Avamar：Apache Web Server SHA-1署名済みSSL証明書を置き換える方法

Summary: Avamar：Apache Web Server SHA-1署名済みSSL証明書を置き換える方法

This article applies to This article does not apply to This article is not tied to any specific product. Not all product versions are identified in this article.
Check out other resources

Symptoms



Webブラウザーを使用してNetWorker Virtual Edition(NVE)、Avamar Server、Avamar Extended Retention(AER)ノードに接続しようとすると、NVE、Avamar Server、またはAERノード上のApache Web Serverが正常に動作していても、ブラウザーはネットワーク接続エラーを報告し、接続を拒否します。

Cause

SHA-1を使用して署名されたSSL証明書のサポートは、2017年1月1日をもって、主要なWebブラウザー ベンダーによって終了しました。一部のデフォルトのNVE、Avamar、AER証明書は、SHA-1を使用して署名されます。

Resolution

  1. Avamarユーティリティー ノードまたはシングル ノード サーバーにadminユーザーとしてログインし、次のコマンドを実行してrootに切り替えます。
su -

手記：末尾の-は重要です!
  1. ディレクトリをApache設定ディレクトリに変更します。
cd /etc/apache2
  1. 現在の証明書がSHA-1を使用して署名されていることを確認します。
openssl x509 -in ssl.crt/server.crt -text -noout | grep "Signature"

出力例:
root@avamar:/etc/apache2/#: openssl x509 -in ssl.crt/server.crt -text -noout | grep "Signature"
署名アルゴリズム:sha1WithRSAEncryption
署名アルゴリズム:sha1WithRSAEncryption

注: 署名アルゴリズムがSHA-1として報告されない場合は、この手順を続行しないでください
  1. 既存の証明書をバックアップします。
cp ssl.crt/server.crt ssl.crt/server.crt.bak.'日付-I'
  1. 既存の証明書から「証明書署名要求」を生成します。
openssl x509 -in ssl.crt/server.crt -signkey ssl.key/server.key -x509toreq -out ssl.csr/server.csr

出力例:
root@avamar:/etc/apache2/#: openssl x509 -in ssl.crt/server.crt -signkey ssl.key/server.key -x509toreq -out ssl.csr/server.csr
Getting request Private Key
Generating certificate request
  1. 証明書が自己署名であるか、認証局(CA署名済み)によって署名されているかを確認します。
['openssl x509-inのssl.crt/server.crt-text-noout |grep "件名: \|発行者：" |sed 's/.*:\(.*\)/\1/' |ユニキュー |wc -l' -eq "1" ] & echo "自己署名" ||echo "CA Signed"

メモ: このコマンドは、1行で入力する必要があります。句読点はすべて重要です。コピーして貼り付けることをお勧めします

CA署名付き証明書の出力例:
root@avamar:/etc/apache2/#: ['openssl x509-inのssl.crt/server.crt-text-noout |grep "件名: \|発行者：" |sed 's/.*:\(.*\)/\1/' |ユニキュー |wc -l' -eq "1" ] & echo "自己署名" ||echo "CA Signed"
CA Signed

自己署名証明書の出力例:
root@avamar:/etc/apache2/#: ['openssl x509-inのssl.crt/server.crt-text-noout |grep "件名: \|発行者：" |sed 's/.*:\(.*\)/\1/' |ユニキュー |wc -l' -eq "1" ] & echo "自己署名" ||echo "CA Signed"
自己署名
  1. 交換用証明書を生成してインストールします。
    1. CA署名済み証明書の場合:
      1. 手順5で生成した証明書署名要求のコピーを認証局に提供し、強力な署名アルゴリズムを使用して交換用証明書を生成するように認証局に要求します。証明書署名要求は、/etc/apache2/ssl.csr/server.csrにあります
      2. CAから提供された署名済み証明書をAvamar Serverの/etc/apache2/ssl.crt/server.crtに配置します。
      3. 手順7bをスキップして、手順8の手順を続行します
注：CAが新しい証明書とともに更新された証明書チェーンファイルを提供した場合は、これらのインストール方法について付録Aを参照してください。
  1. 自己署名証明書の場合:
    1. 交換用証明書の生成とインストール
openssl x509 -sha256 -req -signkey ssl.key/server.key -in ssl.csr/server.csr -out ssl.crt/server.crt -days 1825

出力例:
root@avamar:/etc/apache2/#: openssl x509 -sha256 -req -signkey ssl.key/server.key -in ssl.csr/server.csr -out ssl.crt/server.crt -days 1825
Signature ok
subject=/C=US/ST=CA/L=Irvine/O=Dell EMC/OU=Avamar/CN=avamar.asl.lab.emc.com
  1. 新しい証明書がSHA-256またはその他の強力な署名アルゴリズムを使用して署名されていることを確認します。
openssl x509 -in ssl.crt/server.crt -text -noout | grep "Signature"

出力例:
root@avamar:/etc/apache2/#: openssl x509 -in ssl.crt/server.crt -text -noout | grep "Signature"
署名アルゴリズム: sha256WithRSAEncryption
署名アルゴリズム: sha256WithRSAEncryption
  1. Apache Web Serverを再起動します。
Webサイトの再起動

出力例:
root@avamar:/etc/apache2/#: website restart
===ウェブサイトのシャットダウン
httpd2のシャットダウン(すべての子が終了するのを待っています) done
===ウェブサイトの開始
httpd2の開始(prefork)    
  1. 手順の完了

Additional Information

付録 A - 更新された証明書チェーンファイルのインストール
  1. 既存の証明書チェーンのコピーを作成する
cp /etc/apache2/ssl.crt/ca.crt /etc/apache2/ssl.crt/ca.crt.bak.'date -I'
  1. 更新された証明書チェーン ファイルをインストールする
    1. CA が個別の中間証明書を提供している場合は、それらを結合して 1 つのチェーン ファイルにします。
cat cert1 cert2 cert3 cert4 > /etc/apache2/ssl.crt/ca.crt
  1. それ以外の場合は、CAから提供された単一チェーン ファイルをAvamar Serverの/etc/apache2/ssl.crt/ca.crtに配置します

Affected Products

Avamar

Products

Avamar
Article Properties
Article Number: 000170753
Article Type: Solution
Last Modified: 05 Mar 2025
Version:  4
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.