Avamar: Come reimpostare i certificati a causa di una scadenza o di una configurazione errata

Riepilogo: Come reimpostare i certificati a causa di una scadenza o di una configurazione errata.

Questo articolo si applica a Questo articolo non si applica a Questo articolo non è legato a un prodotto specifico. Non tutte le versioni del prodotto sono identificate in questo articolo.
Scopri le altre risorse

Istruzioni

Caso d'uso: 

  • I servizi Avamar sono inattivi e non possono essere attivati a causa di certificati scaduti o di configurazione errata dei certificati.
  • Rigenerare i certificati on-demand.
Nota: La rigenerazione degli archivi chiavi e l'aggiornamento dell'archivio certificati Data Domain possono essere eseguiti automaticamente con lo strumento GoAV.

Consultare questo articolo Avamar 19.3+: Controllo integrità del keystore di protezione GoAV, correzione, rigenerazione e visualizzazione delle operazioni

./goav security keystore regenerate

Controllare le date di scadenza del certificato:

Accedere tramite SSH ad Avamar Utility Node come admin, quindi passare a root.

su - root

Se la versione di Avamar è 19.4 e precedente, eseguire il comando seguente:

storepath=/home/admin/.keystore

Se la versione di Avamar è 19.7 e successive, eseguire il seguente comando:

storepath=/home/tomcat/.keystore

Eseguire il seguente comando per stampare le date di scadenza del certificato.

storepass=`ask_pass -r keystore_passphrase` && echo "MC Root certificates: " && keytool -list -keystore /usr/local/avamar/lib/avamar_keystore -storepass $storepass -v | egrep "Alias name|Valid from" && echo && echo "MCSDK certificate: " && keytool -list -keystore /usr/local/avamar/lib/rmi_ssl_keystore -storepass $storepass -v | egrep "Alias name|Valid from" && echo && echo "Admin/DTLT certificate: " && keytool -list -alias tomcat -keystore $storepath -storepass $storepass -v | egrep "Alias name|Valid from" && echo && echo "Avi certificate: " && keytool -list -alias tomcat -keystore /usr/local/avamar/lib/avi/avi_keystore -storepass $storepass -v | egrep "Alias name|Valid from" && echo && echo "Apache certificate: " && openssl x509 -in /etc/apache2/ssl.crt/server.crt -noout -dates
  1. Arrestare i servizi Avamar.
dpnctl stop mcs,emt,avi
  1. Rigenerare i certificati radice Management Console Service (MCS):
     
Avvertenza: Questo passaggio aggiorna tutti i certificati root MCS. Questi certificati devono essere aggiornati solo se sono scaduti o stanno per scadere. Influisce sui backup client, sui ripristini e sulla replica se è abilitata la protezione della sessione. I passaggi 9 e 10 devono essere eseguiti dopo questa attività per evitare errori.

Rigenera /usr/local/avamar/lib/avamar_keystore

mv /usr/local/avamar/lib/avamar_keystore /usr/local/avamar/lib/avamar_keystore-$(date -I)
mcrootca all
  1. Rigenerare i certificati MCSDK (MCS Developer Kit):
     
Nota: In questo modo viene aggiornato l'archivio chiavi RMI Avamar contenente il certificato MCSDK e la chiave di firma JWT. Il certificato MCSDK gestisce le comunicazioni RMI (Remote Method Invocation) Java con Data Protection Central (DPC), Avamar Administrator Console, Proxy Deployment Manager (PDM) e Client Manager (AAM). Eseguire la procedura quando il certificato MCSDK è scaduto, sta per scadere o è configurato in modo errato.
 
Rigenera /usr/local/avamar/lib/rmi_ssl_keystore. 
mv /usr/local/avamar/lib/rmi_ssl_keystore /usr/local/avamar/lib/rmi_ssl_keystore-$(date -I)
keytool -genkeypair -v -alias mcssl -keyalg RSA -sigalg SHA512withRSA -keysize 3072 -keystore /usr/local/avamar/lib/rmi_ssl_keystore -validity 3650 -dname "CN=$(hostname -f), OU=Avamar, O=DELL-EMC, L=Irvine, ST=California, C=US" -storepass `ask_pass -r keystore_passphrase` -keypass `ask_pass -r keystore_passphrase` -noprompt
keytool -genkeypair -v -alias mcjwt -keyalg RSA -sigalg SHA512withRSA -keysize 3072 -keystore /usr/local/avamar/lib/rmi_ssl_keystore -validity 3650 -dname "CN=$(hostname -f), OU=Avamar, O=DELL-EMC, L=Irvine, ST=California, C=US" -storepass `ask_pass -r keystore_passphrase` -keypass `ask_pass -r keystore_passphrase` -noprompt
chown root:admin /usr/local/avamar/lib/rmi_ssl_keystore
chmod 660 /usr/local/avamar/lib/rmi_ssl_keystore
  1. Rigenerare i certificati Tomcat:
L'archivio chiavi Tomcat archivia i certificati Tomcat.
In Avamar versione 19.4 e precedenti, la posizione dell'archivio chiavi Tomcat è:

/home/admin/.keystore

Su Avamar versione 19.7 e successive, la posizione dell'archivio chiavi Tomcat è:

/home/tomcat/.keystore

 

Nota: Se i certificati MCSDK sono stati rigenerati nel passaggio 3, devono essere rigenerati anche i certificati Tomcat.


Se la versione di Avamar è 19.4 o precedente, eseguire il seguente comando:

TOMCAT_KEYSTORE=/home/admin/.keystore

Se la versione di Avamar è 19.7 o successiva, eseguire il comando seguente:

TOMCAT_KEYSTORE=/home/tomcat/.keystore

Rigenerare l'archivio chiavi Tomcat:

mv $TOMCAT_KEYSTORE /home/admin/tomcat_keystore.bak
keytool -genkeypair -v -alias tomcat -keyalg RSA -sigalg SHA256withRSA -keysize 3072 -keystore $TOMCAT_KEYSTORE -storepass $(avlockbox.sh -r keystore_passphrase) -validity 3650 -dname "CN=$(hostname -f), OU=Dell EMC, O=Dell Technologies, L=Irvine, ST=California, C=US"
keytool -export -file /tmp/mcssl.pem -alias mcssl -keystore /usr/local/avamar/lib/rmi_ssl_keystore -storepass $(avlockbox.sh -r keystore_passphrase)
keytool -import -file /tmp/mcssl.pem -alias mcssl -keystore $TOMCAT_KEYSTORE -storepass $(avlockbox.sh -r keystore_passphrase)

Aggiornare le autorizzazioni e la proprietà del keystore.
19.4 e precedenti:

chmod 740 $TOMCAT_KEYSTORE
chown admin:admin $TOMCAT_KEYSTORE

19.7 e versioni successive:

chmod 640 $TOMCAT_KEYSTORE
chown root:tomcat $TOMCAT_KEYSTORE
  1. Rigenerare i certificati AVI (Avamar Installer):
     
Nota: Se i certificati MCSDK sono stati rigenerati nel passaggio 3, è necessario rigenerare anche i certificati AVI.

Rigenera /usr/local/avamar/lib/avi/avi_keystore

mv /usr/local/avamar/lib/avi/avi_keystore /usr/local/avamar/lib/avi/avi_keystore-$(date -I)
gen-ssl-cert --norestart --noupdateapache --updateavi --keystorepwd=$(avlockbox.sh -r keystore_passphrase) --verbose
keytool -export -file /tmp/mcssl.pem -alias mcssl -keystore /usr/local/avamar/lib/rmi_ssl_keystore -storepass $(avlockbox.sh -r keystore_passphrase)
keytool -import -file /tmp/mcssl.pem -alias mcssl -keystore /usr/local/avamar/lib/avi/avi_keystore -storepass $(avlockbox.sh -r keystore_passphrase)
chmod 644 /usr/local/avamar/lib/avi/avi_keystore
chown avi:avi /usr/local/avamar/lib/avi/avi_keystore

I passaggi precedenti riavviano automaticamente il servizio Avamar Installer (AVI).
 

  1. Rigenerare i certificati Apache:
     

I certificati Apache vengono archiviati come normali file di certificato formattati in formato PEM (Privacy Enhanced Mail).
In Goav versione 1.84 e successive, rigenerare i certificati Apache con il seguente comando.

./goav security certificate apache regenerate

In alternativa, utilizzare lo script seguente su Avamar per impostazione predefinita.

gen-ssl-cert --updateapache --noupdateavi --keystorepwd=$(avlockbox.sh -r keystore_passphrase) --verbose
  1. Rigenerare i certificati GSAN (Global Storage Area Network):
     
Nota: Se i certificati radice MCS sono stati rigenerati nel passaggio 2, il certificato GSAN deve essere rigenerato. 
enable_secure_config.sh --certs
  1. Avviare i servizi Avamar:
dpnctl start mcs,emt
  1. Aggiornare l'archivio certificati Data Domain (DD):
     
Nota: L'archivio certificati DD deve essere aggiornato se i certificati root MCS sono stati rigenerati nel passaggio 2.

L'articolo seguente illustra la procedura manuale per aggiornare l'archivio certificati DD.

Vedere il passaggio 1 dell'articolo | Integrazione di Avamar e Data Domain: DD mostra il rosso in Avamar AUI e/o nell'interfaccia utente Percorso

di risoluzioneIn alternativa, utilizzare l'articolo seguente per aggiornare automaticamente l'archivio certificati DD utilizzando lo strumento GoAV | Avamar: informazioni sulla funzione dd check-ssl dello strumento Goav

./goav dd check-ssl --fix
  1. Registrare nuovamente i client e i proxy VMware.
     
Nota: Se il certificato root MCS è stato rigenerato nel passaggio 2, i client basati su agent e i proxy VMware devono essere registrati nuovamente.

Registrare nuovamente i client basati su agente.

mccli client re-register-all

Registrare nuovamente i proxy VMware riavviandoli centralmente da Avamar.

mccli mcs reboot-proxy --all
  1. Generare un nuovo set di certificati client per avtar, se presente.
    1. Se il certificato GSAN è stato rigenerato (passaggio 7), verificare se il certificato client è presente in /usr/local/avamar/etc and /usr/local/avamar/etc/client.
cd /usr/local/avamar/etc/$(hostname -i)
cd /usr/local/avamar/etc/client/$(hostname -i)
    1. Se l'output mostra "No such file or directory", significa che Avamar non utilizza il certificato client. Controllare entrambe le directory:
root@av-server:~/#: cd /usr/local/avamar/etc/$(hostname -i)
root@av-server:/usr/local/avamar/etc/192.168.1.113/#:

root@av-server:~/#: cd /usr/local/avamar/etc/client/$(hostname -i)
-bash: cd: /usr/local/avamar/etc/client/192.168.1.113: No such file or directory
root@av-server:~/#:
    1. Rimuovere la directory del certificato client come root solo per le directory esistenti nel passaggio 11a.

 

AVVERTENZA: COPIARE I COMANDI RIPORTATI DI SEGUITO COSÌ COME SONO. NON MODIFICARLI.

 

rm -r /usr/local/avamar/etc/$(hostname -i)
rm -r /usr/local/avamar/etc/client/$(hostname -i)
    1. Generare un nuovo set di certificati client per avtar solo per le directory esistenti nel passaggio 11.1.
avagent.bin --gencerts=true --mcsaddr=$(hostname -i)
avagent.bin --gencerts=true --mcsaddr=$(hostname -i) --sysdir=/usr/local/avamar/etc/client
    1. Testare una connessione per verificare se avtar è in grado di connettersi a GSAN:
avtar --backups --path=/MC_BACKUPS --count=5 --encrypt=tls
  1. Avviare l'utilità di pianificazione dei backup e testare i backup.
dpnctl start sched
  1. Eseguire la verifica dopo le modifiche.
  • Esecuzione di un backup di prova
  • Eseguire una ricerca di backup per il ripristino

Prodotti interessati

PowerProtect Data Protection Appliance, Avamar Server, Data Domain

Prodotti

Avamar Virtual Edition
Proprietà dell'articolo
Numero articolo: 000188770
Tipo di articolo: How To
Ultima modifica: 12 ago 2025
Versione:  21
Trova risposta alle tue domande dagli altri utenti Dell
Support Services
Verifica che il dispositivo sia coperto dai Servizi di supporto.