Veritas NetBackup™ Appliance セキュリティガイド

サードパーティの SSL 証明書を実装するには:

1. Web サービスのための KeyStore ファイルを準備します。

   手順は使用する PKCS (公開鍵の暗号化標準) の種類によって異なります。また、選択する PKCS の種類にかかわらず、 KeyStore ファイルは次のキーワードを含む必要があります。

   SubjectAlternativeName [

   DNSName: ホスト名と IP アドレス

   ホスト名はアプライアンスの完全修飾ドメイン名であり、IP アドレスはアプライアンスの完全修飾ドメイン名に対応します。

   ]

   次の表に、PKCS# 7 および PKCS# 12 標準形式を使用する場合の手順を示します。

   PKCS の形式	KeyStore ファイルの準備
   PKCS#7 または X.509 形式	次のリンクを使用できます。 証明書の変換
   PKCS#12 形式	次の手順を実行します。 PEM 形式の x509 証明書と秘密鍵を PKCS# 12 に変換するには、次のコマンドを入力します。 openssl pkcs12 -export -in server.crt -inkey server.key -out server.p12 -name tomcat -CAfile ca.crt -caname root openssl の使用方法について詳しくは、https://www.openssl.org/ を参照してください。 メモ: PKCS #12 ファイルをパスワードで保護していることを確認してください。ファイルにパスワードを適用しないと、ファイルをインポートするときに NULL 参照例外が発生する可能性があります。 pkcs12 ファイルを Java KeyStore に変換するには、次のコマンドを入力します。 keytool -importkeystore -deststorepass appliance -destkeypass appliance -destkeystore keystore -srckeystore server.p12 -srcstoretype PKCS12 -srcstorepass some- password -alias tomcat メモ: -deststorepass オプションと -destkeypass オプションには、同じパスワードを指定します。異なるパスワードを指定すると、Web サーバーの起動時に例外が発生する可能性があります。パスワードでは、英数字のみがサポートされます。デフォルトのパスワードは appliance です。 -alias オプションには tomcat を指定します。異なるパスワードを指定すると、Web サーバーの起動時に例外が発生する可能性があります。 メモ: keytool の使用方法について詳しくは、次のリンクを参照してください。 http://docs.oracle.com/javase/8/docs/technotes/tools/solaris/keytool.html

2. データベースと関連するサービスをシャットダウンするには、次のコマンドを入力します。

   /opt/IMAppliance/scripts/infraservices.sh database stop

   systemctl stop nginx

   /opt/IMAppliance/scripts/infraservices.sh database stop

   /opt/IMAppliance/scripts/infraservices.sh webserver stop

3. 既存の keystore ファイルを次のディレクトリにある新しい keystore ファイルに置き換えます。

   /opt/apache-tomcat/security/

4. 新しい keystore ファイルに以下のアクセス権を設定します。

   chmod 700 /opt/apache-tomcat/security

   chmod 600 /opt/apache-tomcat/security/keystore

   chown - R tomcat:tomcat /opt/apache-tomcat/security

5. 前の手順で、デフォルト以外の独自のパスワードを使用するように選択した場合は、次のコマンドを入力して Web サーバーの設定を更新します。

   /opt/apache-tomcat/vrts/scripts/tomcat_instance.py update --keystore --password <your password>

6. /etc/rc.d/init.d/as-functions ファイルで Tomcat_Keystore と Tomcat_Keystore_Passwd の設定を更新します。
7. 証明書を mongo_server_part_pam ファイルにインポートして /etc/vxos-ssl/cert.conf から server_cert を取得し、証明書をインポートします。

   /usr/bin/openssl pkcs12 -in server.p12 -out <server_cert> -passin pass:

   <keyPassword> -passout pass: <keyPassword>

8. 証明書を client_part_pam ファイルにインポートして、/etc/vxos-ssl/cert.conf から client_cert を取得し、証明書をインポートします。

   /usr/bin/openssl pkcs12 -nokeys -in server.p12 -out <server_cert> -passin pass:

   <keyPassword> -passout pass: <keyPassword>

9. カスタマイズしたパスワードが /etc/vxos-ssl/cert.conf の pem_password と異なる場合は、カスタマイズしたパスワードを使用するように /etc/vxos-ssl/cert.conf を変更します。
10. nginx を再起動するには、次のコマンドを入力します。

    /usr/sbin/update-nginx-conf.sh

    service nginx stop

    service nginx start

11. Web サービスを再起動するには、次のコマンドを入力します。

    /opt/IMAppliance/scripts/infraservices.sh database start

    /opt/IMAppliance/scripts/infraservices.sh webserver start

12. AutoSupport サービスを再起動するには、次のコマンドを入力します。

    service as-alertmanager stop

    service as-analyzer stop

    service as-transmission stop

    service as-alertmanager start

    service as-analyzer start

    service as-transmission start