Solución de problemas de la cadena de certificados necesarios para la migración a OpenManage Enterprise

• Certificado = certificado firmado por una CA (independiente)
• Cadena de certificados = certificado firmado por una CA + certificado de CA intermedio (si existe) + certificado de CA raíz

Requisitos de la cadena de certificados para la migración 

1. Coincidencias de claves de solicitud de firma de certificado : durante la carga del certificado, se comprueba la clave de solicitud de firma de certificado (CSR). OpenManage Enterprise solo es compatible con la carga de certificados solicitados mediante la solicitud de certificado firmado (CSR) de ese dispositivo. Esta comprobación de validación se realiza durante una carga para un único certificado de servidor y una cadena de certificados.
2. Codificación de certificado : el archivo de certificado requiere codificación de base 64. Asegúrese de que, al guardar el certificado exportado desde la autoridad de certificación, se utilice la codificación base 64; de lo contrario, el archivo de certificado se considerará no válido.
3. Validar el uso mejorado de claves del certificado : compruebe que el uso de claves esté habilitado para la autenticación del servidor y la autenticación del cliente. Esto se debe a que la migración es una comunicación bidireccional entre el origen y el destino, donde cualquiera de ellos puede actuar como servidor y cliente durante el intercambio de información. Para los certificados de servidor único, solo se requiere la autenticación del servidor.
4. El certificado está activado para el cifrado de claves : la plantilla de certificado utilizada para generar el certificado debe incluir el cifrado de claves. Esto garantiza que las claves del certificado se puedan utilizar para cifrar la comunicación.
5. Cadena de certificados con certificado raíz : el certificado contiene la cadena completa que incluye el certificado raíz. Esto es necesario para que el origen y el destino garanticen que ambos sean de confianza. El certificado raíz se agrega al almacén raíz de confianza de cada dispositivo. IMPORTANTE: OpenManage Enterprise admite un máximo de 10 certificados de oportunidad potencial dentro de la cadena de certificados.
6. Emitido por y emitido por : el certificado raíz se utiliza como anclaje de confianza y, a continuación, se usa para validar todos los certificados de la cadena con respecto a ese anclaje de confianza. Asegúrese de que la cadena de certificados incluya el certificado raíz.

Operación de carga de la cadena de certificados

• CGEN1008 - No se puede procesar la solicitud porque se ha producido un error
• CSEC9002 - No se puede cargar el certificado porque el archivo de certificado proporcionado no es válido.

CGEN1008 - No se puede procesar la solicitud porque se produjo un error.

CGEN1008 - Unable to process the request because an error occurred.
Retry the operation. If the issue persists, contact your system administrator.

• Clave CSR no válida para la cadena de certificados
  • Asegúrese de que el certificado se haya generado mediante la CSR desde la interfaz de usuario web de OpenManage Enterprise. OpenManage Enterprise no soporta la carga de un certificado que no se haya generado mediante CSR desde el mismo dispositivo.
  • Se observa el siguiente error en el registro de la aplicación Tomcat ubicado en el paquete de registros de la consola:

./tomcat/application.log

[ERROR] 2024-01-25 11:10:34.735 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-10] SSLController - uploadNewCertificateChain():
 Error uploading certificate chain: {"error":{"code":"Base.1.0.GeneralError",
"message":"A general error has occurred. See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CGEN1008","RelatedProperties":[],
"Message":"Unable to process the request because an error occurred.",
"MessageArgs":["Invalid CSR key."],
"Severity":"Critical","Resolution":"Retry the operation. If the issue persists, contact your system administrator."}]}}

• Cadena de certificados no válida
  • Los certificados de todas las autoridades de certificación raíz e intermedias deben incluirse en el certificado.
  • Se observa el siguiente error en el registro de la aplicación Tomcat ubicado en el paquete de registros de la consola:

./tomcat/application.log

[ERROR] 2024-01-25 11:04:56.396 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-1] SSLController - uploadNewCertificateChain():
 Error uploading certificate chain: {"error":{"code":"Base.1.0.GeneralError",
"message":"A general error has occurred. See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CGEN1008","RelatedProperties":[],
"Message":"Unable to process the request because an error occurred.",
"MessageArgs":["Invalid certificate chain provided."],
"Severity":"Critical","Resolution":"Retry the operation. If the issue persists, contact your system administrator."}]}}

• No se encontró ningún nombre común en el certificado de extensión : todos los certificados deben incluir los nombres comunes y no contener comodines (*).

CGEN6002 - Unable to complete the request because the input value for DistinguishedName is missing or an invalid value is entered.

 

• No hay autenticación de cliente y servidor Uso extendido de claves (EKU) presente en el certificado de hoja
  • El certificado debe incluir la autenticación del servidor y del cliente para el uso extendido de claves.
  • Se observa el siguiente error en el registro de la aplicación Tomcat ubicado en el paquete de registros de la consola:

./tomcat/application.log

[ERROR] 2024-01-25 10:56:54.175 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-17] SSLController - uploadNewCertificateChain():
 Error uploading certificate chain: {"error":{"code":"Base.1.0.GeneralError",
"message":"A general error has occurred. See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CGEN1008","RelatedProperties":[],
"Message":"Unable to process the request because an error occurred.",
"MessageArgs":["No Client/Server authentication EKU present in leaf certificate."],
"Severity":"Critical","Resolution":"Retry the operation. If the issue persists, contact your system administrator."}]}}

• Revise los detalles del certificado para mejorar el uso de claves. Si alguno de ellos no está, asegúrese de que la plantilla utilizada para generar el certificado esté habilitado para ambos.

 

• Falta el cifrado de claves para el uso de claves
  • El certificado que se cargará debe tener el cifrado de claves indicado para el uso de claves.
  • Se observa el siguiente error en el registro de la aplicación Tomcat ubicado en el paquete de registros de la consola:

./tomcat/application.log

[ERROR] 2024-01-25 11:01:01.475 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-3] SSLController - uploadNewCertificateChain():
 Error uploading certificate chain: {"error":{"code":"Base.1.0.GeneralError","message":"A general error has occurred.
 See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CGEN1008","RelatedProperties":[],
"Message":"Unable to process the request because an error occurred.",
"MessageArgs":["User Certificate is not a web server certificate."],
"Severity":"Critical","Resolution":"Retry the operation. If the issue persists, contact your system administrator."}]}}

• Revise los detalles del certificado para conocer el uso de claves. Asegúrese de que la plantilla utilizada para generar el certificado tenga habilitado el cifrado de claves.

 
 

CSEC9002 - No se puede cargar el certificado porque el archivo de certificado proporcionado no es válido.

CSEC9002 - Unable to upload the certificate because the certificate file provided is invalid.
Make sure the CA certificate and private key are correct and retry the operation.

• Falta el cifrado de claves en el certificado del servidor
  • Asegúrese de que la plantilla utilizada para generar el certificado tenga habilitado el cifrado de claves. Cuando aproveche un certificado para la migración, asegúrese de que se cargue la cadena de certificados completa en lugar del certificado de servidor único.
  • Se observa el siguiente error en el registro de la aplicación Tomcat ubicado en el paquete de registros de la consola:

./tomcat/application.log

[ERROR] 2024-01-29 08:03:05.200 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-3] SSLController - {"error":{"code":"Base.1.0.GeneralError",
"message":"A general error has occurred. See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CSEC9002","RelatedProperties":[],
"Message":"Unable to upload the certificate because the certificate file provided is invalid.",
"MessageArgs":[],"Severity":"Critical","Resolution":"Make sure the CA certificate and private key are correct and retry the operation."}]}}

• El archivo de certificado contiene una codificación incorrecta
  • Asegúrese de que el archivo de certificado se guardó con la codificación de base 64.
  • Se observa el siguiente error en el registro de la aplicación Tomcat ubicado en el paquete de registros de la consola:

./tomcat/application.log

[ERROR] 2024-01-29 08:03:05.200 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-3] SSLController - {"error":{"code":"Base.1.0.GeneralError",
"message":"A general error has occurred. See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CSEC9002","RelatedProperties":[],
"Message":"Unable to upload the certificate because the certificate file provided is invalid.",
"MessageArgs":[],"Severity":"Critical","Resolution":"Make sure the CA certificate and private key are correct and retry the operation."}]}}

Operación de verificación de la conexión de migración

• Emitido a y emitido por : los nombres de las autoridades de certificación en la cadena entre cada uno de los certificados fuente y objetivo tienen el mismo "emitido para" y "emitido por". Si estos nombres no coinciden, el origen o el destino no pueden verificar que las mismas autoridades firmantes emitieron los certificados. Esto es crucial para adherirse al marco de seguridad de confianza cero.

• Período de validez : comprueba el período de validez del certificado con la fecha y hora del dispositivo.
• Profundidad máxima : verifique que la cadena de certificados no supere la profundidad máxima de los certificados de 10 hojas.

Unable to mutually authenticate and connect to the remote appliance.
Please check the source and target appliances has valid certificate chain uploaded which are signed by the same CA.

Omitir el requisito de la cadena de certificados

Si hay problemas continuos para cumplir con los requisitos de la cadena de certificados, existe un método compatible que se puede utilizar para aprovechar los certificados autofirmados. Continúe con el aprovechamiento de la característica de respaldo y restauración, como se describe en el siguiente artículo:

https://www.dell.com/support/kbdoc/en-us/000223239/openmanage-enterprise-administrators-may-run-across-several-errors-during-the-certificate-chain-upload-cgen1008-and-csec9002-report-challenges-in-procuring-a-certificate-chain-required-by-openmanage-enterprise-ome-4-0-x-for-the-migration-featur