NetWorker：PBEパラメーター解析エラー: AES暗号のオブジェクト識別子が必要です

• NetWorker認証サービスの自己署名証明書は、CA署名付き証明書に置き換えられました。
  • NetWorker：「」の認証局署名済み証明書をインポートまたは置換する方法Authc」と「NWUI" (Linux)
  • NetWorker：「」の認証局署名済み証明書をインポートまたは置換する方法Authc」と「NWUI" (Windows)
• 証明書を置き換えた後、NetWorkerサーバー サービスの開始に失敗します。サービス起動中に、サーバー デーモン ログに次のエラーが報告されます。
  • Linuxの場合 /nsr/logs/daemon.raw
  • Windows(デフォルト): C:\Program Files\EMC NetWorker\nsr\logs\daemon.raw
  • NetWorker：使用方法 nsr_render_log .raw ログ ファイルをレンダリングするには

notice authservice: Caused by: java.io.IOException: PBE parameter parsing error: expecting the object identifier for AES cipher

自己署名証明書をCA署名証明書に置き換えるプロセスでは、 Java keytoolと OpenSSL証明書署名要求 (CSR) を生成し、PKCS12 (p12)ファイル

この問題は、次で使用される暗号化アルゴリズム間に互換性がないために発生します。 PKCS12 ファイルと Java keytool特に異なるバージョンのOpenSSLとJavaが関係している場合に、それらを解析する機能です

新しいOpenSSLバージョンでは、AES暗号化がデフォルトになる場合があります(例: AES-256-CBC)を呼び出します .p12 ファイル、秘密鍵と証明書の保護。これは、3DES などの古いアルゴリズムよりも安全です

古いバージョンのJava(8u291以前)は、AES暗号化をサポートしていません 。 PKCS12 ファイル。彼らは、暗号化が次のような古いアルゴリズムを使用することを期待しています。

• PBEWithSHAAnd3KeyTripleDES
• PBEWithSHAAndRC2_40

したがって、Java keytool インポートを試みます .p12 AESで暗号化されたファイルの場合、AESのオブジェクト識別子(OID)を認識しないため、パスワードベースの暗号化(PBE)パラメーターの解析に失敗します

この問題は、サーバーにJavaのインスタンスが複数インストールされている場合にも発生する可能性があります。たとえば、NetWorkerがNRE(NetWorker Runtime Environment)を使用するように構成され、NetWorkerバージョンでサポートされている最新のNREバージョンに更新されるとします。ただし、サーバーには古いバージョンのJava Runtime Environment (JRE)もインストールされています。ここで、 keytool 古いバージョンが使用されていたコマンドを使用すると、 .p12 ファイルとNetWorkerが使用する証明書ストア。

1. NetWorkerはNRE(NetWorkerランタイム環境)を使用するように構成することを強くお勧めします。NetWorkerがNREを使用するように構成されていること、およびNREがNetWorkerリリースでサポートされている最新バージョンに定期的に更新されていることを確認します。

• • NetWorker 19.12以前: NRE 8.0.x
  • NetWorker 19.13以降: NRE 17.0.x
  • NetWorker Runtime Environment (NRE): 概要とインストール 

2. NetWorker自己署名証明書を置き換える手順に従う場合は、NREキーツールへのフル パスを指定するか、コマンド シェルで変数を使用してパスを設定します。

Linuxの場合 java_bin=/opt/nre/java/latest/bin
Windowsの場合： set java_bin="C:\Program Files\NRE\java\jre#.#.#_###\bin"

それ以降のすべて keyool 次に、変数を呼び出すことによってコマンドが実行されます。

Linuxの場合 $java_bin/keytool OPTIONS
Windowsの場合： %java_bin%\keytool OPTIONS

完全なプロセスについては、次のOS固有の記事に記載されています。

• NetWorker：「」の認証局署名済み証明書をインポートまたは置換する方法Authc」と「NWUI" (Linux)
• NetWorker：「」の認証局署名済み証明書をインポートまたは置換する方法Authc」と「NWUI" (Windows)