NetWorker: Varmenteen myöntäjän allekirjoitettujen varmenteiden tuominen tai korvaaminen osoitteille AUTHC ja NWUI (Windows)

Näissä ohjeissa kuvataan, miten NetWorkerin itse allekirjoitettu oletusvarmenne korvataan päämyöntäjän allekirjoittamalla varmenteella NetWorker-palvelimen AUTHC- ja NWUI-palvelujen osalta.

Tiedostonimillä ei ole nimeämisvaatimusta, mutta tiedostotyyppiin on viitattava tiedostotyypin mukaan. Esitetyt komentoesimerkit koskevat Windowsia. Katso Linux-ohjeet:
NetWorker: Varmenteen myöntäjän allekirjoitettujen varmenteiden tuominen tai korvaaminen authc- ja NWUI-varmenteilla (Linux)
 

Mukana olevat varmennetiedostot:

<server>.csr: NetWorker server certificate signing request

<server>.key: NetWorker server private key

<server>.crt: NetWorker server CA-signed certificate

<CA>.crt: CA root certificate

<ICA>.crt: CA intermediate certificate (optional if it is available)

Mukana olevat avainsäilöt:

Ennen kuin aloitat:

Luo kopio seuraavista tiedostoista ja kansioista toiseen sijaintiin:

C:\Program Files\NRE\java\jre#.#.#_###\lib\security\cacerts
C:\Program Files\EMC NetWorker\nwui\monitoring\app\conf\nwui.keystore
C:\Program Files\EMC NetWorker\nwui\monitoring\nwuidb\pgdata
C:\Program Files\EMC NetWorker\nsr\authc-server\tomcat\conf
C:\Program Files\EMC NetWorker\nsr\authc-server\conf

Luo yksityisen avaimen ja varmenteen allekirjoituspyyntötiedosto (CSR), jonka toimitat varmenteiden myöntäjälle.

1. Avaa järjestelmänvalvojan komentokehote ja suorita seuraavat komennot:

set openssl="<Path to OpenSSL bin folder>\openssl.exe"
%openssl% req -new -newkey rsa:4096 -nodes -out C:\tmp\<server>.csr -keyout C:\tmp\<server>.key

2. Luo myöntäjän allekirjoittama varmennetiedosto (server.crt) lähettämällä varmenteiden myöntäjälle tiedosto (<<server>>.csr). Varmenteiden myöntäjän on toimitettava varmenteiden myöntäjän allekirjoittama varmennetiedosto (<server.crt>), juurivarmenne (<CA.crt>) ja mahdolliset välivarmenteiden myöntäjän varmenteet (<ICA.crt>).

Vahvistusta edeltävät vaiheet:

Sinun on tiedettävä oikeat NetWorker-avainsäilön salasanat. Nämä salasanat asetetaan AUTHC- ja NWUI-määritysten yhteydessä. Jos et ole varma, katso:

• NetWorker-todennuksen ja NWUI-palvelun avainsäilön salasanan noutaminen

Alla kuvattujen vaiheiden ja komentojen helpottamiseksi luomme seuraavat muuttujat järjestelmänvalvojan komentokehotteesta:

set hostname=<shortname of NetWorker server>
set openssl="<Path to OpenSSL bin folder>\openssl.exe"
*For example this may be C:\Program Files\OpenSSL-Win64\bin; however the path can differ depending on how OpenSSL was installed. 
NOTE: setting this variable is not required if the OpenSSL bin directory is part of the system environment variable "PATH". In which case, openssl can be run without specifying %openssl% as shown in the KB process.

set java_bin="<Path to JRE bin folder>"
*For NRE this is “C:\Program Files\NRE\java\jre#.#.#_###\bin”, where jre#.#.#_### is the version specific JRE folder.

set nsr="<path to nsr folder>"
*The default path is “C:\Program Files\EMC NetWorker\nsr”

set nwui="<path to nwui folder>"
*The default path is “C:\Program Files\EMC NetWorker\nwui”

set cert="<path to server crt file>"
set key="<path to server key file>"
set RCAcert="<path to Root CA file>"
set ICAcert="<path to intermediate CA crt file>"
set authc_storepass=<AUTHC store password>
set nwui_storepass=<NWUI store password>

Varmista, että sinulla on seuraavat ominaisuudet:

• server.crt-tiedosto, joka sisältää PEM-varmenteen, jonka ensimmäinen rivi on -----BEGIN CERTIFICATE----- ja viimeinen rivi on -----END CERTIFICATE-----
• Avaintiedoston alussa on -----BEGIN RSA PRIVATE KEY----- ja se päättyy -----END RSA PRIVATE KEY-----
• Varmista, että kaikki varmenteet ovat kelvollisia PEM-muotoisia tiedostoja suorittamalla openssl x509 -in <cert> -text -noout
• Tarkista yllä oleva tulos varmistaaksesi, että se on oikea varmenne.
• Tarkista seuraavien kahden komennon tulos:

  %openssl% rsa -pubout -in %key%

  %openssl% x509 -pubkey -noout -in %cert%

  Näiden kahden komennon tuloksen on vastattava toisiaan.

Valtuutuspalveluvarmenteen vaihtovaiheet:

pikanäppäimellä authc Palvelua ei tarvitse pysäyttää, jotta alla olevat toimenpiteet toimivat. Se on kuitenkin käynnistettävä uudelleen, jotta uudet varmenteet ladataan.

1. Varmenteiden tuominen:

• Tuo päävarmenne (<CA.crt>) ja mahdolliset välivarmenteiden välivarmenteet (<ICA.crt>) authc.keysäilöön:

%java_bin%\keytool -import -alias RCA -keystore %nsr%\authc-server\tomcat\conf\authc.keystore -file %RCAcert% -storepass %authc_storepass%
%java_bin%\keytool -import -alias RCA -keystore %nsr%\authc-server\conf\authc.truststore -file %RCAcert% -storepass %authc_storepass%

%java_bin%\keytool -import -alias ICA -keystore %nsr%\authc-server\tomcat\conf\authc.keystore -file %ICAcert% -storepass %authc_storepass%
%java_bin%\keytool -import -alias ICA -keystore %nsr%\authc-server\conf\authc.truststore -file %ICAcert% -storepass %authc_storepass%

• Luo PKCS12-säilötiedosto NetWorker Serverin yksityisen avaimen tiedostolla (<server>.key) ja uudella päämyöntäjän allekirjoittamalla varmennetiedostolla (<server.crt>) emcauthctomcat ja emcauthcsaml alias.

%openssl% pkcs12 -export -in %cert% -inkey %key% -name emcauthctomcat -out C:\tmp\%hostname%.tomcat.authc.p12 -password pass:%authc_storepass%
%openssl% pkcs12 -export -in %cert% -inkey %key% -name emcauthcsaml -out C:\tmp\%hostname%.saml.authc.p12 -password pass:%authc_storepass%

• Tuo PKCS12-säilön tiedostot authc.keystoreen.

%java_bin%\keytool -importkeystore -destkeystore %nsr%\authc-server\tomcat\conf\authc.keystore -srckeystore C:\tmp\%hostname%.tomcat.authc.p12 -srcstoretype PKCS12 -srcstorepass %authc_storepass% -deststorepass %authc_storepass%
%java_bin%\keytool -importkeystore -destkeystore %nsr%\authc-server\tomcat\conf\authc.keystore -srckeystore C:\tmp\%hostname%.saml.authc.p12 -srcstoretype PKCS12 -srcstorepass %authc_storepass% -deststorepass %authc_storepass%

• Tuo PKCS12-säilön tiedostot authc.truststore-säilöön.

%java_bin%\keytool -importkeystore -destkeystore %nsr%\authc-server\conf\authc.truststore -srckeystore C:\tmp\%hostname%.tomcat.authc.p12 -srcstoretype PKCS12 -srcstorepass %authc_storepass% -deststorepass %authc_storepass%
%java_bin%\keytool -importkeystore -destkeystore %nsr%\authc-server\conf\authc.truststore -srckeystore C:\tmp\%hostname%.saml.authc.p12 -srcstoretype PKCS12 -srcstorepass %authc_storepass% -deststorepass %authc_storepass%

• Poista oletusarvoinen NetWorkerin itse allekirjoitettu varmenne ja tuo uusi päämyöntäjän allekirjoittama 

%java_bin%\keytool -delete -alias emcauthctomcat -keystore %nsr%\authc-server\conf\authc.truststore -storepass  %authc_storepass%
%java_bin%\keytool -import -alias emcauthctomcat -keystore %nsr%\authc-server\conf\authc.truststore -file %cert% -storepass %authc_storepass%

%java_bin%\keytool -delete -alias emcauthcsaml -keystore %nsr%\authc-server\conf\authc.truststore -storepass %authc_storepass%
%java_bin%\keytool -import -alias emcauthcsaml -keystore %nsr%\authc-server\conf\authc.truststore -file %cert% -storepass %authc_storepass%

• Tuo lopuksi tämä varmenne Java cacerts keystore -tiedostoon kohdassa emcauthctomcat alias:

%java_bin%\keytool -delete -alias emcauthctomcat -keystore %java_bin%\..\lib\security\cacerts -storepass changeit
%java_bin%\keytool -import -alias emcauthctomcat -keystore %java_bin%\..\lib\security\cacerts -file %cert% -storepass changeit

2. Muokkaa C:\Program Files\EMC NetWorker\nsr\authc-server\conf\authc-cli-app.properties-tiedostonarvoa admin_service_default_url=localhost vastaamaan päämyöntäjän allekirjoittamassa varmennetiedostossa käytettyä NetWorker-palvelimen nimeä:

admin_service_default_protocol=https
admin_service_default_url=<my-networker-server.my-domain.com>
admin_service_default_port=9090
admin_service_default_user=
admin_service_default_password=
admin_service_default_tenant=
admin_service_default_domain=

3. NetWorker-palvelut on käynnistettävä uudelleen, jotta AUTHC voi käyttää uutta tuotua varmennetta.

net stop nsrd
net start nsrd

4. Muodosta AUTHC-luottamussuhde uudelleen NetWorker-palvelimeen:

nsrauthtrust -H <localhost or Authentication_service_host> -P 9090

AUTHC-varmennukset:

1. Vahvista tuodun varmenteen sormenjälki:

%openssl% x509 -in %cert% -fingerprint -sha256 -noout

C:\certs>%openssl% x509 -in %cert% -fingerprint -sha256 -noout
SHA256 Fingerprint=06:4B:5B:73:06:55:FC:4A:CD:D2:92:34:00:1D:CE:35:CA:C3:48:C7:51:06:3A:D7:D7:84:F4:77:06:ED:9B:73

2. Luo tulostetiedostot cacerteille

%java_bin%\keytool -list -keystore %java_bin%\..\lib\security\cacerts -storepass changeit > C:\tmp\cacerts.out

3. Tarkista tulostiedosto ja varmista, että näet emcauthctomcat ja että varmenteen sormenjälki vastaa vaiheen 1 sormenjälkeä:

4. Tarkista authc.truststore ja authc.keystore ja varmista, että emcauthctomcat ja emcauthcsaml Varmenteen sormenjäljet vastaavat vaiheen 1 sormenjälkiä:

%java_bin%\keytool -list -keystore %nsr%\authc-server\conf\authc.truststore -storepass %authc_storepass%
%java_bin%\keytool -list -keystore %nsr%\authc-server\conf\authc.truststore -storepass %authc_storepass%

5. Kun AUTHC-palvelu on käynnissä, voit tarkistaa, että sen saapuvalle yhteydelle antama varmenne on sama kuin yllä:

%openssl% s_client -connect localhost:9090 -showcerts 2>nul | %openssl% x509 -noout -fingerprint -sha256

Esimerkki:

C:\certs>%openssl% s_client -connect localhost:9090 -showcerts 2>nul | %openssl% x509 -noout -fingerprint -sha256
SHA256 Fingerprint=06:4B:5B:73:06:55:FC:4A:CD:D2:92:34:00:1D:CE:35:CA:C3:48:C7:51:06:3A:D7:D7:84:F4:77:06:ED:9B:73

NetWorker-käyttöliittymä (nwui) Palveluvarmenteen vaihtovaiheet:

Oletamme, että nwui Palvelut ovat käynnissä NetWorker-palvelimessa.

1. Pysäytä NWUI-palvelu:

net stop nwui

2. Poista NetWorkerin itse allekirjoittamat varmenteet ja tuo uusi päämyöntäjän allekirjoittama varmennetiedosto (<server.crt>) cacerts-avainsäilöön. Yhdenmukaisuuden vuoksi korvaamme kaikki nwui-varmenteet CA-allekirjoitetulla varmenteella.

%java_bin%\keytool -delete -alias emcnwuimonitoring -keystore %java_bin%\..\lib\security\cacerts -storepass changeit
%java_bin%\keytool -import -alias emcnwuimonitoring -keystore %java_bin%\..\lib\security\cacerts -file %cert% -storepass changeit

3. Luo PKCS12-säilötiedosto NetWorker Serverin yksityisen avaimen tiedostolla (<server>.key) ja uudella päämyöntäjän allekirjoittamalla varmennetiedostolla (<server.crt>) emcauthctomcat ja emcauthcsaml NWUI-avainsäilön alias.

%openssl% pkcs12 -export -in %cert% -inkey %key% -name emcauthctomcat -out C:\tmp\%hostname%.tomcat.nwui.p12 -password pass:%nwui_storepass%
%openssl% pkcs12 -export -in %cert% -inkey %key% -name emcauthcsaml -out C:\tmp\%hostname%.saml.nwui.p12 -password pass:%nwui_storepass%

HUOMAUTUS: PKCS12-tiedoston salasanan on vastattava avainsäilön salasanaa. Siksi tässä tapauksessa luomme sen nwui storepassilla.

4. Tuo .p12-tiedostot, CA-päävarmenne ja CA-välivarmenteet nwui-avainsäilöön.

%java_bin%\keytool -importkeystore -destkeystore %nwui%\monitoring\app\conf\nwui.keystore -srckeystore C:\tmp\%hostname%.tomcat.nwui.p12 -srcstoretype PKCS12 -srcstorepass %nwui_storepass% -deststorepass %nwui_storepass%

%java_bin%\keytool -importkeystore -destkeystore %nwui%\monitoring\app\conf\nwui.keystore -srckeystore C:\tmp\%hostname%.saml.nwui.p12 -srcstoretype PKCS12 -srcstorepass %nwui_storepass% -deststorepass %nwui_storepass%

%java_bin%\keytool -import -alias RCA -keystore %nwui%\monitoring\app\conf\nwui.keystore -file %RCAcert% -storepass %nwui_storepass%

%java_bin%\keytool -import -alias ICA -keystore %nwui%\monitoring\app\conf\nwui.keystore -file %ICAcert% -storepass %nwui_storepass%

5. Nimeä uudelleen emcnwuimonitoring varmenne ja laita palvelinvarmenne tähän polkuun samalla nimellä.

move %nwui%\monitoring\app\conf\emcnwuimonitoring.cer %nwui%\monitoring\app\conf\emcnwuimonitoring.cer_orig
copy %cert% %nwui%\monitoring\app\conf\emcnwuimonitoring.cer

6. Käynnistä NWUI-palvelu:

net start nwui

nwui Varmennuksen jälkeiset toimet:

1. Vahvista tuodun varmenteen sormenjälki:

%openssl% x509 -in %cert% -fingerprint -sha256 -noout

C:\certs>%openssl% x509 -in %cert% -fingerprint -sha256 -noout
SHA256 Fingerprint=06:4B:5B:73:06:55:FC:4A:CD:D2:92:34:00:1D:CE:35:CA:C3:48:C7:51:06:3A:D7:D7:84:F4:77:06:ED:9B:73

2. Luo tulostetiedostot cacerteille

%java_bin%\keytool -list -keystore %java_bin%\..\lib\security\cacerts -storepass changeit > C:\tmp\cacerts.out

3. Tarkista tulostiedosto ja varmista, että näet emcauthctomcat ja että varmenteen sormenjälki vastaa vaiheen 1 sormenjälkeä:

4. Tarkista nwui.keystore ja varmista, että emcauthctomcat Varmenteen sormenjäljet vastaavat vaiheen 1 sormenjälkiä:

%java_bin%\keytool -list -keystore %nwui%\monitoring\app\conf\nwui.keystore -storepass %nwui_storepass%

5. Kun NWUI-palvelu on toiminnassa, voit tarkistaa, että sen saapuvalle yhteydelle antama varmenne on sama kuin yllä:

%openssl% s_client -connect localhost:9095 -showcerts 2>nul | %openssl% x509 -noout -fingerprint -sha256

C:\certs>%openssl% s_client -connect localhost:9095 -showcerts 2>nul | %openssl% x509 -noout -fingerprint -sha256
SHA256 Fingerprint=06:4B:5B:73:06:55:FC:4A:CD:D2:92:34:00:1D:CE:35:CA:C3:48:C7:51:06:3A:D7:D7:84:F4:77:06:ED:9B:73

move %nwui%\monitoring\nwuidb\pgdata\server.crt %nwui%\monitoring\nwuidb\pgdata\server.crt_orig
move %nwui%\monitoring\nwuidb\pgdata\server.key %nwui%\monitoring\nwuidb\pgdata\server.key_orig

copy %cert% %nwui%\monitoring\nwuidb\pgdata\server.crt
copy %key% %nwui%\monitoring\nwuidb\pgdata\server.key

 

 

Lisätietoja päämyöntäjän allekirjoittaman varmenteen tuomisesta on Dell NetWorker Security Configuration Guide -oppaassa.

NetWorker Management Consolen (NMC) itse allekirjoitetun varmenteen korvaaminen varmenteiden myöntäjän allekirjoittamalla varmenteella on seuraavassa tietämyskannan tietokannassa:

NetWorker: Varmenteen myöntäjän allekirjoitettujen varmenteiden tuominen tai korvaaminen NMC:lle