<book_title> を検索 ...

NetBackup™ トラブルシューティングガイド

Last Published: 2022-05-05

Product(s): NetBackup (10.0)

Windows 証明書ストアの問題のトラブルシューティング

Windows 証明書ストアの使用時に、Web サービス証明書が不明な認証局によって発行された

問題

ホスト証明書の登録中に Web サービス証明書が信頼されません。

原因

この問題は次のいずれかの原因で発生する可能性があります。

通信に使用される Web サービス証明書が正しく構成されていない。
Windows 証明書ストアの信頼できるルート認証局に、Web サービス証明書の証明書チェーンのルート証明書が存在しない。

解決方法

この問題を解決するには、次の原因を確認し、次のコマンドを実行して問題の現在の状態を判断します。

Install_Path/bin/ nbcertcmd -enrollCertificate -preCheck -server server_name

Install_Path は、次を指します。

Windows の場合: VERITAS\NetBackup\bin

UNIX の場合: /usr/openv/netbackup/bin

次が原因である場合の解決方法: 通信に使用される Web サービス証明書が正しく構成されていない

有効な証明書とその CA 証明書を使用して Web サーバーが構成されていることを確認します。

次のコマンドを実行し、Web サーバー用に構成されている証明書を一覧表示します。
Install_Path/nbcertcmd -listallcertificates -jks
Windows の場合: C:\Program Files\ VERITAS\NetBackup\bin\nbcertcmd -listallcertificates -jks
UNIX の場合: /usr/openv/netbackup/bin/netbackup/bin/nbcertcmd -listallcertificates -jks
チェーン内のすべての証明書 (ルート CA 証明書を除く) が jks に存在することを確認します。
nbcertcmd -listallcertificates -jks の出力で、次のパラメータを確認します。
- エイリアス名: eca
- エントリ形式: PrivateKeyEntry
これらが存在しない場合は、Web サービス証明書ファイルであるエンティティ証明書ファイルの最後に CA チェーンを追加します。最上位に Web サービス証明書、その下にその発行者の CA 証明書、その下にその CA 証明書の発行者、のようにします。
証明書チェーンに 2 つの証明書 (ルート証明書と Web サービス証明書) しかない場合、証明書ファイルには 1 つの証明書 (Web サービス証明書) のみが存在します。
configureWebServerCerts コマンドを実行します。

次が原因である場合の解決方法: Web サービス証明書の証明書チェーンのルート証明書が Windows 証明書ストアに存在しない

certlm.msc コマンドを実行します。
［証明書管理 (Certificate Management)］ウィンドウで、［信頼できるルート認証局 (Trusted Root Certification Authorities)］という名前のストアを開きます。
［信頼できるルート認証局 (Trusted Root Certification Authorities)］ストアには、そのマシンで信頼されるすべての自己署名証明書が含まれています。
- certlm.msc が動作しない場合は、mmc.exe コマンドを実行して Windows 証明書ストアにアクセスできます。
- ［ファイル (File)］、［スナップインの追加と削除 (Add Remove Snap in)］の順に移動します。
- 左側から証明書を選択します。
- ［追加 (Add)］をクリックします。
- コンピュータアカウントを選択します。
- ［次へ (Next)］、［完了 (Finish)］、［OK］の順にクリックします。
- ［信頼できるルート認証局 (Trusted Root Certification Authorities)］、［証明書 (Certificates)］の順にクリックします。
- ［信頼できるルート認証局 (Trusted Root Certification Authorities)］、［証明書 (Certificates)］の順にクリックします。
ルート CA 証明書が存在しない場合は、［すべてのアクション (All Actions)］、［インポート (Import)］の順にクリックし、証明書の .PEM、.CRT、または .CER ファイルを選択して［インポート (Import)］をクリックします。
証明書はすべて、現在のユーザーストアではなくローカルマシンストアにインポートする必要があります。
［証明書管理 (Certificate Management)］ウィンドウで現在のストアを確認できます。

問題

証明書の公開鍵アルゴリズムがサポートされていません。

公開鍵アルゴリズムは NetBackup でサポートされていません。現在、RSA アルゴリズムのみがサポートされています。

原因

指定されたパスの証明書が Windows 証明書ストアに存在しますが、その署名アルゴリズムがサポートされていません。

解決方法

NetBackup でサポートされている公開鍵アルゴリズムが使用された証明書を使用する必要があります。

NetBackup での外部証明書の登録について詳しくは、『NetBackup セキュリティおよび暗号化ガイド』を参照してください。

問題

指定した証明書の秘密鍵を利用できません。

パスで指定した証明書に対応する秘密鍵が、Windows 証明書ストアにインポートされていません。

原因

これは通常、.pfx ではなく、.crt、.cer、または .pem 証明書を Windows 証明書ストアに手動でインポートしたことが原因です。

解決方法

証明書の秘密鍵がインポート済みであることを確認します。

certlm.msc コマンドを実行します。
certlm.msc が動作しない場合は、mmc.exe コマンドを実行して Windows 証明書ストアにアクセスできます。
［ファイル (File)］、［スナップインの追加と削除 (Add Remove Snap in)］の順に移動します。
証明書に移動します。
証明書をダブルクリックして開きます。
秘密鍵付きの証明書では、この証明書に対応する秘密鍵があることを示すメッセージが表示されます。
証明書を手動で登録する場合は、.cer または .crt ファイルだけでなく、.pfx ファイルもインポートします。

NetBackup での外部証明書の登録について詳しくは、『NetBackup セキュリティおよび暗号化ガイド』を参照してください。

問題

指定したサブジェクト名の証明書が見つかりません。

ECA_CERT_PATH に特殊なキーワード $hostname が使用されていると、証明書が見つかりません。

原因

指定された ECA_CERT_PATH のローカルマシンストアに証明書が存在しません。

ストア名、発行者名、サブジェクト名のいずれかの属性が、ローカルマシンストアの属性と一致していません。

解決方法

証明書がローカルマシンストアに存在するかどうかを確認します。次を実行します。
- certlm.msc コマンドを実行します。
  certlm.msc が動作しない場合は、mmc.exe コマンドを実行して Windows 証明書ストアにアクセスできます。
  ［ファイル (File)］、［スナップインの追加と削除 (Add Remove Snap in)］の順に移動します。
- 証明書が存在するかどうかを確認します
次の条件を満たしていることを確認します。
- 証明書の場所は、パスまたはカンマ区切りのパスで、各パスはスラッシュ (\) で区切られたストア名、発行者名、サブジェクト名を使用して指定されている。
- ストア名は、証明書が存在するストアと完全に一致する必要がある。
- 発行者名とサブジェクト名は必ず ECA_CERT_PATH に含まれている必要がある。発行者名に何も指定されていない場合は、任意の発行者を考慮することを意味する。
- $hostname は特殊なキーワードで、サブジェクト名で使用できる。証明書を検索するとき、$hostname はホストの実際の FQDN に置き換えられる。
- $hostname を使用する場合、証明書は CN の一部として FQDN を指定する必要がある。
- 実際のストア名、発行者名、サブジェクト名にバックスラッシュ (\) が存在する場合は、二重引用符を使用する。
- サブジェクト名は必ず ECA_CERT_PATH の一部にする必要がある。ただし、CN =example CN は許可されない。
  ECA_CERT_PATH のサブジェクトは、実際の CN、OU、O、L、S、C などの任意の部分文字列にする必要がある。

NetBackup での外部証明書の登録について詳しくは、『NetBackup セキュリティおよび暗号化ガイド』を参照してください。