Avamar - Dell Cloud Director Data Protection Extension (DPE) vcpsrv status afsluiten vanwege ongeldig cloudcertificaat

VCP Manager Service shutdown
BG Service down
DPE unable to connect to vCloud

VCP manager log shows cert errors:

/var/log/vcp/vcp-manager.log 

2022-04-15 15:31:50,524 [main] ERROR (RestUtil.java:389) - null
javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX path building failed: java.security.cert.CertPathBuilderException: Could not build a validated path.
        at sun.security.ssl.Alert.createSSLException(Unknown Source) ~[?:1.8.0_301]
        at sun.security.ssl.TransportContext.fatal(Unknown Source) ~[?:1.8.0_301]

systemctl restart vcp-manager.service
sleep 30
vcp-cli srv update <srv-service-name from step 8>
vcp-cli bg update <bg service name from step 8>

Het certificaat is verlopen of vervangen in de cloud en de DPE moet het nieuwe cloudcertificaat importeren.

Vereisten:  Verkrijg referenties voor het Keystore-bestand.  DPE genereert altijd een willekeurige wachtwoord-keystore, dus we moeten de onderstaande opdracht gebruiken met het masterwachtwoord van de klant om keystore te verkrijgen
   

vcp-cli credential list -p <master_password>

voorbeeld van uitvoer

# vcp-cli  credential list -p Changeme_1
getting credentials...
Success

credential:
   component: truststore
   url: /etc/vcp/truststore
   username:
   password: ZM1VnGwRZCLFrrNS

Stap 1
Controleer de huidige certificaten in de truststore voor het Cloud-certificaat, kijk op de datums om te zien of het certificaat is verlopen, of bekijk de SHA1-vingerafdruk om te zien of het overeenkomt met het huidige certificaat dat is toegepast op de vcloud

 # vcp-cli certificate show-trust -a cloud 

Voorbeelduitvoer die aangeeft dat het oude vCloud-certificaat momenteel wordt geladen in de truststore met behulp van aliascloud 

Alias name: cloud
Creation date: Sep 8, 2021
Entry type: trustedCertEntry

[..]
Valid from: Wed Mar 24 09:32:46 EDT 2021 until: Sat Apr 23 09:32:45 EDT 2022
Certificate fingerprints:
MD5:  B0:E2:12:5D:46:4D:DC:09:FB:2C:EF:94:7D:29:EB:DF
SHA1: C4:0A:BE:56:D5:25:A1:49:00:94:9E:9D:46:FD:6F:64:1D:59:A7:E8       SHA256:40:67:86:D2:EE:58:72:24:E0:52:88:33:4E:C8:9E:44:9E:B0:24:EE:65:2E:AD:5C:D3:40:97:44:AD:04:48:3B

Let op de SHA1-vingerafdruk en -datums:
In dit voorbeeld in vingerafdruk is: C4:0A:BE:56:D5:25:A1:49:00:94:9E:9D:46:FD:6F:64:1D:59:A7:E8
In dit voorbeeld is het certificaat geldig tot:  Za 23 apr 2022 09:32:45 EDT 2022

Stap 2
Gebruik de nieuwe keytool-opdracht om een TLS-verbinding met de cloud te maken en de SHA1-vingerafdruk te verkrijgen 

# keytool  -printcert -sslserver <cloud director hostname or ip>:443 -rfc | openssl x509 -noout -fingerprint -dates

Voorbeeld van uitvoer

SHA1 Fingerprint=94:2F:74:56:9C:19:61:2D:7E:24:60:4A:8A:2F:89:D7:31:34:19:A4
notBefore=Dec 29 18:59:49 2021 GMT
notAfter=Dec 29 18:59:49 2022 GMT

Als de vingerafdrukken niet overeenkomen of als de datums niet overeenkomen. moet u het cloudcertificaat op de DPE bijwerken.

Stap 3
Maak een kopie van de truststore

cp -p /etc/vcp/truststore /etc/vcp/truststore-`date -I`.bkp

Stap 4
Om het certificaat in het vertrouwensarchief op DPE te vervangen, verwijdert u eerst het oude certificaat

keytool -delete  -alias cloud -keystore /etc/vcp/truststore -storepass <keystore_passphrase> 

Stap 5
Download het huidige vCloud-certificaat naar een nieuw bestand: new_cloud_cert.crt 

keytool -printcert -rfc -sslserver <Cloud_hostname>:443 > new_cloud_cert.crt

Stap 6
Importeer het certificaatbestand naar de truststore

keytool -import -file new_cloud_cert.crt -alias cloud  -keystore /etc/vcp/truststore -storepass <keystore_passphrase> 

Stap 7
Herhaal de opdracht uit stap 1 opnieuw om te bevestigen dat er een nieuw certificaat is geïnstalleerd 

 # vcp-cli certificate show-trust -a cloud 

Voorbeeld van uitvoer

Alias name: cloud 
Creation date: Jul 27, 2022
Entry type: trustedCertEntry

Owner: CN=vcd.example.lab
Issuer: CN=vcd.example.lab
Serial number: 7e29bef2a5652b7a
Valid from: Wed Dec 29 13:59:49 EST 2021 until: Thu Dec 29 13:59:49 EST 2022
Certificate fingerprints:
         MD5:  8A:5A:D1:09:AE:C8:D9:94:B6:B9:D3:A5:E9:BD:AA:07
         SHA1: 94:2F:74:56:9C:19:61:2D:7E:24:60:4A:8A:2F:89:D7:31:34:19:A4
         SHA256: 38:88:0F:5F:C1:8C:BB:F0:D9:64:40:72:D9:59:35:5E:2B:72:BB:50:2F:88:3B:B0:8D:4C:D5:16:56:35:19:E2

Opmerking: 
Deze aanmaakdatum zou vandaag moeten zijn en SHA1-vingerafdruk- en certificaatdatums moeten worden bijgewerkt. 

Stap 8
De knooppuntstatus ophalen om de servicenamen voor BG en srv te verkrijgen 

vcp-cli node status

Stap 9
Start de services opnieuw op 

systemctl restart vcp-manager.service
sleep 30
vcp-cli srv stop <srv-service-name> -p <master password>
vcp-cli srv start <srv-service-name> -p <master password>
vcp-cli bg stop <bg service name>  -p <master password>
vcp-cli bg start <bg service name> -p <master password>

Stap 10
Controleer de statussen

vcp-cli srv status
vcp-cli bg status