Odstraňování problémů s řetězem certifikátů vyžadovaných pro migraci OpenManage Enterprise

• Certifikát = certifikát podepsaný certifikační autoritou (samostatný)
• Řetěz certifikátů = certifikát podepsaný certifikační autoritou + certifikát zprostředkující certifikační autority (pokud existuje) + certifikát kořenové certifikační autority

Požadavky na řetězec certifikátů pro migraci 

1. Shody klíče žádosti o podpis certifikátu – během nahrávání certifikátu je zaškrtnutý klíč žádosti o podpis certifikátu (CSR). Software OpenManage Enterprise podporuje nahrávání pouze certifikátů, které jsou daným zařízením požadovány pomocí požadavku CSR (Certificate Signed Request). Tato ověřovací kontrola se provádí během nahrávání jednoho certifikátu serveru i řetězce certifikátů.
2. Kódování certifikátu – soubor certifikátu vyžaduje kódování Base 64. Ujistěte se, že při ukládání exportovaného certifikátu z certifikační autority je použito kódování Base 64, jinak bude soubor certifikátu považován za neplatný.
3. Ověřit použití rozšířeného klíče certifikátu – Zkontrolujte, zda je použití klíče povoleno pro ověřování serveru i klienta. Je to proto, že migrace je obousměrná komunikace mezi zdrojem i cílem, kde jeden z nich může během výměny informací fungovat jako server a klient. U certifikátů s jedním serverem je vyžadováno pouze ověření serveru.
4. Certifikát je povolen pro šifrování klíčů – šablona certifikátu použitá k vygenerování certifikátu musí obsahovat šifrování klíče. Tím je zajištěno, že klíče v certifikátu lze použít k šifrování komunikace.
5. Řetěz certifikátů s kořenovým certifikátem – certifikát obsahuje úplný řetěz , který obsahuje kořenový certifikát. To je vyžadováno pro zdroj a cíl, aby se zajistilo, že oba budou důvěryhodné. Kořenový certifikát se přidá do důvěryhodného kořenového úložiště každého zařízení. DŮLEŽITÉ: Software OpenManage Enterprise podporuje v řetězci certifikátů nejvýše 10 potenciálních certifikátů.
6. Vystavil a vydal – kořenový certifikát se používá jako kotva důvěryhodnosti a pak se použije k ověření všech certifikátů v řetězu proti této kotvě důvěryhodnosti. Ujistěte se, že řetěz certifikátů obsahuje kořenový certifikát.

Operace nahrání řetězce certifikátů

• CGEN1008 – Požadavek nelze zpracovat, protože došlo k chybě.
• CSEC9002 – Certifikát nelze nahrát, protože zadaný soubor certifikátu je neplatný.

CGEN1008 – Požadavek nelze zpracovat, protože došlo k chybě.

CGEN1008 - Unable to process the request because an error occurred.
Retry the operation. If the issue persists, contact your system administrator.

• Neplatný klíč CSR pro řetězec certifikátů
  • Zkontrolujte, zda byl certifikát vygenerován pomocí CSR z webového uživatelského rozhraní OpenManage Enterprise. Software OpenManage Enterprise nepodporuje nahrání certifikátu, který nebyl vygenerován pomocí CSR ze stejného zařízení.
  • V protokolu aplikace tomcat, který se nachází v balíčku protokolů konzole, se zobrazí následující chyba:

./tomcat/application.log

[ERROR] 2024-01-25 11:10:34.735 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-10] SSLController - uploadNewCertificateChain():
 Error uploading certificate chain: {"error":{"code":"Base.1.0.GeneralError",
"message":"A general error has occurred. See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CGEN1008","RelatedProperties":[],
"Message":"Unable to process the request because an error occurred.",
"MessageArgs":["Invalid CSR key."],
"Severity":"Critical","Resolution":"Retry the operation. If the issue persists, contact your system administrator."}]}}

• Neplatný řetěz certifikátů
  • V certifikátu musí být obsaženy kořenové certifikáty a certifikáty všech zprostředkujících certifikačních autorit.
  • V protokolu aplikace tomcat, který se nachází v balíčku protokolů konzole, se zobrazí následující chyba:

./tomcat/application.log

[ERROR] 2024-01-25 11:04:56.396 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-1] SSLController - uploadNewCertificateChain():
 Error uploading certificate chain: {"error":{"code":"Base.1.0.GeneralError",
"message":"A general error has occurred. See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CGEN1008","RelatedProperties":[],
"Message":"Unable to process the request because an error occurred.",
"MessageArgs":["Invalid certificate chain provided."],
"Severity":"Critical","Resolution":"Retry the operation. If the issue persists, contact your system administrator."}]}}

• V listovém certifikátu nebyl nalezen žádný společný název – všechny certifikáty musí obsahovat běžné názvy a nesmí obsahovat žádné zástupné znaky (*).

CGEN6002 - Unable to complete the request because the input value for DistinguishedName is missing or an invalid value is entered.

 

• V listovém certifikátu není k dispozici žádné rozšířené použití klíče (EKU) pro ověřování klientů a serverů
  • Aby bylo možné používat rozšířený klíč, musí certifikát obsahovat ověřování serveru i klienta.
  • V protokolu aplikace tomcat, který se nachází v balíčku protokolů konzole, se zobrazí následující chyba:

./tomcat/application.log

[ERROR] 2024-01-25 10:56:54.175 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-17] SSLController - uploadNewCertificateChain():
 Error uploading certificate chain: {"error":{"code":"Base.1.0.GeneralError",
"message":"A general error has occurred. See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CGEN1008","RelatedProperties":[],
"Message":"Unable to process the request because an error occurred.",
"MessageArgs":["No Client/Server authentication EKU present in leaf certificate."],
"Severity":"Critical","Resolution":"Retry the operation. If the issue persists, contact your system administrator."}]}}

• Zkontrolujte podrobnosti certifikátu pro rozšířené použití klíče. Pokud některá z nich chybí, ujistěte se, že šablona použitá k vygenerování certifikátu je povolena pro oba.

 

• Chybějící šifrování klíče pro použití klíče
  • U odesílaného certifikátu musí být pro použití klíče uvedeno šifrování.
  • V protokolu aplikace tomcat, který se nachází v balíčku protokolů konzole, se zobrazí následující chyba:

./tomcat/application.log

[ERROR] 2024-01-25 11:01:01.475 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-3] SSLController - uploadNewCertificateChain():
 Error uploading certificate chain: {"error":{"code":"Base.1.0.GeneralError","message":"A general error has occurred.
 See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CGEN1008","RelatedProperties":[],
"Message":"Unable to process the request because an error occurred.",
"MessageArgs":["User Certificate is not a web server certificate."],
"Severity":"Critical","Resolution":"Retry the operation. If the issue persists, contact your system administrator."}]}}

• Zkontrolujte podrobnosti certifikátu pro použití klíče. Ujistěte se, že šablona použitá k vygenerování certifikátu má povolené šifrování klíče.

 
 

CSEC9002 – Certifikát nelze nahrát, protože zadaný soubor certifikátu je neplatný.

CSEC9002 - Unable to upload the certificate because the certificate file provided is invalid.
Make sure the CA certificate and private key are correct and retry the operation.

• Chybějící šifrování klíče serverového certifikátu
  • Ujistěte se, že šablona použitá k vygenerování certifikátu má povolené šifrování klíče. Při využití certifikátu k migraci se ujistěte, že je nahrán celý řetěz certifikátů, nikoli jeden certifikát serveru.
  • V protokolu aplikace tomcat, který se nachází v balíčku protokolů konzole, se zobrazí následující chyba:

./tomcat/application.log

[ERROR] 2024-01-29 08:03:05.200 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-3] SSLController - {"error":{"code":"Base.1.0.GeneralError",
"message":"A general error has occurred. See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CSEC9002","RelatedProperties":[],
"Message":"Unable to upload the certificate because the certificate file provided is invalid.",
"MessageArgs":[],"Severity":"Critical","Resolution":"Make sure the CA certificate and private key are correct and retry the operation."}]}}

• Soubor certifikátu obsahuje nesprávné kódování.
  • Ujistěte se, že soubor certifikátu byl uložen s kódováním Base 64.
  • V protokolu aplikace tomcat, který se nachází v balíčku protokolů konzole, se zobrazí následující chyba:

./tomcat/application.log

[ERROR] 2024-01-29 08:03:05.200 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-3] SSLController - {"error":{"code":"Base.1.0.GeneralError",
"message":"A general error has occurred. See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CSEC9002","RelatedProperties":[],
"Message":"Unable to upload the certificate because the certificate file provided is invalid.",
"MessageArgs":[],"Severity":"Critical","Resolution":"Make sure the CA certificate and private key are correct and retry the operation."}]}}

Operace ověření připojení migrace

• Vystavil a vydal – názvy certifikačních autorit v řetězu mezi jednotlivými zdrojovými a cílovými certifikáty mají stejné hodnoty "Vystaveno komu" a "Vydal". Pokud se tyto názvy neshodují, zdroj nebo cíl nemůže ověřit, zda certifikáty vystavily stejné podpisové autority. To je zásadní pro dodržování bezpečnostní architektury Zero-Trust.

• Doba platnosti - zkontroluje dobu platnosti certifikátu s datem a časem spotřebiče.
• Maximální hloubka – ověřte, že řetěz certifikátů nepřekračuje maximální hloubku 10 listových certifikátů.

Unable to mutually authenticate and connect to the remote appliance.
Please check the source and target appliances has valid certificate chain uploaded which are signed by the same CA.

Obejít požadavek řetězce certifikátů

Pokud přetrvávají problémy s plněním požadavků certifikačního řetězce, existuje podporovaná metoda, kterou lze použít k využití certifikátů podepsaných držitelem. Pokračujte ve využívání funkce zálohování a obnovení, jak je uvedeno v následujícím článku:

https://www.dell.com/support/kbdoc/en-us/000223239/openmanage-enterprise-administrators-may-run-across-several-errors-during-the-certificate-chain-upload-cgen1008-and-csec9002-report-challenges-in-procuring-a-certificate-chain-required-by-openmanage-enterprise-ome-4-0-x-for-the-migration-featur