Veritas NetBackup™ Appliance セキュリティガイド

証明書ファイルが .pem ファイル形式であり、"-----BEGIN CERTIFICATE-----"で始まっている 。

証明書ファイルの証明書の SAN (サブジェクトの別名) フィールドにホスト名と FQDN が含まれている。証明書を HA 環境で使用する場合、SAN フィールドには VIP、ホスト名、FQDN が含まれている必要がある。

サブジェクト名フィールドと一般名フィールドが空ではない。

サブジェクトフィールドが各ホストで一意である。

サブジェクトフィールドに含まれる文字が最大 255 文字である。

サーバーとクライアントの認証属性が証明書に設定されている。

証明書のサブジェクトフィールドおよび SAN フィールドで ASCII 7 文字のみが使用されている。

秘密鍵ファイルが PKCS#8 PEM 形式で、-----BEGIN ENCRYPTED PRIVATE KEY----- または -----BEGIN PRIVATE KEY----- で始まっている。

インポートする必要がある証明書を特定します。

After certificate uploaded, /inst/share/ may look like that:
/inst/share # ls
cacerts.pem  cert_chain.pem  crl  key.pem
/inst/share # ls crl
NBAECA.crl  NBAECA_INTERMEDIATE.crl  NBRootCA.crl

証明書をインポートします。

Enter the certificate:
Enter the following details for external certificate configuration:
Enter the certificate file path: cert_chain.pem
Enter the trust store file path: cacerts.pem
Enter the private key path: key.pem
Enter the password for the passphrase file path or skip security configuration (default: NONE):
Should a CRL be honored for the external certificate?
1) Use the CRL defined in the certificate.
2) Use the specific CRL directory.
3) Do not use a CRL.
q) Skip security configuration.
CRL option (1): 2
Enter the CRL location path: crl
Then confirm input information and answer the subsequent questions.

証明書ファイルは、登録後に /usr/openv/var/hostcert ディレクトリに格納されます。

アプライアンスの証明書ファイル (/etc/vxos-ssl/servers/certs/) が、プライマリサーバーの証明書ファイル (/usr/openv/var/global/appliance_certificates/) と同じである。

アプライアンスの証明書ファイル (/etc/vxos-ssl/servers/certs/) に <FQDN_hostname>-self.cert.pem という形式の名前が付いている。

システム全体のトラストストア:

CA 証明書はシステム全体のトラストストアに追加されます。CA 証明書を /etc/pki/ca-trust/source/anchors/ にコピーし、/etc/pki/ca-trust/extracted 以下のすべての場所に CA 証明書を追加します。これには、/etc/pki/ca-trust/extracted/openssl/ca-bundle.trust.crt、/etc/pki/ca-trust/extracted/pem/email-ca-bundle.pem、objsign-ca-bundle.pem tls-ca-bundle.pem、/etc/pki/ca-trust/extracted/java/cacerts が含まれます。

Tomcat キーストア:

CA 証明書は Tomcat トラストストア /opt/apache-tomcat/security/keystore に追加されます。

NetBackup トラストストア:

NetBackup によって ECA が有効になっている場合、CA は /usr/openv/var/hostcert/trustStorePath/cacerts.pem ファイルの最後に追加されます。configureWebServerCerts を呼び出して、NetBackup Web サービスのトラストストアを更新します。これには、/usr/openv/var/global/wsl/credentials/externalcacreds/nbwebservice.bcfks と /usr/openv/var/global/wsl/credentials/tpcredentials/nbwebservice.bcfks が含まれます。

システム全体のトラストストア:

/etc/pki/ca-trust/source/anchors にある CA 証明書ファイルが削除され、システム全体のトラストストアが更新されます。これには、/etc/pki/ca-trust/extracted/openssl/ca-bundle.trust.crt、/etc/pki/ca-trust/extracted/pem/email-ca-bundle.pem、objsign-ca-bundle.pem tls-ca-bundle.pem、/etc/pki/ca-trust/extracted/java/cacerts が含まれます。

Tomcat キーストア:

CA 証明書が Tomcat キーストアから削除されます。

NetBackup トラストストア:

NetBackup 関連のキーストアから CA 証明書を削除します。/usr/openv/var/hostcert/trustStorePath/cacerts.pem ファイルの CA が削除され、次に NetBackup Web サービストラストストアの CA が削除されます。これには、/usr/openv/var/global/wsl/credentials/externalcacreds/nbwebservice.bcfks と /usr/openv/var/global/wsl/credentials/tpcredentials/nbwebservice.bcfks が含まれます。