Dell Unity:Unity管理SSL証明書を手動で更新する方法

Unity管理SSL証明書は、システムの初期構成時に自動的に生成され、通常は有効期限が切れる前に自動的に更新されます。自動更新が行われない場合は、Unisphereユーザー インターフェイス(UI)またはUnityコマンド ライン インターフェイス(CLI)を使用して証明書を手動で更新できます。

Unisphere UIを使用した証明書の更新

1. Unisphereで、
   Settings → Management→Unisphere IP Addressに移動します。
2. システムのホスト名を一時的な名前に変更し、 Applyをクリックします。
   • 操作が完了し、Unisphereが再び使用可能になるまで待ちます。
   • 新しいSSL証明書は、一時ホスト名を使用して生成されます。
3. Unisphereに再度ログインします。
4. ホスト名を元の値に戻し、 Applyをクリックします。
   • 操作が完了すると、Unityは元のホスト名と更新された有効期限を含む新しいSSL証明書を生成します。

Unity CLIを使用した証明書の更新 

続行する前に、Unisphereから次の情報を記録します。

• 管理IPアドレス
• サブネット マスク
• デフォルトゲートウェイ
• システムのホスト名

既存の管理IPアドレスを保持するには、更新プロセスを次の2回実行する必要があります。

• まず、一時ホスト名を割り当てます。
• 次に、元のホスト名をリストアします。

ステップ1:ホスト名を一時的な値に変更する

SSHを使用してUnityサービス アカウントにログインし、次のコマンドを実行します。

svc_initial_config -4 "IP_ADDRESS SUBNET_MASK IP_GATEWAY" -f hostnameA

手順2:元のホスト名を復元する

最初の操作が完了したら、次のコマンドを実行します。

svc_initial_config -4 "IP_ADDRESS SUBNET_MASK IP_GATEWAY" -f hostnameShow more lines

正常に実行されると、ホスト名が更新され、管理SSL証明書の再生成がトリガーされます。

正常なホスト名変更の例:

09:28:47 service@VSA-spa spa:~> svc_initial_config -4 "IP_ADDRESS SUBNET_MASK IP_GATEWAY" -f vm3195
Attempting to set friendly name to <vm3195>
Successfully set friendly name to <vm3195>
Validating address IP.xxx.xx.xxx format ... Pass
Validating address GW.xxx.xx.xxx format ... Pass
Validating address Subnet.xxx.xx.xxx format ... Pass
Validating IP and Gateway subnet with Mask ... Pass
Successfully configured network with parameters <static IP_ADDRESS SUBNET_MASK IP_GATEWAY>

トラブルシューティング

次のファイルが存在する場合、証明書の自動更新と手動更新が失敗することがあります。

/EMC/backend/CEM/ssl/.doNotGenerateCert

次のコマンドを実行して、その存在を確認します。

ls -al /EMC/backend/CEM/ssl/

プロファイルエディタで .doNotGenerateCert が存在する場合、証明書の生成はブロックされます。

例:

18:45:22 service@xxx spb:~/user# ls -al /EMC/backend/CEM/ssl/
total 40
drwxr-xr-x  2 root root 4096 Jul  2 19:13 .
drwxr-xr-x 21 ecom c4   4096 Apr  9 01:21 ..
-rw-r--r--  1 root root   90 May 31  2025 .doNotGenerateCert     <<<<<<<<<<<<<<<<<<<
-r--r--r--  1 root root 9060 Jul  2 19:13 cert_config.cnf
-rw-r--r--  1 root root   41 Apr  3  2025 currentSubjectAltName
-rw-------  1 ecom root 1679 May 31  2025 ecomtls-rsa.pk
-rw-r--r--  1 root root 2086 May 31  2025 ecomtls.crt
-rw-------  1 root root 1704 May 31  2025 ecomtls.pk

解像度

「Fusion」 .doNotGenerateCert ファイルが存在します。 Dellテクニカル サポート にお問い合わせの上、この記事IDを伝えてください。サポートは、手動でのSSL証明書の更新を正常に完了できるように、ファイルの名前の変更を支援できます。

『Dell Unity Family Security Configuration Guide 5.5.3』(登録済みDellサポート ユーザーとしてログインする必要があります)

[上記文書の37ページより抜粋]

ストレージ システムは、最初の初期化時に自己署名証明書を自動的に生成します。証明書はNVRAMとバックエンドLUNの両方に保存されます。その後、クライアントが管理ポートを介してストレージ システムに接続しようとすると、ストレージ システムはそれをクライアントに提示します。 

証明書は 3 年後に期限切れになるように設定されています。ただし、ストレージ システムは、有効期限日の1か月前に証明書を再生成します。また、を使用して新しい証明書をアップロードすることもできます。 svc_custom_cert service でアラートをクリアするには、手動のステップが必要です。このコマンドは、指定したSSL証明書をにインストールします PEM Unisphere管理インターフェイスで使用するための形式。このサービス コマンドの詳細については、『サービス コマンド テクニカル ノート』を参照してください。UnisphereまたはUnisphere CLIを使用して証明書を表示することはできません。ただし、ブラウザー クライアントまたは管理ポートへの接続を試行するWebツールを使用して証明書を表示することができます。

 

メモ： アレイが FIPS モードで、証明書がアレイ外に生成されます。 PEM フォーマットの場合、秘密鍵は PKCS#1 形式。OpenSSLコマンドを使用して、この変換を実行できます。一旦 .cer および .pk ファイルが生成されます。のアレイで証明書を使用する場合は、この追加の手順が必要です。 FIPS できます。

 

一部の組織では、セキュリティを強化するため、CA証明書チェーンを使用しています。証明書チェーンにより、2個以上のCA証明書がリンクされます。プライマリCA証明書は、CA証明書チェーンの終端に位置するルート証明書です。システムは、受信した証明書の信頼性を検証するために完全な証明書チェーンを必要とするため、証明書チェーンが使用されているかどうかをディレクトリー サーバー管理者に問い合わせます。使用されている場合は、関連するすべての証明書を単一のファイルに連結して、そのバージョンをアップロードする必要があります。証明書は PEM/Base64 encoded format 接尾辞を使用します .cer。

SSL証明書の有効期限を確認する方法

証明書の有効期限は、次のコマンドで確認できます。 

uemcli -u <Unisphere login ID> -p <Unisphere login PW> /sys/cert show

チェック "Valid to" 日付。SSL証明書の有効期限が表示されます。

証明書の有効期限は、Webブラウザーを使用して確認することもできます。

1. Google Chromeを開き、Unisphere UIにアクセスします。
2. Chromeメニューを開き、[ その他のツール] > [開発者ツール]を選択します。
3. Securityタブを選択し、View Certificateをクリックします。
4. 有効期限フィールドを確認して、証明書の有効期限を確認します。