搜索 <book_title>...

NetBackup™ 安全和加密指南

Last Published: 2022-10-21

Product(s): NetBackup (10.1)

关于外部 CA 的证书吊销列表

外部证书颁发机构 (CA) 的证书吊销列表 (CRL) 包含外部 CA 在预定截止日期之前已吊销且应不再可信的数字证书列表。

对于外部 CA 的 CRL，NetBackup 支持 PEM 和 DER 格式。

所有 CRL 颁发者或外部 CA 的 CRL 均存储在每个主机上的 NetBackup CRL 缓存中。

在安全通信期间，每个 NetBackup 主机都基于 ECA_CRL_CHECK 配置选项，根据 NetBackup CRL 缓存中的 CRL 验证对等主机外部证书的吊销状态。

系统使用以下 CRL 来源之一，在 NetBackup CRL 缓存中更新所需的 CRL：

ECA_CRL_PATH 配置选项

NetBackup 配置选项（在 UNIX 上的 bp.conf 文件或 Windows 注册表中），此选项用于指定 CRL 所在的目录路径。

CRL 分发点 (CDP)

如果未指定 ECA_CRL_PATH，NetBackup 将从对等主机证书的 CDP 中指定的 URL 下载 CRL，并将其缓存在 NetBackup CRL 缓存中。

NetBackup 支持从 CDP 中指定的 HTTP 和 HTTPS URL 下载 CRL。

NetBackup CRL 缓存仅包含每个 CA（包括根 CA 和中间 CA）的 CRL 的最新副本。

在以下情况下，bpclntcmd -crl_download 服务会在主机通信期间更新 CRL 缓存，无论为 ECA_CRL_PATH_SYNC_HOURS 或 ECA_CRL_REFRESH_HOURS 选项设置的时间间隔如何：

注意:

bpclntcmd -crl_download 服务在 CRL 缓存中更新 CRL 后，在接下来的 15 分钟内它不会下载同一 CA 的 CRL，即使出现可以下载的情况也是如此。如果要在 15 分钟内更新 CRL，请终止 bpclntcmd -crl_download 服务。