<book_title> を検索 ...

NetBackup™ Web UI 管理者ガイド

Last Published: 2024-01-25

Product(s): NetBackup & Alta Data Protection (10.3.0.1)

CyberArk サーバーの証明書失効リスト

外部認証局 (CA) の証明書失効リスト (CRL) には、スケジュールされた有効期限前に外部 CA が無効化して、信頼しないようにする必要があるデジタル証明書のリストが含まれています。NetBackup は外部 CA の CRL の PEM と DER 形式をサポートしています。すべての CRL 発行者または外部 CA の CRL は、各ホストに存在する NetBackup CRL キャッシュに格納されています。安全な通信中に、CRL の確認レベルの構成オプションに基づき、NetBackup CRL キャッシュに存在する CRL を使用して NetBackup ホストがピアホストの外部証明書の失効状態を検証します。外部 CMS サーバーの場合、NetBackup は、CDP ベースのサーバー証明書をサポートします。

NetBackup はピアホスト証明書の CDP で指定された URL から CRL をダウンロードし、NetBackup CRL キャッシュにその CRL をキャッシュします。

CDP から CRL を使用するには

ピアホストの CDP で指定されている URL にホストがアクセスできることを確認します。
CRL の確認レベルの構成オプションが DISABLE 以外の値に設定されていることを確認します。

デフォルトでは、24 時間ごとに CDP から CRL がダウンロードされ、CRL キャッシュが更新されます。時間間隔を変更するには、ECA_CRL_REFRESH_HOURS 構成オプションに別の値を設定します。CRL キャッシュから CRL を手動で削除するには、nbcertcmd -cleanupCRLCache コマンドを実行します。NetBackup CRL キャッシュには、各 CA (ルートおよび中間 CA を含む) の CRL の最新のコピーのみが含まれています。bpclntcmd -crl_download サービスは、ECA_CRL_REFRESH_HOURS オプションで設定された時間の間隔にかかわらず、次のシナリオのホストの通信時に CRL キャッシュを更新します。

CRL キャッシュ内の CRL の期限が切れたとき。
CRL が CRL ソースで利用可能で、CRL キャッシュにない場合。

ECA_CRL_REFRESH_HOURS について詳しくは、『Veritas NetBackup™ セキュリティおよび暗号化ガイド』の「NetBackup サーバーとクライアントの ECA_CRL_REFRESH_HOURS」セクションを参照してください。

メモ:

デフォルトでは、ECMS_HOSTS_SECURE_CONNECT_ENABLED フラグは有効になっています (true に設定)。このフラグが有効な場合、外部 CMS サーバーに配備された証明書には、外部 CMS サーバーのホスト名と一致する一般名またはサブジェクトの別名が必要です。これがない場合は、外部 CMS サーバーへの接続が失敗します。詳しくは、『NetBackup™ 管理者ガイド Vol. 1』の ECMS_HOSTS_SECURE_CONNECT_ENABLED に関するセクションを参照してください。