Avamar - Geçersiz Bulut sertifikası nedeniyle Dell Cloud Director Data Protection Extension (DPE) vcpsrv durumunun kapanması

VCP Manager Service kapanması
BG Hizmeti kapalı
DPE, vCloud'a bağlanamıyor

VCP yöneticisi günlüğü, sertifika hataları gösteriyor:

/var/log/vcp/vcp-manager.log 

2022-04-15 15:31:50,524 [main] ERROR (RestUtil.java:389) - null
javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX path building failed: java.security.cert.CertPathBuilderException: Could not build a validated path.
        at sun.security.ssl.Alert.createSSLException(Unknown Source) ~[?:1.8.0_301]
        at sun.security.ssl.TransportContext.fatal(Unknown Source) ~[?:1.8.0_301]

systemctl restart vcp-manager.service
sleep 30
vcp-cli srv update <srv-service-name from step 8>
vcp-cli bg update <bg service name from step 8>

Sertifikanın süresi doldu veya Bulutta değiştirildi ve DPE'nin yeni Bulut sertifikasını içe aktarması gerekiyor.

Önkoşullar:  Anahtar deposu dosyası için kimlik bilgilerini edinin.  DPE her zaman rastgele parola anahtar deposu oluşturur, bu nedenle anahtar deposunu edinmek için aşağıdaki komutu müşteri ana parolasıyla kullanmamız gerekir
   

vcp-cli credential list -p <master_password>

örnek çıktı

# vcp-cli  credential list -p Changeme_1
getting credentials...
Success

credential:
   component: truststore
   url: /etc/vcp/truststore
   username:
   password: ZM1VnGwRZCLFrrNS

1. Adım
Bulut sertifikası için truststore'daki mevcut sertifikaları kontrol edin, sürelerinin dolup dolmadığını görmek için tarihlere bakın veya vcloud'a uygulanan geçerli sertifikayla eşleşip eşleşmediğini görmek için SHA1 parmak izine bakın

 # vcp-cli certificate show-trust -a cloud 

Eski vCloud sertifikasının şu anda diğer ad bulutu kullanılarak truststore'a yüklendiğini gösteren örnek çıktı 

Alias name: cloud
Creation date: Sep 8, 2021
Entry type: trustedCertEntry

[..]
Valid from: Wed Mar 24 09:32:46 EDT 2021 until: Sat Apr 23 09:32:45 EDT 2022
Certificate fingerprints:
MD5:  B0:E2:12:5D:46:4D:DC:09:FB:2C:EF:94:7D:29:EB:DF
SHA1: C4:0A:BE:56:D5:25:A1:49:00:94:9E:9D:46:FD:6F:64:1D:59:A7:E8       SHA256:40:67:86:D2:EE:58:72:24:E0:52:88:33:4E:C8:9E:44:9E:B0:24:EE:65:2E:AD:5C:D3:40:97:44:AD:04:48:3B

SHA1 parmak izini ve tarihlerini not edin:
Bu örnekte parmak izi şu şekildedir: C4:0A:BE:56:D5:25:A1:49:00:94:9E:9D:46:FD:6F:64:1D:59:A7:E8
Bu örnekte sertifika şu tarihe kadar geçerlidir:  23 Nisan Cumartesi 09:32:45 EDT 2022

2. Adım
Buluta TLS bağlantısı kurmak ve SHA1 parmak izini edinmek için yeni keytool komutunu kullanın 

# keytool  -printcert -sslserver <cloud director hostname or ip>:443 -rfc | openssl x509 -noout -fingerprint -dates

Örnek çıktı

SHA1 Fingerprint=94:2F:74:56:9C:19:61:2D:7E:24:60:4A:8A:2F:89:D7:31:34:19:A4
notBefore=Dec 29 18:59:49 2021 GMT
notAfter=Dec 29 18:59:49 2022 GMT

Parmak izleri uyuşmuyorsa veya tarihler uymuyorsa DPE'de bulut sertifikasını güncelleştirmeniz gerekir.

3. Adım
Truststore'un bir kopyasını oluşturun

cp -p /etc/vcp/truststore /etc/vcp/truststore-`date -I`.bkp

4. Adım
DPE'de truststore'daki sertifikayı değiştirmek için önce eski sertifikayı silin

keytool -delete  -alias cloud -keystore /etc/vcp/truststore -storepass <keystore_passphrase> 

5. Adım
Mevcut vCloud sertifikasını yeni bir dosyaya indirin: new_cloud_cert.crt 

keytool -printcert -rfc -sslserver <Cloud_hostname>:443 > new_cloud_cert.crt

6. Adım
Sertifika dosyasını truststore'a aktarın

keytool -import -file new_cloud_cert.crt -alias cloud  -keystore /etc/vcp/truststore -storepass <keystore_passphrase> 

7. Adım
Yeni sertifikanın yüklendiğini doğrulamak için 1. adımdaki komutu tekrarlayın 

 # vcp-cli certificate show-trust -a cloud 

Örnek çıktı

Alias name: cloud 
Creation date: Jul 27, 2022
Entry type: trustedCertEntry

Owner: CN=vcd.example.lab
Issuer: CN=vcd.example.lab
Serial number: 7e29bef2a5652b7a
Valid from: Wed Dec 29 13:59:49 EST 2021 until: Thu Dec 29 13:59:49 EST 2022
Certificate fingerprints:
         MD5:  8A:5A:D1:09:AE:C8:D9:94:B6:B9:D3:A5:E9:BD:AA:07
         SHA1: 94:2F:74:56:9C:19:61:2D:7E:24:60:4A:8A:2F:89:D7:31:34:19:A4
         SHA256: 38:88:0F:5F:C1:8C:BB:F0:D9:64:40:72:D9:59:35:5E:2B:72:BB:50:2F:88:3B:B0:8D:4C:D5:16:56:35:19:E2

Not: 
Bu oluşturma tarihi bugünün tarihi olmalı ve SHA1 parmak izi ve sertifika tarihleri güncelleştirilmelidir. 

8. Adım
BG ve srv için hizmet adlarını almak üzere düğüm durumunu alın 

vcp-cli node status

9. Adım
Hizmetleri tekrar başlatın 

systemctl restart vcp-manager.service
sleep 30
vcp-cli srv stop <srv-service-name> -p <master password>
vcp-cli srv start <srv-service-name> -p <master password>
vcp-cli bg stop <bg service name>  -p <master password>
vcp-cli bg start <bg service name> -p <master password>

10. Adım
Durumları kontrol edin

vcp-cli srv status
vcp-cli bg status