Guide de l'administrateur Kubernetes sur l'interface utilisateur Web NetBackup™

Pour créer un certificat signé par une autorité de certification externe

1. Pour récupérer la liste de révocation des certifications, utilisez son point de distribution.
2. Conservez la chaîne de certification signée par une autorité de certification externe, la clé privée et la phrase de passe (si nécessaire) dans votre répertoire d'origine.
3. Identifiez les différents formats (par exemple, DER, PEM, etc.) pris en charge pour chacun des fichiers mentionnés à l'étape 2. Pour plus d'informations, consultez la section des Options de configuration pour les certificats signés par une autorité de certification externe du Guide de sécurité et de chiffrement NetBackup™.
4. Créez un secret à l'aide des fichiers mentionnés à l'étape 3.

   • Pour créer un secret si la clé privée n'est pas chiffrée, exécutez la commande suivante : kubectl create secret generic <Name of secret>

     --from-file=cert_chain=<File path to ECA signed certificate chain> --from-file=key=<File path to private key>

     --from-file=cacert=<File path to External CA certificate> -n <Namespace where kops is deployed>

   • Pour créer un secret si la clé privée est chiffrée, exécutez la commande suivante : kubectl create secret generic <Name of secret>

     --from-file=cert_chain=<File path to ECA signed certificate chain> --from-file=key=<File path to private key>

     --from-file=cacert=<File path to External CA certificate> --from-file=passphrase=<File path to passphrase

     of encrypted private key> -n <Namespace where kops is deployed>

   La structure de répertoires ressemble à l'exemple suivant :

   ├── cert_chain.pem
   ├── private
   |  |___key.pem
   |  |___passphrase.txt
   |___trusted
        |__cacerts.pem
   

   cert_chain.pem est une chaîne de certification signée par une autorité de certification externe

   private/key.pem est une clé privée

   private/passphrase.txt est la phrase de passe pour la clé privée

   trusted/cacerts.pem est un certificat d'autorité de certification externe

   • Pour créer un secret nommé eca-secret si la clé privée n'est pas chiffrée, exécutez la commande suivante :

     kubectl create secret generic eca-secret--from-file=cert_chain=cert_chain.pem

     --from-file=key=private/key.pem

     --from-file=cacert=trusted/cacerts.pem -n kops-ns

   • Pour créer un secret nommé eca-secret si la clé privée est chiffrée, exécutez la commande suivante :

     kubectl create secret generic eca-secret

     --from-file=cert_chain=cert_chain.pem

     --from-file=key=private/key.pem

     --from-file=cacert=trusted/cacerts.pem

     --from- file=passphrase=private/passphrase.txt

     -n kops-ns

5. Une fois le secret créé, créez une ressource personnalisée d'objet backupservercert.

   Le fichier eca-create-backupservercert.yaml ressemble à l'exemple suivant :

   apiVersion: netbackup.veritas.com/v1
   kind: BackupServerCert
   metadata:
     name: backupservercert-eca-create
     namespace: kops-ns
   spec:
     clusterName: cluster.sample.com:port
     backupServer: backupserver.sample.domain.com
     certificateOperation: Create
     certificateType: ECA
     ecaAttributes:
       ecaCreateOptions:
         ecaSecretName: eca-secret
         copyCertsFromSecret: true
         isKeyEncrypted: false

   • Copiez le texte du fichier eca-create-backupservercert.yaml.

   • Ouvrez l'éditeur de texte et collez le texte du fichier YAML.

   • Ensuite, enregistrez le texte en sélectionnant l'extension de fichier YAML dans le répertoire d'origine à partir duquel les clusters Kubernetes sont accessibles.

6. Pour copier le certificat et les clés sur l'opérateur Kubernetes, effectuez l'une des opérations suivantes :

   • Définissez copyCertsFromSecret sur true.

   • Définissez copyCertsFromSecret sur false pour éviter de copier les certificats et les clés existants sur l'opérateur Kubernetes.

   Remarque :

   L'autorité de certification externe est commune à tous les serveurs principaux. L'opérateur Kubernetes requiert donc un ensemble de certificats et de clés pouvant être inscrits auprès de tous les serveurs principaux en fonction des besoins. Il n'est pas nécessaire de copier les certificats et les clés à chaque fois, sauf en cas de problème avec les certificats et clés copiés précédemment.

   Remarque :

   Si ecaHealthCheck échoue pour une raison quelconque liée aux certificats et aux clés (autorité de certification externe endommagée, arrivée à expiration ou modifiée), identifiez la raison de l'échec et effectuez une copie d'un certificat valide à l'aide d'un indicateur.

7. Si la clé privée est chiffrée, définissez l'indicateur isKeyEncrypted sur true ou false pour la clé non chiffrée. Assurez-vous que la phrase de passe est fournie dans le secret si la clé privée est chiffrée.
8. Définissez ecaSecretName avec le nom du secret créé dans le fichier backupservercert.yaml à l'étape 5.
9. Pour créer le fichier eca-create-backupservercert.yaml, exécutez la commande suivante : kubectl create -f eca-create-backupservercert.yaml
10. Une fois la ressource personnalisée backupservercert créée, vérifiez son état.
11. Pour afficher les détails des certificats externes dans l'interface utilisateur Web NetBackup, consultez la section Affichage des informations de certificats externes pour les hôtes NetBackup dans le domaine du Guide de l'administrateur de l'interface utilisateur Web NetBackup™.

Pour supprimer un certificat signé par une autorité de certification externe

1. Créez un backupservercert avec une opération de suppression et en définissant un certificat de type ECA.

   Le fichier eca-remove-backupservercert.yaml ressemble à l'exemple suivant :

   apiVersion: netbackup.veritas.com/v1
   kind: BackupServerCert
   metadata:
     name: backupservercert-eca-remove
     namespace: kops-ns
   spec:
     clusterName: cluster.sample.com:port
     backupServer: backupserver.sample.domain.com
     certificateOperation: Remove
     certificateType: ECA

   • Copiez le texte du fichier eca-remove-backupservercert.yaml.

   • Ouvrez l'éditeur de texte et collez le texte du fichier YAML.

   • Ensuite, enregistrez le texte en sélectionnant l'extension de fichier YAML dans le répertoire d'origine à partir duquel les clusters Kubernetes sont accessibles.

2. Pour créer le fichier eca-remove-backupservercert.yaml, exécutez la commande suivante : kubectl create -f eca-remove-backupservercert.yaml
3. Une fois l'objet créé, vérifiez l'état de la ressource personnalisée. En cas d'échec, vous pouvez prendre les mesures nécessaires.

Pour mettre à jour un certificat signé par une autorité de certification externe

1. Créez un objet backupservercert avec une opération de type mise à jour.

   Le fichier eca-update-backupservercert.yaml ressemble à l'exemple suivant :

   apiVersion: netbackup.veritas.com/v1
   kind: BackupServerCert
   metadata:
     name: backupservercert-eca-update
     namespace: kops-ns
   spec:
     clusterName: cluster.sample.com:port
     backupServer: backupserver.sample.domain.com
     certificateOperation: Update
     certificateType: ECA
     ecaAttributes:
       ecaUpdateOptions:
         ecaCrlCheck: DISABLE | LEAF | CHAIN 
         ecaCrlRefreshHours: [0,4380]

   • Copiez le texte du fichier eca-update-backupservercert.yaml.

   • Ouvrez l'éditeur de texte et collez le texte du fichier YAML.

   • Ensuite, enregistrez le texte en sélectionnant l'extension de fichier YAML dans le répertoire d'origine à partir duquel les clusters Kubernetes sont accessibles.

2. Pour créer le fichier eca-update-backupservercert.yaml, exécutez la commande suivante : kubectl create -f eca-update-backupservercert.yaml
3. L'option ECA_CRL_CHECK permet de spécifier le niveau de contrôle de révocation pour les certificats externes de l'hôte. Elle permet également de désactiver le contrôle de révocation des certificats externes. En fonction du contrôle, l'état de révocation du certificat est validé à l'aide de la liste de révocation des certifications (CRL) pendant la communication avec l'hôte. Pour plus d'informations, consultez la section ECA_CRL_CHECK pour les serveurs et les clients NetBackup du Guide de sécurité et de chiffrement NetBackup™.
4. L'option ECA_CRL_REFRESH_HOURS spécifie l'intervalle de temps en heures pour le téléchargement des listes CRL à partir des URL spécifiées dans les points de distribution des listes de révocation des certifications (CDP) du certificat de l'hôte homologue. Pour plus d'informations, consultez la section ECA_CRL_REFRESH_HOURS pour les serveurs et les clients NetBackup du Guide de sécurité et de chiffrement NetBackup™.