Avamar - Dell Cloud Director Data Protection Extension (DPE) закриття статусу vcpsrv через недійсний сертифікат Cloud

Вимкнення служби VCP Manager BG
Service down
DPE не вдається підключитися до vCloud

Журнал менеджера VCP показує помилки сертифікації:

/var/log/vcp/vcp-manager.log 

2022-04-15 15:31:50,524 [main] ERROR (RestUtil.java:389) - null
javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX path building failed: java.security.cert.CertPathBuilderException: Could not build a validated path.
        at sun.security.ssl.Alert.createSSLException(Unknown Source) ~[?:1.8.0_301]
        at sun.security.ssl.TransportContext.fatal(Unknown Source) ~[?:1.8.0_301]

systemctl restart vcp-manager.service
sleep 30
vcp-cli srv update 
vcp-cli bg update 

Термін дії сертифіката закінчився або його замінено в хмарі, і DPE має імпортувати новий сертифікат Cloud.

Передумови:  Отримати облікові дані для файлу сховища ключів.  DPE завжди генерує випадкове сховище паролів, тому ми повинні використовувати наведену нижче команду з майстер-паролем клієнта, щоб отримати сховище ключів
   

vcp-cli credential list -p 

Приклад вихідних даних

# vcp-cli  credential list -p Changeme_1
getting credentials...
Success

credential:
   component: truststore
   url: /etc/vcp/truststore
   username:
   password: ZM1VnGwRZCLFrrNS

Крок 1
Перевірте поточні сертифікати в сховищі довіри на наявність хмарного сертифіката, подивіться на дати, щоб побачити, чи закінчився термін його дії, або подивіться на відбиток SHA1, щоб побачити, чи збігається він із поточним сертифікатом, застосованим до vcloud

 # vcp-cli certificate show-trust -a cloud 

Приклад виведення, який показує, що старий сертифікат vCloud наразі завантажено до сховища довіри з використанням хмарного псевдоніма 

Alias name: cloud
Creation date: Sep 8, 2021
Entry type: trustedCertEntry

[..]
Valid from: Wed Mar 24 09:32:46 EDT 2021 until: Sat Apr 23 09:32:45 EDT 2022
Certificate fingerprints:
MD5:  B0:E2:12:5D:46:4D:DC:09:FB:2C:EF:94:7D:29:EB:DF
SHA1: C4:0A:BE:56:D5:25:A1:49:00:94:9E:9D:46:FD:6F:64:1D:59:A7:E8       SHA256:40:67:86:D2:EE:58:72:24:E0:52:88:33:4E:C8:9E:44:9E:B0:24:EE:65:2E:AD:5C:D3:40:97:44:AD:04:48:3B

Зверніть увагу на відбиток пальця SHA1 і дати:У цьому прикладі в відбитку пальця є:
 C4:0A:BE:56:D5:25:A1:49:00:94:9E:9D:46:FD:6F:64:1D:59:A7:E8
У цьому прикладі сертифікат дійсний доти, доки:  Сб квітня 23 09:32:45 EDT 2022

Крок 2
Використовуйте нову команду keytool, щоб встановити TLS-з'єднання з хмарою та отримати відбиток пальця SHA1 

# keytool  -printcert -sslserver :443 -rfc | openssl x509 -noout -fingerprint -dates

Приклад виведення

SHA1 Fingerprint=94:2F:74:56:9C:19:61:2D:7E:24:60:4A:8A:2F:89:D7:31:34:19:A4
notBefore=Dec 29 18:59:49 2021 GMT
notAfter=Dec 29 18:59:49 2022 GMT

Якщо відбитки пальців не збігаються або дати не збігаються. потрібно оновити хмарний сертифікат на DPE.

Крок 3
Зробіть копію сховища довіри

cp -p /etc/vcp/truststore /etc/vcp/truststore-`date -I`.bkp

Крок 4
Для того, щоб замінити сертифікат у довірчому сховищі на DPE, спочатку видаліть старий сертифікат

keytool -delete  -alias cloud -keystore /etc/vcp/truststore -storepass  

Крок 5
Завантажте поточний сертифікат vCloud у новий файл: new_cloud_cert.crt 

keytool -printcert -rfc -sslserver :443 > new_cloud_cert.crt

Крок 6
Імпортування файлу сертифіката до сховища довіри

keytool -import -file new_cloud_cert.crt -alias cloud  -keystore /etc/vcp/truststore -storepass  

Крок 7
Повторіть команду з кроку 1 ще раз, щоб підтвердити, що інстальовано новий сертифікат 

 # vcp-cli certificate show-trust -a cloud 

Приклад виведення

Alias name: cloud 
Creation date: Jul 27, 2022
Entry type: trustedCertEntry

Owner: CN=vcd.example.lab
Issuer: CN=vcd.example.lab
Serial number: 7e29bef2a5652b7a
Valid from: Wed Dec 29 13:59:49 EST 2021 until: Thu Dec 29 13:59:49 EST 2022
Certificate fingerprints:
         MD5:  8A:5A:D1:09:AE:C8:D9:94:B6:B9:D3:A5:E9:BD:AA:07
         SHA1: 94:2F:74:56:9C:19:61:2D:7E:24:60:4A:8A:2F:89:D7:31:34:19:A4
         SHA256: 38:88:0F:5F:C1:8C:BB:F0:D9:64:40:72:D9:59:35:5E:2B:72:BB:50:2F:88:3B:B0:8D:4C:D5:16:56:35:19:E2

Примітка: 
Ця дата створення має бути сьогоднішньою, а дати відбитків пальців і сертифікатів SHA1 мають бути оновлені. 

Крок 8
Отримайте статус вузла, щоб отримати назви сервісів для BG і srv 

vcp-cli node status

Крок 9
Перезапустіть служби 

systemctl restart vcp-manager.service
sleep 30
vcp-cli srv stop  -p 
vcp-cli srv start  -p 
vcp-cli bg stop   -p 
vcp-cli bg start  -p 

Крок 10
Перевірте статуси

vcp-cli srv status
vcp-cli bg status