Avamar - Dell Data Protection Extension (DPE) en Cloud Director: Estado de vcpsrv apagado debido a un certificado de nube no válido

Servicio VCP Manager apagado
Servicio BG inactivo
DPE no se puede conectar con vCloud

El registro de VCP Manager muestra errores de certificado:

/var/log/vcp/vcp-manager.log 

2022-04-15 15:31:50,524 [main] ERROR (RestUtil.java:389) - null
javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX path building failed: java.security.cert.CertPathBuilderException: Could not build a validated path.
        at sun.security.ssl.Alert.createSSLException(Unknown Source) ~[?:1.8.0_301]
        at sun.security.ssl.TransportContext.fatal(Unknown Source) ~[?:1.8.0_301]

systemctl restart vcp-manager.service
sleep 30
vcp-cli srv update <srv-service-name from step 8>
vcp-cli bg update <bg service name from step 8>

El certificado venció o se reemplazó en la nube y DPE debe importar el nuevo certificado de nube.

Requisitos previos:  Obtenga las credenciales para el archivo de almacenamiento de claves.  DPE siempre genera un almacén de claves de contraseña aleatorias, por lo que es necesario usar el siguiente comando con la contraseña maestra del cliente para obtener el almacenamiento de claves
   

vcp-cli credential list -p <master_password>

ejemplo de resultado

# vcp-cli  credential list -p Changeme_1
getting credentials...
Success

credential:
   component: truststore
   url: /etc/vcp/truststore
   username:
   password: ZM1VnGwRZCLFrrNS

Paso 1
Compruebe los certificados actuales en el truststore para el certificado de nube, revise las fechas para ver si venció o revise la huella digital SHA1 para ver si coincide con el certificado actual aplicado a vCloud

 # vcp-cli certificate show-trust -a cloud 

Ejemplo de resultado donde se muestra que el certificado de vCloud antiguo se encuentra cargado en el truststore mediante la nube de alias 

Alias name: cloud
Creation date: Sep 8, 2021
Entry type: trustedCertEntry

[..]
Valid from: Wed Mar 24 09:32:46 EDT 2021 until: Sat Apr 23 09:32:45 EDT 2022
Certificate fingerprints:
MD5:  B0:E2:12:5D:46:4D:DC:09:FB:2C:EF:94:7D:29:EB:DF
SHA1: C4:0A:BE:56:D5:25:A1:49:00:94:9E:9D:46:FD:6F:64:1D:59:A7:E8       SHA256:40:67:86:D2:EE:58:72:24:E0:52:88:33:4E:C8:9E:44:9E:B0:24:EE:65:2E:AD:5C:D3:40:97:44:AD:04:48:3B

Tome nota de la huella digital SHA1 y las fechas:
En este ejemplo, la huella digital es: C4:0A:BE:56:D5:25:A1:49:00:94:9E:9D:46:FD:6F:64:1D:59:A7:E8
En este ejemplo, el certificado es válido hasta:  Sábado 23 de abril 09:32:45 EDT 2022

Paso 2
Utilice el comando new keytool para establecer una conexión TLS a la nube y obtener la huella digital SHA1 

# keytool  -printcert -sslserver <cloud director hostname or ip>:443 -rfc | openssl x509 -noout -fingerprint -dates

Ejemplo de resultado

SHA1 Fingerprint=94:2F:74:56:9C:19:61:2D:7E:24:60:4A:8A:2F:89:D7:31:34:19:A4
notBefore=Dec 29 18:59:49 2021 GMT
notAfter=Dec 29 18:59:49 2022 GMT

Si las huellas digitales o las fechas no coinciden, debe actualizar el certificado de nube en DPE.

Paso 3
Realice una copia del truststore

cp -p /etc/vcp/truststore /etc/vcp/truststore-`date -I`.bkp

Paso 4
Para reemplazar el certificado en el truststore desde DPE, primero elimine el certificado antiguo

keytool -delete  -alias cloud -keystore /etc/vcp/truststore -storepass <keystore_passphrase> 

Paso 5
Descargue el certificado de vCloud actual en un nuevo archivo: new_cloud_cert.crt 

keytool -printcert -rfc -sslserver <Cloud_hostname>:443 > new_cloud_cert.crt

Paso 6
Importe el archivo de certificado al truststore

keytool -import -file new_cloud_cert.crt -alias cloud  -keystore /etc/vcp/truststore -storepass <keystore_passphrase> 

Paso 7
Repita el comando desde el paso 1 nuevamente para confirmar que se instaló el nuevo certificado 

 # vcp-cli certificate show-trust -a cloud 

Ejemplo de resultado

Alias name: cloud 
Creation date: Jul 27, 2022
Entry type: trustedCertEntry

Owner: CN=vcd.example.lab
Issuer: CN=vcd.example.lab
Serial number: 7e29bef2a5652b7a
Valid from: Wed Dec 29 13:59:49 EST 2021 until: Thu Dec 29 13:59:49 EST 2022
Certificate fingerprints:
         MD5:  8A:5A:D1:09:AE:C8:D9:94:B6:B9:D3:A5:E9:BD:AA:07
         SHA1: 94:2F:74:56:9C:19:61:2D:7E:24:60:4A:8A:2F:89:D7:31:34:19:A4
         SHA256: 38:88:0F:5F:C1:8C:BB:F0:D9:64:40:72:D9:59:35:5E:2B:72:BB:50:2F:88:3B:B0:8D:4C:D5:16:56:35:19:E2

Nota: 
Esta fecha de creación debe ser la fecha actual y las fechas de certificado y huella digital SHA1 deben actualizarse. 

Paso 8
Obtenga el estado del nodo para capturar los nombres de servicio para BG y srv 

vcp-cli node status

Paso 9
Reinicie los servicios 

systemctl restart vcp-manager.service
sleep 30
vcp-cli srv stop <srv-service-name> -p <master password>
vcp-cli srv start <srv-service-name> -p <master password>
vcp-cli bg stop <bg service name>  -p <master password>
vcp-cli bg start <bg service name> -p <master password>

Paso 10
Compruebe los estados

vcp-cli srv status
vcp-cli bg status