Data Domain：即將Microsoft Azure 儲存傳輸層安全性憑證變更

摘要: 傳輸層安全性 (TLS) 憑證變更包含在受影響的 Data Domain 系統中，這些系統是使用部署在具有物件儲存動作層 (ATOS) 的 Azure 雲端平台的 Cloud Tier 和 Data Domain Virtual Edition (DDVE) 所設定。Dell Technologies 建議您儘早安裝新憑證，以避免發生任何中斷。

本文章適用於本文章不適用於本文無關於任何特定產品。本文未識別所有產品版本。

症狀

當 Azure 儲存裝置憑證變更 (2022 年 7 月開始) 時，若使用 Azure Cloud Tier 所設定的 Data Domain 系統的雲端裝置尚未新增雲端信任的新憑證，將會處於中斷狀態：

# alert show current
Id      Post Time                  Severity   Class   Object                     Message
-----   ------------------------   --------   -----   ------------------------   -------------------------------------------------------------------------
m0-76   Mon Apr 19 15:34:03 2021   CRITICAL   Cloud   CloudUnit=azure-unit   EVT-CLOUD-00001: Unable to access provider for cloud unit azure-unit.
-----   ------------------------   --------   -----   ------------------------   -------------------------------------------------------------------------
There is 1 active alert.
# cloud unit list
Name             Profile     Status
--------------   ---------   ------------
azure-unit        azure      Disconnected
--------------   ---------   ------------

如果 DDVE 部署在具有物件儲存動作層（ATOS）的 Azure 上，則會停用檔案系統，並顯示下列警示訊息：

Alert History
-------------
Id      Post Time                  Clear Time                 Severity   Class               Object   Message
-----   ------------------------   ------------------------   --------   -----------------   ------   --------------------------------------------------------------------------------------
m0-26   Tue Apr  6 13:58:41 2021   Tue Apr  6 13:59:03 2021   ERROR      Filesystem                 EVT-FILESYS-00008: Filesystem has encountered an error and is restarting.
m0-27   Tue Apr  6 14:19:59 2021   Tue Apr  6 14:20:03 2021   ALERT      Filesystem                 EVT-FILESYS-00002: Problem is preventing filesystem from

原因

Microsoft Azure 儲存服務已更新，以使用連結至 DigiCert Global G2 Root 的認證機構 (CA) TLS 憑證。但是，與此同時，當前的證書（由巴爾的摩網路信任根頒發）繼續使用。

這項變更從 2022 年 7 月開始，預計於 2022 年 10 月底完成。建議您在 2022 年 6 月 30 日之前安裝新憑證，並且不要刪除目前的憑證。

若要存取 Blob 容器（適用於 Data Domain Cloud Tier 或 DDVE ATOS），Data Domain 系統需要新的 DigiCert Global G2 root CA 憑證，而非目前受雲端信任的 Baltimore Cyber-Trust 根 CA 憑證。

有關該主題的更多詳細資訊，請參閱以下官方 Azure 安全 Blob：
Azure 儲存 TLS：即將進行重大變更！(...以及您應該注意的原因) - Microsoft 技術社群。

解析度

為了在 2022 年 7 月開始推送更改時盡可能順利地過渡到新的 Azure 儲存安全證書，有必要在 Data Domain 中將受信任的「巴爾的摩網路信任根 CA」證書保持為雲信任，並添加新的「DigiCert 全球 G2 根 CA」證書，該證書也受雲信任。而不是用另一個替換一個。

保留這兩個憑證不會產生任何問題，而且無論任一 CA 發出什麼憑證，Data Domain DDVE 系統都能信任與 Azure 儲存裝置的連線，因此可避免任何停機時間，因為新憑證會在 2022 年 7 月起的某個時間點首次提供給 Data Domain/DDVE 系統。

下列步驟適用於在具有 ATOS 的 Azure 雲端平台上部署雲端層或 DDVE 所設定之 Data Domain 系統的 DigiCert Global G2 根憑證。還建議添加 DigiCert Global G3 根證書和Microsoft ECC 或 RSA 根證書頒發機構證書，以避免將來中斷。

確認 Data Domain DDVE 系統有適用於雲端應用程式的「Baltimore Cyber-Trust Root」，如下列範例所示：

sysadmin@dd01# adminaccess certificate show
Subject                     Type            Application   Valid From                 Valid Until                Fingerprint
-------------------------   -------------   -----------   ------------------------   ------------------------   -----------------------------------------------------------
dd01.example.com             host            https         Tue Mar 26 10:38:34 2019   Wed Jan 31 10:48:38 2024   30:78:FE:93:DF:2F:9D:B5:08:D7:EC:5E:9E:89:E2:BD:16:13:E1:BA
dd01.example.com             ca              trusted-ca    Wed Mar 27 17:38:34 2019   Wed Jan 31 10:16:38 2024   CB:9D:64:39:56:48:FB:58:C6:93:40:FB:29:91:56:9A:BD:08:7A:C8
Baltimore CyberTrust Root    imported-ca     cloud         Fri May 12 11:46:00 2000   Mon May 12 16:59:00 2025   D4:DE:20:D0:5E:66:FC:53:FE:1A:50:88:2C:78:DB:28:52:CA:E4:74
-------------------------   -------------   -----------   ------------------------   ------------------------   -----------------------------------------------------------

選項 1：使用 Windows 工作站
安裝憑證的指示Microsoft 如需示範，請按一下以下影片：

在YouTube上觀看。

在本地工作站上創建一個資料夾。
例如：
C:\MS-AZ-certificates
下載以下頁面中的 DigiCert Global Root G2/G3 憑證：
DigiCert Root Certificates - Download & Test | DigiCert.com

以滑鼠右鍵按一下下載 PEM，然後將連結儲存為：
DigiCertGlobalRootG2.crt.pem
SHA1 指紋：DF：3C：24：F9：BF：D6：66：76：1B：26：80：73：FE：06：D1：CC：8D：4F：82：A4

DigiCertGlobalRootG3.crt.pem
SHA1 指紋：7E:04:DE:89:6A:3E:66:6D:00:E6:87:D3:3F:FA:D9:3B:E8:3D:34:9E
下載 Microsoft RSA 和 ECC 憑證。

以滑鼠右鍵按一下下載 PEM，然後將連結儲存為：
Microsoft RSA 根認證機構 2017
（指紋：73a5e64a3bff8316ff0edccc618a906e4eae4d74）

Microsoft ECC 根認證機構 2017
（指紋：999a64c37ff47d9fab95f14769891460eec4c3c5)
移至命令列並執行下列步驟。這些命令是從 Windows 主機執行，但 Linux 主機也可執行類似的命令。

C:\MS-AZ-certificates>dir
 Volume in drive C is OS
 Volume Serial Number is E4AE-2A04

 Directory of C:\MS-AZ-certificates

15/10/2021  09:30 AM    <DIR>          .
15/10/2021  09:30 AM    <DIR>          ..
15/10/2021  09:29 AM             1,294 DigiCertGlobalRootG2.crt.pem
15/10/2021  09:29 AM               839 DigiCertGlobalRootG3.crt.pem
15/10/2021  09:30 AM               605 Microsoft ECC Root Certificate Authority 2017.crt
15/10/2021  09:30 AM             1,452 Microsoft RSA Root Certificate Authority 2017.crt
               4 File(s)          4,190 bytes

重新命名 DigiCertGlobalRootG2 檔案，具有下列 .pem 名稱。

C:\MS-AZ-certificates>rename DigiCertGlobalRootG2.crt.pem DigiCertGlobalRootG2.pem

C:\MS-AZ-certificates>rename DigiCertGlobalRootG3.crt.pem DigiCertGlobalRootG3.pem

化 Microsoft ECC RSA Root Certificate Authority 憑證，從 crt 轉換為 pem 格式，如下所示：

C:\MS-AZ-certificates>certutil -encode "Microsoft ECC Root Certificate Authority 2017.crt" ms-ecc-root.pem
Input Length = 605
Output Length = 890
CertUtil: -encode command completed successfully.

C:\MS-AZ-certificates>certutil -encode "Microsoft RSA Root Certificate Authority 2017.crt" ms-rsa-root.pem
Input Length = 1452
Output Length = 2054
CertUtil: -encode command completed successfully.

C:\MS-AZ-certificates>dir
 Volume in drive C is OS
 Volume Serial Number is E4AE-2A04

 Directory of C:\MS-AZ-certificates

15/10/2021  10:25 AM    <DIR>          .
15/10/2021  10:25 AM    <DIR>          ..
15/10/2021  09:29 AM             1,294 DigiCertGlobalRootG2.pem
15/10/2021  09:29 AM               839 DigiCertGlobalRootG3.pem
15/10/2021  09:46 AM               605 Microsoft ECC Root Certificate Authority 2017.crt
15/10/2021  09:45 AM             1,452 Microsoft RSA Root Certificate Authority 2017.crt
15/10/2021  10:25 AM               890 ms-ecc-root.pem
15/10/2021  10:25 AM             2,054 ms-rsa-root.pem
               6 File(s)          7,134 bytes

使用 PowerProtect DD System Manager UI 從資料夾匯入所有 PEM 格式的憑證檔案。
- 若為使用 Cloud Tier 設定的 Data Domain 系統：
  資料管理 > 檔案系統 > 雲端單元 > 管理憑證 > 新增。
  
  對其餘三個憑證重複上述步驟。
- 若為在具有 ATOS 之 Azure 平台上執行的 Data Domain 系統：
  資料管理 > 檔案系統 > 摘要 > 修改物件存放區 > 憑證 > 新增
  
  對其餘三個憑證重複上述步驟。
  
  注意：請勿在「存取管理」下新增授權單位。

選項 2：使用 Linux 工作站安裝憑證的指示

下載下列兩個 .pem 格式的 DigiCert 憑證。

https://cacerts.digicert.com/DigiCertGlobalRootG2.crt.pem SHA1 指紋：DF：3C：24：F9：BF：D6：66：76：1B：26：80：73：FE：06：D1：CC：8D：4F：82：A4

https://cacerts.digicert.com/DigiCertGlobalRootG3.crt.pem SHA1 指紋：7E:04:DE:89:6A:3E:66:6D:00:E6:87:D3:3F:FA:D9:3B:E8:3D:34:9E
下載下列兩個 DER CRT 格式的 Root 憑證。
Microsoft RSA 根認證機構 2017
（指紋：73a5e64a3bff8316ff0edccc618a906e4eae4d74）
Microsoft ECC 根認證機構 2017
（指紋：999a64c37ff47d9fab95f14769891460eec4c3c5)

範例：
使用 Linux wget 公用程式下載憑證：

$ mkdir certs
$ cd certs
$ wget https://cacerts.digicert.com/DigiCertGlobalRootG2.crt.pem
--2021-10-18 20:10:52--  https://cacerts.digicert.com/DigiCertGlobalRootG2.crt.pem
.
.
2021-10-18 20:10:53 (16.5 MB/s) - ‘DigiCertGlobalRootG2.crt.pem’ saved [1294/1294]

$ wget https://cacerts.digicert.com/DigiCertGlobalRootG3.crt.pem
--2021-10-18 20:32:21--  https://cacerts.digicert.com/DigiCertGlobalRootG3.crt.pem
.
.
2021-10-18 20:32:21 (41.1 MB/s) - ‘DigiCertGlobalRootG3.crt.pem’ saved [839/839]

$ wget  https://www.microsoft.com/pkiops/certs/Microsoft%20RSA%20Root%20Certificate%20Authority%202017.crt
--2021-10-18 20:31:44--  https://www.microsoft.com/pkiops/certs/Microsoft%20RSA%20Root%20Certificate%20Authority%202017.crt
.
.
2021-10-18 20:31:45 (73.2 MB/s) - ‘Microsoft RSA Root Certificate Authority 2017.crt’ saved [1452/1452]

$ wget  https://www.microsoft.com/pkiops/certs/Microsoft%20ECC%20Root%20Certificate%20Authority%202017.crt
--2021-10-18 20:31:16--  https://www.microsoft.com/pkiops/certs/Microsoft%20ECC%20Root%20Certificate%20Authority%202017.crt
.
.
2021-10-18 20:31:16 (15.7 MB/s) - ‘Microsoft ECC Root Certificate Authority 2017.crt’ saved [605/605]

admin@linux:~/certs$ ls -l
total 155
-rw-rw-rw-. 1 admin admin  178 Oct 18 20:32 cert.list
-rw-rw-rw-. 1 admin admin 1294 Dec  6  2017 DigiCertGlobalRootG2.crt.pem
-rw-rw-rw-. 1 admin admin  839 Sep 22 12:36 DigiCertGlobalRootG3.crt.pem
-rw-rw-rw-. 1 admin admin  605 Jan 22  2020 Microsoft ECC Root Certificate Authority 2017.crt
-rw-rw-rw-. 1 admin admin 1452 Jan 22  2020 Microsoft RSA Root Certificate Authority 2017.crt

使用以下命令，將兩個 Root 憑證轉換為 .pem 格式。

admin@linux:~/certs$ openssl x509 -inform der -in Microsoft\ ECC\ Root\ Certificate\ Authority\ 2017.crt -out ms-ecc-root.pem
admin@linux:~/certs$ openssl x509 -inform der -in Microsoft\ RSA\ Root\ Certificate\ Authority\ 2017.crt -out ms-rsa-root.pem
admin@linux:~/certs$ ls -l
total 155
-rw-rw-rw-. 1 admin admin  178 Oct 18 20:32 cert.list
-rw-rw-rw-. 1 admin admin 1294 Dec  6  2017 DigiCertGlobalRootG2.crt.pem
-rw-rw-rw-. 1 admin admin  839 Sep 22 12:36 DigiCertGlobalRootG3.crt.pem
-rw-rw-rw-. 1 admin admin  605 Jan 22  2020 Microsoft ECC Root Certificate Authority 2017.crt
-rw-rw-rw-. 1 admin admin 1452 Jan 22  2020 Microsoft RSA Root Certificate Authority 2017.crt
-rw-rw-rw-. 1 admin admin  875 Oct 18  2021 ms-ecc-root.pem
-rw-rw-rw-. 1 admin admin 2021 Oct 18  2021 ms-rsa-root.pem

將 .pem 憑證複製到 Data Domain 系統上。

admin@linux:~/certs$ scp *.pem sysadmin@dd01.example.com:/ddr/var/certificates/
DigiCertGlobalRootG2.crt.pem             100% 1294    13.6KB/s   00:00
DigiCertGlobalRootG3.crt.pem            100%  839     8.8KB/s   00:00
ms-ecc-root.pem                         100%  875     9.2KB/s   00:00
ms-rsa-root.pem                         100% 2021    21.2KB/s   00:00

安裝憑證，如下所示：

adminaccess certificate import ca application cloud file <file-name>
Certificates should be stored in /ddr/var/certificates before you run the adminaccess command.

admin@linux:~/certs$ ssh sysadmin@dd01.example.com

sysadmin@dd01# adminaccess certificate import ca application cloud file DigiCertGlobalRootG2.crt.pem

The SHA1 fingerprint for the imported CA certificate is:
DF:3C:24:F9:BF:D6:66:76:1B:26:80:73:FE:06:D1:CC:8D:4F:82:A4

        Do you want to import this certificate? (yes|no) [yes]: y
CA certificate imported for application(s) : "cloud".
sysadmin@dd01# adminaccess certificate import ca application cloud file DigiCertGlobalRootG3.crt.pem

The SHA1 fingerprint for the imported CA certificate is:
7E:04:DE:89:6A:3E:66:6D:00:E6:87:D3:3F:FA:D9:3B:E8:3D:34:9E

        Do you want to import this certificate? (yes|no) [yes]: y
CA certificate imported for application(s) : "cloud".
sysadmin@dd01# adminaccess certificate import ca application cloud file ms-ecc-root.pem

The SHA1 fingerprint for the imported CA certificate is:
99:9A:64:C3:7F:F4:7D:9F:AB:95:F1:47:69:89:14:60:EE:C4:C3:C5

        Do you want to import this certificate? (yes|no) [yes]: y
CA certificate imported for application(s) : "cloud".
sysadmin@dd01# adminaccess certificate import ca application cloud file ms-rsa-root.pem

The SHA1 fingerprint for the imported CA certificate is:
73:A5:E6:4A:3B:FF:83:16:FF:0E:DC:CC:61:8A:90:6E:4E:AE:4D:74

        Do you want to import this certificate? (yes|no) [yes]: y
CA certificate imported for application(s) : "cloud".

從 DD DDVE 命令列檢查新憑證資訊：

sysadmin@ddve# sysadmin@ddve# adminaccess cert show
Subject                                         Type            Application   Valid From                 Valid Until                Fingerprint
---------------------------------------------   -------------   -----------   ------------------------   ------------------------   -----------------------------------------------------------
dd01.example.com             host            https         Tue Mar 26 10:38:34 2019   Wed Jan 31 10:48:38 2024   30:78:FE:93:DF:2F:9D:B5:08:D7:EC:5E:9E:89:E2:BD:16:13:E1:BA
dd01.example.com             ca              trusted-ca    Wed Mar 27 17:38:34 2019   Wed Jan 31 10:16:38 2024   CB:9D:64:39:56:48:FB:58:C6:93:40:FB:29:91:56:9A:BD:08:7A:C8
Baltimore CyberTrust Root                       imported-ca     cloud         Fri May 12 11:46:00 2000   Mon May 12 16:59:00 2025   D4:DE:20:D0:5E:66:FC:53:FE:1A:50:88:2C:78:DB:28:52:CA:E4:74
DigiCert Global Root G2                         imported-ca     cloud         Thu Aug  1 05:00:00 2013   Fri Jan 15 04:00:00 2038   DF:3C:24:F9:BF:D6:66:76:1B:26:80:73:FE:06:D1:CC:8D:4F:82:A4
DigiCert Global Root G3                         imported-ca     cloud         Thu Aug  1 05:00:00 2013   Fri Jan 15 04:00:00 2038   7E:04:DE:89:6A:3E:66:6D:00:E6:87:D3:3F:FA:D9:3B:E8:3D:34:9E
Microsoft ECC Root Certificate Authority 2017   imported-ca     cloud         Wed Dec 18 15:06:45 2019   Fri Jul 18 16:16:04 2042   99:9A:64:C3:7F:F4:7D:9F:AB:95:F1:47:69:89:14:60:EE:C4:C3:C5
Microsoft RSA Root Certificate Authority 2017   imported-ca     cloud         Wed Dec 18 14:51:22 2019   Fri Jul 18 16:00:23 2042   73:A5:E6:4A:3B:FF:83:16:FF:0E:DC:CC:61:8A:90:6E:4E:AE:4D:74
---------------------------------------------   -------------   -----------   ------------------------   ------------------------   -----------------------------------------------------------

如果有任何憑證意外新增至「應用程式」，而非「雲端」意外新增，請從存取管理 UI 下的「認證機構」憑證中刪除。

注意：請勿刪除舊的「Baltimore Cyber-Trust Root」憑證。

若為使用 Cloud Tier 檔案系統設定的 Data Domain 系統，可能需要重新開機，以重新建立與雲端裝置的連線。請安排停機時間並執行下列命令，以重新開機檔案系統：

#filesys restart

若為在 Azure 平台上執行的 Data Domain 系統，請重新開機 DDVE：

#system reboot

受影響的產品

Data Domain Deduplication Storage Systems, DD OS, Integrated Data Protection Appliance Family

文章編號: 000192537

文章類型: Solution

上次修改時間: 28 8月 2025

版本: 8

檢查您的裝置是否在支援服務的涵蓋範圍內。

Data Domain：即將Microsoft Azure 儲存傳輸層安全性憑證變更

症狀

原因

解析度

受影響的產品

文章屬性

向其他 Dell 使用者尋求您問題的答案

支援服務

文章屬性

向其他 Dell 使用者尋求您問題的答案

支援服務

Data Domain：即將Microsoft Azure 儲存傳輸層安全性憑證變更

詳細文章

症狀

原因

解析度

受影響的產品

症狀

原因

解析度

受影響的產品

文章屬性

向其他 Dell 使用者尋求您問題的答案

支援服務

文章屬性

向其他 Dell 使用者尋求您問題的答案

支援服務