamar-webserversertifikatene, kan du se følgende KB-artikkel:
000198691 | Avamar 19.2+ : Installere signerte webserversertifikater for avinstaller, aam/flr/dtlt, mcsdk, rmi og apache aui
Andre scenario:
Hvis du vil erstatte sertifikatene som brukes til sikkerhetskopiering/replikering/registrering (gsan/mc root ca):
Følg fremgangsmåten nedenfor for å erstatte Avamar CA med din egen sertifiseringsinstans.
Sikkerhetsbakgrunn
for øktFra veiledningen
for produktsikkerhetSikkerhetsfunksjoner
for øktSikkerhetsfunksjonene for Avamar-økten leveres av Avamar-installasjonen, Avamar Virtual Edition-konfigurasjonen (AVE), oppgraderingsarbeidsflytpakker og en frittstående arbeidsflyt for sikkerhetskonfigurasjon av økter.
Sikkerhetsfunksjoner for økter inkluderer sikkerhetsforbedringer for kommunikasjon mellom Avamar-systemprosesser.
Avamar-systemet sikrer all kommunikasjon mellom Avamar-systemprosesser ved hjelp av øktforespørsler. En gyldig øktbillett kreves før en Avamar-systemprosess godtar overføring fra en annen Avamar-systemprosess.
Øktbillettene har følgende generelle egenskaper:
- Øktbilletten er kryptert og signert for å beskytte mot endring.
- Øktbilletten er gyldig i kort tid.
– Hver øktbillett inneholder en unik signatur og tilordnes bare én Avamar-systemprosess.
- Integriteten til en øktbillett er beskyttet av kryptering.
– Hver Avamar-systemnode verifiserer separat øktbillettsignaturen.
- En økt kan forlenges utover øktbillettens levetid ved behov.
Avamar-servergodkjenning
Når du har installert sikkerhetsfunksjonene for økten, fungerer Avamar-systemet som en privat sertifiseringsinstans og genererer et unikt serversertifikat for Avamar-systemet.
Avamar-systemet installerer den offentlige nøkkelen for serversertifikatet på alle Avamar-klienter som er registrert på Avamar-serveren. Avamar-klienter bruker den offentlige nøkkelen til å godkjenne overføringer fra Avamar-systemet.
For klienter som er registrert, overføres fellesnøkkelen for serversertifikatet og andre nødvendige sertifikatfiler til klienten innen en time etter installasjonen.
Avamar-systemet deler også automatisk Avamar-serversertifikatet med Avamar-lagringsnodene. Deling av sertifikatet gjør det mulig for verktøynoden og lagringsnodene å gi samme sertifikat for godkjenning.
Det er en supplerende KB-artikkel med mer informasjon om øktsikkerhet nedenfor:
000222278 | Avamar: Øktsikkerhet
Kontroller sikkerhetsinnstillingene
for øktenLogg på Avamar-serveren med ssh
Kjør følgende kommando som rotbruker:
enable_secure_config.sh --showconfig
Hvis noen av innstillingene er sanne, aktiveres øktsikkerhet.
Hvis du trenger mer hjelp til å endre sikkerhetsinnstillingene for økten, kan du se følgende KB-artikler:
000222234 | Avamar: Behandle sikkerhetsinnstillinger for økt fra CLI
000222279 | Avamar: Administrer sikkerhetsinnstillinger for økt med AVP-installasjonsinstallasjonspakke (AVP)
Notater
Forskjellen mellom å erstatte web server certs vs gsan / mcs root certs:
- Webserver certer erstattet ved hjelp av aui.
- Webserver certer kan bruke offentlig eller intern kjedet ca.
- Webserversertifikater installerer et leaf/server/end-entity-sertifikat med tilhørende privat nøkkel.
- Web server cert's server sertifikat har en grunnleggende begrensning av CA: Usann, noe som angir at sertifikatet IKKE kan brukes til å utstede flere nedstrøms CA-sertifikater (som en annen mellomliggende CA)
– gsan/mcs-rotsertifikater erstattet ved hjelp av importcert.sh-skript på Avamar Utility Node.
- gsan/mcs root certs er CA-sertifikater, IKKE leaf/server/end-entity.
- gsan/mcs root certs har en grunnleggende begrensning av CA: Sann
Hva er en grunnleggende begrensning?
Grunnleggende begrensninger er en X.509 versjon 3-sertifikatutvidelse og brukes til å identifisere typen sertifikatinnehaver eller emne.
Hvis sertifikatet er en rot-CA eller mellomliggende sertifiseringsinstans, forventes det å ha en Basic Constraints Extension med CA-boolsk angitt til True. Dette vil gjøre det mulig for sertifikatet å signere andre sertifikater og sertifikatopphevelsesliste (CRLer), validere signaturen til utstedte sertifikater og eventuelt angi begrensninger eller begrensninger for konfigurasjonen av utstedte sertifikater.
Hvis sertifikatet er et leaf/server/end-entity-sertifikat, forventes det å ha en Basic Constraints Extension med CA-boolsk satt til False. Et sluttenhetssertifikat kan ikke signere ytterligere nedstrømssertifikater.
Når du erstatter GSAN/MC-rotsertifiseringene, erstattes de med en annen sertifiseringsinstans (CA). Sannsynligvis internt, siden ingen offentlig betrodd CA noen gang ville overlevere sin CA private nøkkel til en sluttkunde.
Fremgangsmåte for å erstatte Avamar CA med brukerlevert CA
1. Klargjøre rot-/mellomliggende sertifikatfiler:
- Privat nøkkel: Den private nøkkelen som tilsvarer det nedstrøms CA-sertifikatet lengst nedstrøms som har muligheten til å utstede sertifikater.
- 'server' cert: Det nedstrøms CA-sertifikatet i PEM-format (Privacy-Enhanced Mail) som har muligheten til å utstede sertifikater.
- kjedesertifikat: en fil som inneholder sammenkoblede PEM-formaterte mellomliggende / root CA-sertifikater for å bygge en tillitskjede.
2. Kjør importcert.sh-skriptet som rotbruker for å installere den nye brukerleverte sertifiseringsinstansen:
importcert.sh <private key> <cert> <chain>Skriptet vil:
- Stoppe MCS og backup planleggeren.
- Bekreft nøkkel og sertifikat samsvar.
- Kontroller at kjedefilen bygger en tillitskjede for sertifikatet.
– Importer filene til Avamar-nøkkellageret.
- Oppdater GSAN-sertifikatene.
- Start MCS-
Forsøk å registrere alle klienter på nytt.
- Resync med data domene.
- Gjenoppta backupplanleggertjenesten.
Eksempel
Tre filer utarbeidet
int_key.pem - intern mellomliggende CA privat nøkkel i PKCS1-format
int_cert.crt - internt mellomliggende CA-sertifikat
root_ca.crt - internt CA-rotsertifikat
int_key.pem
root@ser-ave03:/home/admin/#: cat int_key.pem -----BEGIN RSA PRIVATE KEY----- MIIEogIBAAKCAQEAorFbO4McgCv8tFrQVyzcjBQdOAT/bYVNG5SjWH895MHM9OFU B2sQcCTvGJRdSXEheuqHtRVWt761CReXk+yhf51XGtU+0OQdPWecHeSyWfzsLihy ZfCRYcoSP7OW6IAOiigWTZqroZc2jWOygZevyM8HPmpmOa7C2TYCHZNgAQnbw+IU XRDR/Yofsj+IjOit+Fw0zAE2GBm6pViNIv1nHwxTtXkjlu9g4qcHML1/0WkJ2d+p lmnE8qMZtdzOSWZeuBDiOsyTHbjAZFhDetWOjcUZ8z7zmvTjtgSMcSJCQnuNL9Y2 [key_contents_retracted_for_privacy] w1JY6IaQO6GhzLInet2uguuZ9rBBnYxcsz9/PV6Y+ZMTGX1ySLXAhfht0rtfN3qq 3SFzXagwB/v42rEHDRI7Tin7v5oNpD5hWSTwW9jIFikJJZuYCMagwH+to6Pa6CFY AOdHAoGAGCvK9QjJW5BRHAwjgzH3aQijKK9lKtQH4v5YJsEqQK4lFg3S8m6KxgTA XyMzkOFx5+3CFRrXCbNyS3hLDen7IMAZbY35QhvW2DO0Sow+t3dVOxk26RGeAopo ZmemuZ3TR4Esqrd9rdAwHy/YwJ1ZWcLRQmfab4MoQPmK0iuSA6A= -----END RSA PRIVATE KEY-----
int_cert.crt
root@ser-ave03:/home/admin/#: cat int_cert.crt -----BEGIN CERTIFICATE----- MIIDRzCCAi+gAwIBAgIQfpAycyHdgHTR+JiDuTZLNzANBgkqhkiG9w0BAQsFADAX MRUwEwYDVQQDDAx0b255X3Jvb3RfQ0EwHhcNMjIxMDIxMTQ1ODU2WhcNMjUwMTIz MTQ1ODU2WjAfMR0wGwYDVQQDDBR0b255X2ludGVybWVkaWF0ZV9DQTCCASIwDQYJ KoZIhvcNAQEBBQADggEPADCCAQoCggEBAKKxWzuDHIAr/LRa0Fcs3IwUHTgE/22F TRuUo1h/PeTBzPThVAdrEHAk7xiUXUlxIXrqh7UVVre+tQkXl5PsoX+dVxrVPtDk HT1nnB3ksln87C4ocmXwkWHKEj+zluiADoooFk2aq6GXNo1jsoGXr8jPBz5qZjmu wtk2Ah2TYAEJ28PiFF0Q0f2KH7I/iIzorfhcNMwBNhgZuqVYjSL9Zx8MU7V5I5bv YOKnBzC9f9FpCdnfqZZpxPKjGbXczklmXrgQ4jrMkx24wGRYQ3rVjo3FGfM+85r0 47YEjHEiQkJ7jS/WNsr/i7+ID/OUsf9yemLW00tfLEXSgWcaVEHhH+cCAwEAAaOB hjCBgzAMBgNVHRMEBTADAQH/MB0GA1UdDgQWBBTaUhUnUx2JL/SGVARyaGuQESLC 7DBHBgNVHSMEQDA+gBRXocE7ZbX0UU6YbhaT7hYG5N+zeKEbpBkwFzEVMBMGA1UE AwwMdG9ueV9yb290X0NBggkA1Ru7coWIaxYwCwYDVR0PBAQDAgEGMA0GCSqGSIb3 DQEBCwUAA4IBAQAWTZjFYHIfz6r8N9EtMqweTOfSdNAPfwEKLmIfKJq27oYaE2Il +2xCWBlsa4tz95Rr6Ve0gLT1NmFZki81GcikTS1NG/qeRmPq4orNrMz3HGmU2C/F lFnNOvuJeg8n/0Bl9SWijs4t95ddFty99vU3yWvUrnD/tfwfuMm4v2txRHGaZfSn 90oR6Iy/RwZ3+khcw7NojZ8/UUMHSGX+wk/Lo9pTWM6rxDgDYBGI8z2YLmuiBniO tU8ByLnwCpyFjvho5/ja+rwrs4Qw50n0ZTSbRyoOHRdr73hG8g7sZaReLlq/As9u +CBakbNCeywsmUDVrFifGGkVoadBjjGUpYkC -----END CERTIFICATE-----
root@ser-ave03:/home/admin/#: openssl x509 -noout -text -subject -issuer -in int_cert.crt | grep "CA:\|subject\|issuer"
CA:TRUE
subject= /CN=tony_intermediate_CA
issuer= /CN=tony_root_CA
root_ca.crt
root@ser-ave03:/home/admin/#: cat root_ca.crt -----BEGIN CERTIFICATE----- MIIDODCCAiCgAwIBAgIJANUbu3KFiGsWMA0GCSqGSIb3DQEBCwUAMBcxFTATBgNV BAMMDHRvbnlfcm9vdF9DQTAeFw0yMjEwMjExNDUyMzZaFw0zMjEwMTgxNDUyMzZa MBcxFTATBgNVBAMMDHRvbnlfcm9vdF9DQTCCASIwDQYJKoZIhvcNAQEBBQADggEP ADCCAQoCggEBANJrB+YHwQPKWdt19nH5IaxEwz198gfJvfVtoG/Qt7HKiDHb6XAa g7nP6MHLZmbNdIv2FB9S9UrOARgOZuxJ4EvqP2Q188ArNFnkUZoo1ylO2JyZ2f7D C21eOGfuupvczdYlB/Tklfs207RIPhEvds5JrMEKmPrP1g8O3kCpiPqoi1Ul+0AG WW8k/EViEaZgsmhMzd3TWm9vcrO5lxzeFnSO8DUL/pAkbvngEErROe02dWayZ3R9 y+tZQ0hDNm0e3qp7iSaDeEOXtXAnr6j/126qaI+q2Mk3/NQpjxYjKuYrW/8dcIOZ LIuISYIpcbc2WU/p0sQVwDo93bBUd1IBbuUCAwEAAaOBhjCBgzAMBgNVHRMEBTAD AQH/MB0GA1UdDgQWBBRXocE7ZbX0UU6YbhaT7hYG5N+zeDBHBgNVHSMEQDA+gBRX ocE7ZbX0UU6YbhaT7hYG5N+zeKEbpBkwFzEVMBMGA1UEAwwMdG9ueV9yb290X0NB ggkA1Ru7coWIaxYwCwYDVR0PBAQDAgEGMA0GCSqGSIb3DQEBCwUAA4IBAQAu+Wgs yWIQT4jIaVX0ddyvrTyXxeMgLovmRyOHC+sa7BPhoyOoGPDlBkaS0s1VABtAoiml Ioqf4UrYsVXFFvrhfTny0FE9Ryw4Q3Az0msj0gELfMuHWkKitW+d/z578g8ngxC4 WDOMwbIzHPa2TbIFoH+plNhnbpxWZj0WRaUBN9uW5U7lG/+OCMgs5+/kjPqrhfyy yNC2/2AgO1QhyZ7wcEltQ5iTQLfni3NVzbLGImOWCbNgKeKYn2pApq5EwUIvyqK5 KPFBXMelDDGcbieJW+7QbDtSnsghsp5i0R6bG5DElYfYODECQMdq3v5/dk/7oDqT 9WHdPFSNlZp0AVtQ -----END CERTIFICATE-----
root@ser-ave03:/home/admin/#: openssl x509 -noout -text -subject -issuer -in root_ca.crt | grep "CA:\|subject\|issuer"
CA:TRUE
subject= /CN=tony_root_CA
issuer= /CN=tony_root_CA
Installering
root@ser-ave03:/home/admin/#: importcert.sh int_key.pem int_cert.crt root_ca.crt The script will re-generate and replace Avamar RootCA. The mcs will be restarted, and ddboost service on datadomain will be restarted if there are datadomains attached. Do you want to continue N/y? [N]:Y 0. Stop backup scheduler Identity added: /home/admin/.ssh/admin_key (/home/admin/.ssh/admin_key) dpnctl: INFO: Suspending backup scheduler... dpnctl: INFO: Backup scheduler suspended. 1. Stop MC Server === BEGIN === check.mcs (poststart) check.mcs passed === PASS === check.mcs PASSED OVERALL (poststart) Stopping REST API Service... REST API Service stopped. Administrator Server shutdown initiated. Stopping Administrator Server at Tue Oct 25 20:19:46 GMT 2022 ... Administrator Server stopped at Tue Oct 25 20:19:48 GMT 2022. === Stop Avamar Certificate Service === Avamar Certificate Service stopped. Stopping the database server. Database server stopped. 2. Vefify key cert if match Key cert matched OK 3. Verify cert by chain Verify OK 4. Import key&cert&chain into keystore Import to keystore OK 5. Refresh tls cert Refresh tls OK 6. Refresh gSAN cert 7. Start MC server Starting the database server. Waiting for postmaster to start ..Started Start MCDB: processing time = 2 s. Check MCS: processing time = 4 s. INFO: Starting messaging service. INFO: Started messaging service. Start Message Broker: processing time = 11 s. === BEGIN === check.mcs (prestart) check.mcs passed === PASS === check.mcs PASSED OVERALL (prestart) Starting Administrator Server at Tue Oct 25 20:20:39 GMT 2022 ... Upgrade MCS Preference: processing time = 196ms Upgrade MCDB: processing time = 436ms Check node list: processing time = 659ms Prepare MC SSL Properties: processing time = 1ms Init node: processing time = 340ms Install service: com.avamar.mc.prefs.MCSPreferencesService, processing time = 9ms Install service: com.avamar.mc.message.MessageEventService, processing time = 11ms Event Size: 18548 Install service: com.avamar.mc.event.EventService, processing time = 5619ms Install service: com.avamar.mc.jms.push.JmsPushService, processing time = 98ms Install service: com.avamar.mc.dpn.DPNProxyService, processing time = 7262ms Install service: com.avamar.mc.datatap.MCDataTapService, processing time = 9ms Install service: com.avamar.mc.cm.ClusterManagerService, processing time = 6ms Install service: com.avamar.mc.wo.WorkOrderSchedulingService, processing time = 305ms Install service: com.avamar.mc.sch.ScheduleService, processing time = 229ms Install service: com.avamar.mc.um.UserManagerService, processing time = 49ms Install service: com.avamar.mc.ldap.LdapManagerService, processing time = 105ms Install service: com.avamar.mc.datadomain.DataDomainService, processing time = 414ms Install service: com.avamar.mc.cr.ClientRegistryService, processing time = 4054ms Install service: com.avamar.mc.burm.BackupRestoreManagerService, processing time = 67ms Initiated VC: /myvc.dell.com Ver: null-null. (Total time - 50359 ms) VmwareService is ready. (Total time - 50362 ms) Install service: com.avamar.mc.vmware.VmwareService, processing time = 53459ms Wait VC cache pool synchronized done for vc /nc-ave01.dell.com at Tue Oct 25 20:21:54 GMT 2022 Total time(ms) - 0 Install service: com.avamar.mc.pdm.ProxyDeploymentManagerService, processing time = 37ms Install service: com.avamar.mc.mon.MonitorService, processing time = 457ms Install service: com.avamar.mc.mcsm.MCSManagerService, processing time = 135ms Install service: com.avamar.mc.lm.LicenseManagerService, processing time = 118ms Install service: com.avamar.mc.rpt.ReportService, processing time = 180ms Install service: com.avamar.mc.ws.MCWebServices, processing time = 154ms Install service: com.avamar.mc.ws.MCJettyService, processing time = 1272ms Install service: com.avamar.mc.repl.ReplicationService, processing time = 87ms Install service: com.avamar.mc.st.SessionTicketService, processing time = 1171ms Install service: com.avamar.mc.ras.McEbmsService, processing time = 3698ms Install service: com.avamar.mc.migration.MigrationService, processing time = 56ms Start service container: processing time = 79083ms log4j:WARN No appenders could be found for logger (org.apache.axiom.util.stax.dialect.StAXDialectDetector). log4j:WARN Please initialize the log4j system properly. Init crontab: processing time = 4075ms Update axion system table: processing time = 4ms Update connect emc email subject: processing time = 12ms Administrator Server started at Tue Oct 25 20:22:06 GMT 2022. Start MC Java Process: processing time = 88 s. INFO: Starting Data Domain SNMP Manager.... INFO: Connecting to MCS Server: ser-ave03 at port: 7778... INFO: Successfully connected to MCS Server: ser-ave03 at port: 7778. INFO: No trap listeners were started, Data Domain SNMP Manager didn't start. Other Task: processing time = 7 s. Starting REST API Service........ REST API Service started. Start MC Rest: processing time = 16 s. === Start Avamar Certificate Service === Avamar Certificate Service started. 8. Re-register all clients 0,22237,Client invited to activate with server. Attribute Value --------- -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- summary Partial-sucessfullly activiated clients. , succeed activated clients: client1.dell.com ser-ave03 client2.dell.com , failed activated clients: ser-ave04, caused by Unable to contact: /clients/ser-ave04 on port: 28009 client3.dell.com, caused by Unable to contact: /clients/client3.dell.com on port: 28002 client4.dell.com, caused by Unable to contact: /clients/client4.dell.com on port: 28002 10. Start backup scheduler Identity added: /home/admin/.ssh/admin_key (/home/admin/.ssh/admin_key) dpnctl: INFO: Resuming backup scheduler... dpnctl: INFO: Backup scheduler resumed. dpnctl: INFO: No /usr/local/avamar/var/dpn_service_status exist.
Etter installasjonen
Når installasjonsskriptet er fullført, kan det være nødvendig å registrere noen agentbaserte klienter manuelt og VMware-proxyer.
Hvis du vil kontrollere innholdet i Avamar nøkkellager for å se resultatet av å kjøre skriptet, kjører du følgende kommando:
keytool -list -v -keystore /usr/local/avamar/lib/avamar_keystore -storepass $(avlockbox.sh -r keystore_passphrase)Aliaser:
Mcrsaroot skal være et CA-alias med en grunnleggende begrensning CA: Sann
keytool -export -keystore /usr/local/avamar/lib/avamar_keystore -storepass $(avlockbox.sh -r keystore_passphrase) -alias mcrsaroot -rfc | openssl x509 -text -noout | egrep "Subject:|Issuer:|CA:"eksempel
Issuer: CN=tony_root_CA
Subject: CN=tony_intermediate_CA
CA:TRUE
McRsatls skal være et fullstendig kjedet sluttenhetssertifikat som utstedes til Avamar-serveren av brukerlevert nedstrøms sertifiseringsinstans
keytool -export -keystore /usr/local/avamar/lib/avamar_keystore -storepass $(avlockbox.sh -r keystore_passphrase) -alias mcrsatls -rfc | openssl x509 -text -noout | egrep "Subject:|Issuer:|CA:"eksempel
Issuer: CN=tony_intermediate_CA
Subject: C=US, ST=California, L=Irvine, O=EMC Corp, OU=BRS Division, CN=Avamar Server RSA TLS, CN=ser-ave03.dell.com
CA:FALSE
Hvis du vil bekrefte at sertifikatene ble erstattet, kan du koble til Avamar-verktøynoden som en sikker klient ved hjelp av openssl for å hente sertifikatinnholdet for gsan/mcs/registreringsportene.
Port Certificate 29000 /home/admin/chain.pem (exported PEM copy of mcrsaroot) 30001 mcsrsatls (chained) 30002 new avamar client certificate 30003 mcrsatls (chained)
openssl s_client -connect localhost:29000 -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | egrep "Subject:|Issuer:|CA:"
openssl s_client -connect localhost:30001 -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | egrep "Subject:|Issuer:|CA:"
openssl s_client -connect localhost:30002 -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | egrep "Subject:|Issuer:|CA:"
openssl s_client -connect localhost:30003 -showcerts </dev/null 2>/dev/null | openssl x509 -text -noout | egrep "Subject:|Issuer:|CA:"
Feilsøking
Hvis følgende feil oppstår under skriptet, er det sannsynligvis på grunn av forsøk på å installere et end-entity sertifikat i stedet for en CA som er klar for sertifikatutstedelse.
5. Refresh tls cert Refresh tls ERROR
Hvis port 30002 på Avamar-verktøynoden fremdeles viser de gamle sertifikatene etter at skriptet er fullført, starter du Avagent på nytt.
service avagent restart
Affected Products
AvamarArticle Properties
Article Number: 000204629
Article Type: How To
Last Modified: 30 May 2024
Version: 6
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.