NetWorker：如何导入或替换“AUTHC”和“NWUI”的证书颁发机构签名证书 （Windows）

这些说明介绍了如何将 NetWorker 服务器上的 AUTHC 和 NWUI 服务的默认 NetWorker 自签名证书替换为 CA 签名证书。

文件名没有命名要求，但应引用文件类型的扩展名。显示的命令示例适用于 Windows。有关 Linux 说明，请参阅：
NetWorker：如何导入或更换“Authc”和“NWUI”的证书颁发机构签名证书 (Linux)
 

涉及的证书文件：

<server>.csr: NetWorker server certificate signing request

<server>.key: NetWorker server private key

<server>.crt: NetWorker server CA-signed certificate

<CA>.crt: CA root certificate

<ICA>.crt: CA intermediate certificate (optional if it is available)

涉及的密钥库：

开始之前：

在其他位置创建以下文件和文件夹的副本：

C:\Program Files\NRE\java\jre#.#.#_###\lib\security\cacerts
C:\Program Files\EMC NetWorker\nwui\monitoring\app\conf\nwui.keystore
C:\Program Files\EMC NetWorker\nwui\monitoring\nwuidb\pgdata
C:\Program Files\EMC NetWorker\nsr\authc-server\tomcat\conf
C:\Program Files\EMC NetWorker\nsr\authc-server\conf

生成私钥和证书签名请求 (CSR) 文件以便提供给 CA。

1. 打开管理员命令提示符并运行以下命令：

set openssl="<Path to OpenSSL bin folder>\openssl.exe"
%openssl% req -new -newkey rsa:4096 -nodes -out C:\tmp\<server>.csr -keyout C:\tmp\<server>.key

2. 将 CSR 文件 (<server>.csr) 发送到 CA 以生成 CA 签名证书文件 (<server>.crt)。CA 应提供 CA 签名的证书文件 （<server.crt>）、根证书 （<CA.crt>） 和任何中间 CA 证书 （<ICA.crt>）。

预验证步骤：

您必须知道正确的 NetWorker 密钥库密码。这些密码在 AUTHC 和 NWUI 配置期间设置。如果您不确定，请参阅：

• 如何检索 NetWorker 身份验证和 NWUI 服务的密钥库密码

为了方便下面描述的步骤和命令，我们从管理员命令提示符创建以下变量：

set hostname=<shortname of NetWorker server>
set openssl="<Path to OpenSSL bin folder>\openssl.exe"
*For example this may be C:\Program Files\OpenSSL-Win64\bin; however the path can differ depending on how OpenSSL was installed. 
NOTE: setting this variable is not required if the OpenSSL bin directory is part of the system environment variable "PATH". In which case, openssl can be run without specifying %openssl% as shown in the KB process.

set java_bin="<Path to JRE bin folder>"
*For NRE this is “C:\Program Files\NRE\java\jre#.#.#_###\bin”, where jre#.#.#_### is the version specific JRE folder.

set nsr="<path to nsr folder>"
*The default path is “C:\Program Files\EMC NetWorker\nsr”

set nwui="<path to nwui folder>"
*The default path is “C:\Program Files\EMC NetWorker\nwui”

set cert="<path to server crt file>"
set key="<path to server key file>"
set RCAcert="<path to Root CA file>"
set ICAcert="<path to intermediate CA crt file>"
set authc_storepass=<AUTHC store password>
set nwui_storepass=<NWUI store password>

确保您具有以下各项：

• server.crt 文件，其中包含一个 PEM 证书，其第一行是 -----BEGIN CERTIFICATE-----最后一行是-----END CERTIFICATE-----
• 密钥文件以-----BEGIN RSA PRIVATE KEY-----开头，以-----END RSA PRIVATE KEY结尾-----
• 通过运行以下命令，确认所有证书都是有效的 PEM 格式文件： openssl x509 -in <cert> -text -noout
• 验证上述输出，以确保它是正确的证书。
• 检查以下两个命令的输出：

  %openssl% rsa -pubout -in %key%

  %openssl% x509 -pubkey -noout -in %cert%

  这两个命令的输出必须匹配。

身份验证服务证书更换步骤：

而 authc 不必停止服务，以下步骤也能正常工作。但是，必须重新启动它才能加载新证书。

1. 导入证书：

• 将根证书 （<CA.crt>） 和任何中间 CA 证书 （<ICA.crt>） 导入 authc.keystore：

%java_bin%\keytool -import -alias RCA -keystore %nsr%\authc-server\tomcat\conf\authc.keystore -file %RCAcert% -storepass %authc_storepass%
%java_bin%\keytool -import -alias RCA -keystore %nsr%\authc-server\conf\authc.truststore -file %RCAcert% -storepass %authc_storepass%

%java_bin%\keytool -import -alias ICA -keystore %nsr%\authc-server\tomcat\conf\authc.keystore -file %ICAcert% -storepass %authc_storepass%
%java_bin%\keytool -import -alias ICA -keystore %nsr%\authc-server\conf\authc.truststore -file %ICAcert% -storepass %authc_storepass%

• 使用 NetWorker 服务器私钥文件 （<server>.key） 和新的 CA 签名证书文件 （<server.crt>） 为 emcauthctomcat 和 emcauthcsaml 别名。

%openssl% pkcs12 -export -in %cert% -inkey %key% -name emcauthctomcat -out C:\tmp\%hostname%.tomcat.authc.p12 -password pass:%authc_storepass%
%openssl% pkcs12 -export -in %cert% -inkey %key% -name emcauthcsaml -out C:\tmp\%hostname%.saml.authc.p12 -password pass:%authc_storepass%

• 将 PKCS12 存储文件导入 authc.keystore。

%java_bin%\keytool -importkeystore -destkeystore %nsr%\authc-server\tomcat\conf\authc.keystore -srckeystore C:\tmp\%hostname%.tomcat.authc.p12 -srcstoretype PKCS12 -srcstorepass %authc_storepass% -deststorepass %authc_storepass%
%java_bin%\keytool -importkeystore -destkeystore %nsr%\authc-server\tomcat\conf\authc.keystore -srckeystore C:\tmp\%hostname%.saml.authc.p12 -srcstoretype PKCS12 -srcstorepass %authc_storepass% -deststorepass %authc_storepass%

• 将 PKCS12 存储文件导入 authc.truststore。

%java_bin%\keytool -importkeystore -destkeystore %nsr%\authc-server\conf\authc.truststore -srckeystore C:\tmp\%hostname%.tomcat.authc.p12 -srcstoretype PKCS12 -srcstorepass %authc_storepass% -deststorepass %authc_storepass%
%java_bin%\keytool -importkeystore -destkeystore %nsr%\authc-server\conf\authc.truststore -srckeystore C:\tmp\%hostname%.saml.authc.p12 -srcstoretype PKCS12 -srcstorepass %authc_storepass% -deststorepass %authc_storepass%

• 删除默认的 NetWorker 自签名证书并导入新的 CA 签名证书 

%java_bin%\keytool -delete -alias emcauthctomcat -keystore %nsr%\authc-server\conf\authc.truststore -storepass  %authc_storepass%
%java_bin%\keytool -import -alias emcauthctomcat -keystore %nsr%\authc-server\conf\authc.truststore -file %cert% -storepass %authc_storepass%

%java_bin%\keytool -delete -alias emcauthcsaml -keystore %nsr%\authc-server\conf\authc.truststore -storepass %authc_storepass%
%java_bin%\keytool -import -alias emcauthcsaml -keystore %nsr%\authc-server\conf\authc.truststore -file %cert% -storepass %authc_storepass%

• 最后，将此证书导入到 Java cacerts 密钥库文件中，该文件位于 emcauthctomcat 别名：

%java_bin%\keytool -delete -alias emcauthctomcat -keystore %java_bin%\..\lib\security\cacerts -storepass changeit
%java_bin%\keytool -import -alias emcauthctomcat -keystore %java_bin%\..\lib\security\cacerts -file %cert% -storepass changeit

2. 编辑 C：\Program Files\EMC NetWorker\nsr\authc-server\conf\authc-cli-app.properties文件中的 admin_service_default_url=localhost值，以反映 CA 签名的证书文件中使用的 NetWorker 服务器名称：

admin_service_default_protocol=https
admin_service_default_url=<my-networker-server.my-domain.com>
admin_service_default_port=9090
admin_service_default_user=
admin_service_default_password=
admin_service_default_tenant=
admin_service_default_domain=

3. 要使 AUTHC 使用新导入的证书，需要重新启动 NetWorker 服务。

net stop nsrd
net start nsrd

4. 在 NetWorker 服务器上重新建立 AUTHC 信任：

nsrauthtrust -H <localhost or Authentication_service_host> -P 9090

AUTHC 后验证：

1. 确认导入的证书的指纹：

%openssl% x509 -in %cert% -fingerprint -sha256 -noout

C:\certs>%openssl% x509 -in %cert% -fingerprint -sha256 -noout
SHA256 Fingerprint=06:4B:5B:73:06:55:FC:4A:CD:D2:92:34:00:1D:CE:35:CA:C3:48:C7:51:06:3A:D7:D7:84:F4:77:06:ED:9B:73

2. 为 cacerts 创建输出文件

%java_bin%\keytool -list -keystore %java_bin%\..\lib\security\cacerts -storepass changeit > C:\tmp\cacerts.out

3. 查看输出文件并确认您看到 emcauthctomcat 条目，证书指纹与步骤 1 中的指纹匹配：

4. 检查 authc.truststore 和 authc.keystore ，并确认 emcauthctomcat 和 emcauthcsaml 证书指纹与步骤 1 中的指纹匹配：

%java_bin%\keytool -list -keystore %nsr%\authc-server\conf\authc.truststore -storepass %authc_storepass%
%java_bin%\keytool -list -keystore %nsr%\authc-server\conf\authc.truststore -storepass %authc_storepass%

5. 当 AUTHC 服务启动并运行时，您可以检查它提供给入站连接的证书是否与上述证书相同：

%openssl% s_client -connect localhost:9090 -showcerts 2>nul | %openssl% x509 -noout -fingerprint -sha256

示例：

C:\certs>%openssl% s_client -connect localhost:9090 -showcerts 2>nul | %openssl% x509 -noout -fingerprint -sha256
SHA256 Fingerprint=06:4B:5B:73:06:55:FC:4A:CD:D2:92:34:00:1D:CE:35:CA:C3:48:C7:51:06:3A:D7:D7:84:F4:77:06:ED:9B:73

NetWorker 用户界面 （nwui） 服务证书更换步骤：

我们假设 nwui 服务正在 NetWorker 服务器上运行。

1. 停止 NWUI 服务：

net stop nwui

2. 删除默认的 NetWorker 自签名证书，并将新的 CA 签名证书文件 (<server>.crt) 导入 cacerts 密钥库。为了保持一致性，我们将所有与 nwui 相关的证书都替换为 CA 签名证书。

%java_bin%\keytool -delete -alias emcnwuimonitoring -keystore %java_bin%\..\lib\security\cacerts -storepass changeit
%java_bin%\keytool -import -alias emcnwuimonitoring -keystore %java_bin%\..\lib\security\cacerts -file %cert% -storepass changeit

3. 使用 NetWorker 服务器私钥文件 （<server>.key） 和新的 CA 签名证书文件 （<server.crt>） 为 emcauthctomcat 和 emcauthcsaml NWUI 密钥库的别名。

%openssl% pkcs12 -export -in %cert% -inkey %key% -name emcauthctomcat -out C:\tmp\%hostname%.tomcat.nwui.p12 -password pass:%nwui_storepass%
%openssl% pkcs12 -export -in %cert% -inkey %key% -name emcauthcsaml -out C:\tmp\%hostname%.saml.nwui.p12 -password pass:%nwui_storepass%

提醒：PKCS12 文件密码必须与密钥库的密码匹配。这就是我们在这种情况下使用 nwui storepass 创建它的原因。

4. 将 .p12 文件、根 CA 证书和中间 CA 证书导入 nwui 密钥库。

%java_bin%\keytool -importkeystore -destkeystore %nwui%\monitoring\app\conf\nwui.keystore -srckeystore C:\tmp\%hostname%.tomcat.nwui.p12 -srcstoretype PKCS12 -srcstorepass %nwui_storepass% -deststorepass %nwui_storepass%

%java_bin%\keytool -importkeystore -destkeystore %nwui%\monitoring\app\conf\nwui.keystore -srckeystore C:\tmp\%hostname%.saml.nwui.p12 -srcstoretype PKCS12 -srcstorepass %nwui_storepass% -deststorepass %nwui_storepass%

%java_bin%\keytool -import -alias RCA -keystore %nwui%\monitoring\app\conf\nwui.keystore -file %RCAcert% -storepass %nwui_storepass%

%java_bin%\keytool -import -alias ICA -keystore %nwui%\monitoring\app\conf\nwui.keystore -file %ICAcert% -storepass %nwui_storepass%

5. 重命名 emcnwuimonitoring 证书，并将我们的服务器证书放在此具有相同名称的路径中。

move %nwui%\monitoring\app\conf\emcnwuimonitoring.cer %nwui%\monitoring\app\conf\emcnwuimonitoring.cer_orig
copy %cert% %nwui%\monitoring\app\conf\emcnwuimonitoring.cer

6. 启动 NWUI 服务：

net start nwui

nwui 验证后：

1. 确认导入的证书的指纹：

%openssl% x509 -in %cert% -fingerprint -sha256 -noout

C:\certs>%openssl% x509 -in %cert% -fingerprint -sha256 -noout
SHA256 Fingerprint=06:4B:5B:73:06:55:FC:4A:CD:D2:92:34:00:1D:CE:35:CA:C3:48:C7:51:06:3A:D7:D7:84:F4:77:06:ED:9B:73

2. 为 cacerts 创建输出文件

%java_bin%\keytool -list -keystore %java_bin%\..\lib\security\cacerts -storepass changeit > C:\tmp\cacerts.out

3. 查看输出文件并确认您看到 emcauthctomcat 条目，证书指纹与步骤 1 中的指纹匹配：

4. 检查 nwui.keystore 并确认 emcauthctomcat 证书指纹与步骤 1 中的指纹匹配：

%java_bin%\keytool -list -keystore %nwui%\monitoring\app\conf\nwui.keystore -storepass %nwui_storepass%

5. 当 NWUI 服务启动并运行时，您可以检查它提供给入站连接的证书是否与上述证书相同：

%openssl% s_client -connect localhost:9095 -showcerts 2>nul | %openssl% x509 -noout -fingerprint -sha256

C:\certs>%openssl% s_client -connect localhost:9095 -showcerts 2>nul | %openssl% x509 -noout -fingerprint -sha256
SHA256 Fingerprint=06:4B:5B:73:06:55:FC:4A:CD:D2:92:34:00:1D:CE:35:CA:C3:48:C7:51:06:3A:D7:D7:84:F4:77:06:ED:9B:73

move %nwui%\monitoring\nwuidb\pgdata\server.crt %nwui%\monitoring\nwuidb\pgdata\server.crt_orig
move %nwui%\monitoring\nwuidb\pgdata\server.key %nwui%\monitoring\nwuidb\pgdata\server.key_orig

copy %cert% %nwui%\monitoring\nwuidb\pgdata\server.crt
copy %key% %nwui%\monitoring\nwuidb\pgdata\server.key

 

 

有关导入 CA 签名证书的更多信息，请参阅 Dell NetWorker 安全配置指南。

以下知识库文章详细介绍了将 NetWorker Management Console （NMC） 自签名证书替换为 CA 签名证书的过程：

NetWorker：如何导入或更换 NMC 的证书颁发机构签名证书