Felsökning av de problem med certifikatkedjan som krävs för OpenManage Enterprise-migrering

• Certifikat = CA-signerat certifikat (fristående)
• Certifikatkedja = CA-signerat certifikat + mellanliggande CA-certifikat (om sådant finns) + rotcertifikatutfärdarcertifikat

Krav på certifikatkedja för migrering 

1. Nyckelmatchningar för begäran om certifikatsignering – Under överföringen av certifikatet kontrolleras CSR-nyckeln (Certificate Signing Request). OpenManage Enterprise stöder endast uppladdning av certifikat som begärs med hjälp av CSR (Certificate Signed Request) av enheten. Den här valideringskontrollen utförs under en uppladdning för både ett enskilt servercertifikat och en certifikatkedja.
2. Certifikatkodning – Certifikatfilen kräver Base 64-kodning. Se till att Base 64-kodning används när du sparar det exporterade certifikatet från certifikatutfärdaren, annars anses certifikatfilen vara ogiltig.
3. Verifiera förbättrad nyckelanvändning för certifikat – Kontrollera att nyckelanvändning är aktiverad för både serverautentisering och klientautentisering. Detta beror på att migreringen är tvåvägskommunikation mellan både källan och målet där båda kan fungera som en server och en klient under informationsutbytet. För enskilda servercertifikat krävs endast serverautentiseringen.
4. Certifikatet är aktiverat för nyckelchiffrering – Certifikatmallen som används för att generera certifikatet måste innehålla nyckelchiffrering. Detta säkerställer att nycklarna i certifikatet kan användas för att kryptera kommunikationen.
5. Certifikatkedja med rotcertifikat – Certifikatet innehåller den fullständiga kedjan som innehåller rotcertifikatet. Detta krävs för källan och målet för att säkerställa att båda är betrodda. Rotcertifikatet läggs till i varje enhets betrodda rotarkiv. VIKTIGT! OpenManage Enterprise har stöd för högst tio ledande certifikat i certifikatkedjan.
6. Utfärdat till och utfärdat av – Rotcertifikatet används som förtroendeankare och används sedan för att verifiera alla certifikat i kedjan mot det förtroendeankaret. Kontrollera att certifikatkedjan innehåller rotcertifikatet.

Överföringsåtgärd för certifikatkedja

• CGEN1008 – Det gick inte att bearbeta begäran eftersom ett fel uppstod
• CSEC9002 – Det går inte att ladda upp certifikatet eftersom den angivna certifikatfilen är ogiltig.

CGEN1008 – Det gick inte att bearbeta begäran eftersom ett fel inträffade.

CGEN1008 - Unable to process the request because an error occurred.
Retry the operation. If the issue persists, contact your system administrator.

• Ogiltig CSR-nyckel för certifikatkedjan
  • Kontrollera att certifikatet har genererats med CSR från OpenManage Enterprise-webbgränssnittet. OpenManage Enterprise stöder inte överföring av certifikat som inte har genererats med CSR från samma enhet.
  • Följande fel visas i tomcat-programloggen som finns i konsolloggpaketet:

./tomcat/application.log

[ERROR] 2024-01-25 11:10:34.735 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-10] SSLController - uploadNewCertificateChain():
 Error uploading certificate chain: {"error":{"code":"Base.1.0.GeneralError",
"message":"A general error has occurred. See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CGEN1008","RelatedProperties":[],
"Message":"Unable to process the request because an error occurred.",
"MessageArgs":["Invalid CSR key."],
"Severity":"Critical","Resolution":"Retry the operation. If the issue persists, contact your system administrator."}]}}

• Ogiltig certifikatkedja
  • Rotcertifikatet och alla mellanliggande certifikatutfärdares certifikat måste inkluderas i certifikatet.
  • Följande fel visas i tomcat-programloggen som finns i konsolloggpaketet:

./tomcat/application.log

[ERROR] 2024-01-25 11:04:56.396 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-1] SSLController - uploadNewCertificateChain():
 Error uploading certificate chain: {"error":{"code":"Base.1.0.GeneralError",
"message":"A general error has occurred. See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CGEN1008","RelatedProperties":[],
"Message":"Unable to process the request because an error occurred.",
"MessageArgs":["Invalid certificate chain provided."],
"Severity":"Critical","Resolution":"Retry the operation. If the issue persists, contact your system administrator."}]}}

• Inget eget namn hittades i lövcertifikatet – Alla certifikat måste innehålla de gemensamma namnen och får inte innehålla några jokertecken (*).

CGEN6002 - Unable to complete the request because the input value for DistinguishedName is missing or an invalid value is entered.

 

• Ingen utökad nyckelanvändning för klient- och serverautentisering (EKU) finns i lövcertifikatet
  • Certifikatet måste innehålla både server- och klientautentisering för utökad nyckelanvändning.
  • Följande fel visas i tomcat-programloggen som finns i konsolloggpaketet:

./tomcat/application.log

[ERROR] 2024-01-25 10:56:54.175 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-17] SSLController - uploadNewCertificateChain():
 Error uploading certificate chain: {"error":{"code":"Base.1.0.GeneralError",
"message":"A general error has occurred. See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CGEN1008","RelatedProperties":[],
"Message":"Unable to process the request because an error occurred.",
"MessageArgs":["No Client/Server authentication EKU present in leaf certificate."],
"Severity":"Critical","Resolution":"Retry the operation. If the issue persists, contact your system administrator."}]}}

• Granska certifikatinformationen för förbättrad nyckelanvändning. Om någon av dem saknas kontrollerar du att mallen som används för att generera certifikatet är aktiverad för båda.

 

• Nyckelchiffrering saknas för nyckelanvändning
  • Certifikatet som laddas upp måste ha nyckelchiffreringen listad för nyckelanvändning.
  • Följande fel visas i tomcat-programloggen som finns i konsolloggpaketet:

./tomcat/application.log

[ERROR] 2024-01-25 11:01:01.475 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-3] SSLController - uploadNewCertificateChain():
 Error uploading certificate chain: {"error":{"code":"Base.1.0.GeneralError","message":"A general error has occurred.
 See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CGEN1008","RelatedProperties":[],
"Message":"Unable to process the request because an error occurred.",
"MessageArgs":["User Certificate is not a web server certificate."],
"Severity":"Critical","Resolution":"Retry the operation. If the issue persists, contact your system administrator."}]}}

• Granska certifikatinformationen för nyckelanvändning. Kontrollera att mallen som används för att generera certifikatet har nyckelkryptering aktiverad.

 
 

CSEC9002 – Det går inte att ladda upp certifikatet eftersom den angivna certifikatfilen är ogiltig.

CSEC9002 - Unable to upload the certificate because the certificate file provided is invalid.
Make sure the CA certificate and private key are correct and retry the operation.

• Nyckelchiffrering för servercertifikat saknas
  • Kontrollera att mallen som används för att generera certifikatet har nyckelkryptering aktiverad. När du använder ett certifikat för migrering ska du se till att hela certifikatkedjan laddas upp i stället för det enskilda servercertifikatet.
  • Följande fel visas i tomcat-programloggen som finns i konsolloggpaketet:

./tomcat/application.log

[ERROR] 2024-01-29 08:03:05.200 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-3] SSLController - {"error":{"code":"Base.1.0.GeneralError",
"message":"A general error has occurred. See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CSEC9002","RelatedProperties":[],
"Message":"Unable to upload the certificate because the certificate file provided is invalid.",
"MessageArgs":[],"Severity":"Critical","Resolution":"Make sure the CA certificate and private key are correct and retry the operation."}]}}

• Certifikatfilen innehåller fel kodning
  • Kontrollera att certifikatfilen sparades med Base 64-kodning.
  • Följande fel visas i tomcat-programloggen som finns i konsolloggpaketet:

./tomcat/application.log

[ERROR] 2024-01-29 08:03:05.200 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-3] SSLController - {"error":{"code":"Base.1.0.GeneralError",
"message":"A general error has occurred. See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CSEC9002","RelatedProperties":[],
"Message":"Unable to upload the certificate because the certificate file provided is invalid.",
"MessageArgs":[],"Severity":"Critical","Resolution":"Make sure the CA certificate and private key are correct and retry the operation."}]}}

Verifiering av migreringsanslutning

• Utfärdat till och utfärdat av – Namnen på certifikatutfärdarna i kedjan mellan varje käll- och målcertifikat har samma "utfärdat till" och "utfärdat av". Om dessa namn inte matchar kan källan eller målet inte verifiera att samma signeringsutfärdare har utfärdat certifikaten. Detta är avgörande för att följa Zero-Trust-säkerhetsramverket.

• Giltighetsperiod – kontrollerar certifikatets giltighetsperiod med datum och tid för installationen.
• Maximalt djup – kontrollera att certifikatkedjan inte överskrider det maximala djupet på 10 lövcertifikat.

Unable to mutually authenticate and connect to the remote appliance.
Please check the source and target appliances has valid certificate chain uploaded which are signed by the same CA.

Kringgå krav på certifikatkedja

Om det fortfarande finns problem med att uppfylla kraven för certifikatkedjan finns det en metod som stöds och som kan användas för att utnyttja de självsignerade certifikaten. Fortsätt med att använda funktionen för säkerhetskopiering och återställning enligt beskrivningen i följande artikel:

https://www.dell.com/support/kbdoc/en-us/000223239/openmanage-enterprise-administrators-may-run-across-several-errors-during-the-certificate-chain-upload-cgen1008-and-csec9002-report-challenges-in-procuring-a-certificate-chain-required-by-openmanage-enterprise-ome-4-0-x-for-the-migration-featur