Dépannage des problèmes de chaîne de certificats requis pour OpenManage Enterprise Migration

• Certificat = certificat signé par une autorité de certification (autonome)
• Chaîne de certificat = certificat signé par une autorité de certification + certificat d’autorité de certification intermédiaire (le cas échéant) + certificat d’autorité de certification racine

Exigences relatives à la chaîne de certificats pour la migration 

1. Correspondances de clé de requête de signature de certificat : lors du téléchargement du certificat, la clé de demande de signature de certificat (CSR) est cochée. OpenManage Enterprise prend uniquement en charge le téléchargement des certificats demandés à l’aide de la demande de signature de certificat (CSR) par cette appliance. Cette vérification de validation est effectuée lors d’un téléchargement pour un seul certificat de serveur et pour une chaîne de certificats.
2. Codage du certificat : le fichier de certificat nécessite un codage Base 64. Assurez-vous que le codage Base 64 est utilisé lors de l’enregistrement du certificat exporté à partir de l’autorité de certification. Sinon, le fichier de certificat est considéré comme non valide.
3. Valider l’utilisation améliorée de la clé par le certificat : assurez-vous que l’utilisation de la clé est activée pour l’authentification du serveur et l’authentification du client. En effet, la migration est une communication bidirectionnelle entre la source et la cible, où l’un ou l’autre peut agir en tant que serveur et client pendant l’échange d’informations. Pour les certificats de serveur unique, seule l’authentification du serveur est requise.
4. Le certificat est activé pour le chiffrement de clé : le modèle de certificat utilisé pour générer le certificat doit inclure le chiffrement de clé. Cela garantit que les clés du certificat peuvent être utilisées pour chiffrer les communications.
5. Chaîne de certificats avec certificat racine : le certificat contient la chaîne complète qui inclut le certificat racine. Cela est nécessaire pour la source et la cible afin de garantir qu’elles sont toutes deux fiables. Le certificat racine est ajouté au magasin racine de confiance de chaque appliance. IMPORTANT : OpenManage Enterprise prend en charge un maximum de 10 certificats maîtres dans la chaîne de certificats.
6. Émis à et émis par : le certificat racine est utilisé comme ancre d’approbation, puis utilisé pour valider tous les certificats de la chaîne par rapport à cette ancre d’approbation. Assurez-vous que la chaîne de certificats inclut le certificat racine.

Opération de téléchargement de chaîne de certificats

• CGEN1008 - Impossible de traiter la demande en raison d’une erreur
• CSEC9002 : impossible de charger le certificat, car le fichier de certificat fourni n’est pas valide.

CGEN1008 - Impossible de traiter la demande car une erreur s’est produite.

CGEN1008 - Unable to process the request because an error occurred.
Retry the operation. If the issue persists, contact your system administrator.

• Clé CSR non valide pour la chaîne de certificats
  • Assurez-vous que le certificat a été généré à l’aide de la CSR à partir de l’interface utilisateur Web d’OpenManage Enterprise. OpenManage Enterprise ne prend pas en charge le téléchargement d’un certificat qui n’a pas été généré à l’aide de la CSR à partir de la même appliance.
  • L’erreur suivante s’affiche dans le journal de l’application Tomcat situé dans le bundle de logs de la console :

./tomcat/application.log

[ERROR] 2024-01-25 11:10:34.735 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-10] SSLController - uploadNewCertificateChain():
 Error uploading certificate chain: {"error":{"code":"Base.1.0.GeneralError",
"message":"A general error has occurred. See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CGEN1008","RelatedProperties":[],
"Message":"Unable to process the request because an error occurred.",
"MessageArgs":["Invalid CSR key."],
"Severity":"Critical","Resolution":"Retry the operation. If the issue persists, contact your system administrator."}]}}

• Chaîne de certificats non valide
  • Le certificat racine et tous les certificats des autorités de certification intermédiaires doivent être inclus dans le certificat.
  • L’erreur suivante s’affiche dans le journal de l’application Tomcat situé dans le bundle de logs de la console :

./tomcat/application.log

[ERROR] 2024-01-25 11:04:56.396 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-1] SSLController - uploadNewCertificateChain():
 Error uploading certificate chain: {"error":{"code":"Base.1.0.GeneralError",
"message":"A general error has occurred. See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CGEN1008","RelatedProperties":[],
"Message":"Unable to process the request because an error occurred.",
"MessageArgs":["Invalid certificate chain provided."],
"Severity":"Critical","Resolution":"Retry the operation. If the issue persists, contact your system administrator."}]}}

• Aucun nom commun trouvé dans le certificat feuille : tous les certificats doivent inclure les noms communs et ne pas contenir de caractères génériques (*).

CGEN6002 - Unable to complete the request because the input value for DistinguishedName is missing or an invalid value is entered.

 

• Aucune utilisation étendue de clé (EKU) d’authentification client et serveur n’est présente dans le certificat leaf
  • Le certificat doit inclure à la fois l’authentification du serveur et du client pour l’utilisation étendue de la clé.
  • L’erreur suivante s’affiche dans le journal de l’application Tomcat situé dans le bundle de logs de la console :

./tomcat/application.log

[ERROR] 2024-01-25 10:56:54.175 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-17] SSLController - uploadNewCertificateChain():
 Error uploading certificate chain: {"error":{"code":"Base.1.0.GeneralError",
"message":"A general error has occurred. See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CGEN1008","RelatedProperties":[],
"Message":"Unable to process the request because an error occurred.",
"MessageArgs":["No Client/Server authentication EKU present in leaf certificate."],
"Severity":"Critical","Resolution":"Retry the operation. If the issue persists, contact your system administrator."}]}}

• Passez en revue les détails du certificat pour une utilisation améliorée des clés. Si l’un ou l’autre est manquant, assurez-vous que le modèle utilisé pour générer le certificat est activé pour les deux.

 

• Chiffrement de clé manquant pour l’utilisation des clés
  • Le chiffrement de clé doit être répertorié dans le certificat en cours de téléchargement pour l’utilisation de la clé.
  • L’erreur suivante s’affiche dans le journal de l’application Tomcat situé dans le bundle de logs de la console :

./tomcat/application.log

[ERROR] 2024-01-25 11:01:01.475 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-3] SSLController - uploadNewCertificateChain():
 Error uploading certificate chain: {"error":{"code":"Base.1.0.GeneralError","message":"A general error has occurred.
 See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CGEN1008","RelatedProperties":[],
"Message":"Unable to process the request because an error occurred.",
"MessageArgs":["User Certificate is not a web server certificate."],
"Severity":"Critical","Resolution":"Retry the operation. If the issue persists, contact your system administrator."}]}}

• Passez en revue les détails du certificat pour l’utilisation de la clé. Assurez-vous que le chiffrement de clé est activé dans le modèle utilisé pour générer le certificat.

 
 

CSEC9002 : impossible de charger le certificat, car le fichier de certificat fourni n’est pas valide.

CSEC9002 - Unable to upload the certificate because the certificate file provided is invalid.
Make sure the CA certificate and private key are correct and retry the operation.

• Chiffrement de clé manquant pour le certificat de serveur
  • Assurez-vous que le chiffrement de clé est activé dans le modèle utilisé pour générer le certificat. Lorsque vous utilisez un certificat pour la migration, assurez-vous que c’est la chaîne de certificats complète qui est chargée, et non le certificat de serveur unique.
  • L’erreur suivante s’affiche dans le journal de l’application Tomcat situé dans le bundle de logs de la console :

./tomcat/application.log

[ERROR] 2024-01-29 08:03:05.200 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-3] SSLController - {"error":{"code":"Base.1.0.GeneralError",
"message":"A general error has occurred. See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CSEC9002","RelatedProperties":[],
"Message":"Unable to upload the certificate because the certificate file provided is invalid.",
"MessageArgs":[],"Severity":"Critical","Resolution":"Make sure the CA certificate and private key are correct and retry the operation."}]}}

• Le fichier de certificat contient un codage incorrect
  • Assurez-vous que le fichier de certificat a été enregistré à l’aide du codage Base 64.
  • L’erreur suivante s’affiche dans le journal de l’application Tomcat situé dans le bundle de logs de la console :

./tomcat/application.log

[ERROR] 2024-01-29 08:03:05.200 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-3] SSLController - {"error":{"code":"Base.1.0.GeneralError",
"message":"A general error has occurred. See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CSEC9002","RelatedProperties":[],
"Message":"Unable to upload the certificate because the certificate file provided is invalid.",
"MessageArgs":[],"Severity":"Critical","Resolution":"Make sure the CA certificate and private key are correct and retry the operation."}]}}

Opération de vérification de la connexion de migration

• Émis à et émis par : les noms des autorités de certification dans la chaîne entre chaque certificat source et cible ont les mêmes termes « délivré à » et « émis par ». Si ces noms ne correspondent pas, la source ou la cible ne peut pas vérifier que les mêmes autorités signataires ont émis les certificats. C’est essentiel pour respecter le cadre de sécurité Zero-Trust.

• Période de validité : vérifie la période de validité du certificat avec la date et l’heure de l’appliance.
• Profondeur maximale : vérifiez que la chaîne de certificats ne dépasse pas la profondeur maximale de 10 certificats feuilles.

Unable to mutually authenticate and connect to the remote appliance.
Please check the source and target appliances has valid certificate chain uploaded which are signed by the same CA.

Contourner les exigences relatives à la chaîne de certificats

S’il existe toujours des problèmes répondant aux exigences de la chaîne de certificats, une méthode prise en charge peut être utilisée pour tirer parti des certificats auto-signés. Procédez à l’utilisation de la fonctionnalité de sauvegarde et de restauration comme indiqué dans l’article suivant :

https://www.dell.com/support/kbdoc/en-us/000223239/openmanage-enterprise-administrators-may-run-across-several-errors-during-the-certificate-chain-upload-cgen1008-and-csec9002-report-challenges-in-procuring-a-certificate-chain-required-by-openmanage-enterprise-ome-4-0-x-for-the-migration-featur