NetBackup™ トラブルシューティングガイド

• 通信に使用される Web サービス証明書が正しく構成されていない。

• 一部の NetBackup Core Services が開始されていない。

• 外部証明書の必要な前提条件が満たされていない。

• 外部証明書の構成パス (ECA_CERT_PATH) が正しく構成されていない。

• 証明書の失効の確認に失敗した。

• NetBackup Web サーバーが外部証明書を使用するように構成されていません。

  次のエラーが表示されます。

  終了状態 26: クライアント/サーバーのハンドシェークが失敗しました。

  • プライマリサーバーで次のコマンドを実行し、外部 CA が構成されているかどうか (オンかオフか) を確認します。

    install_path/nbcertcmd -getSecConfig -caUsage

    Windows の場合: install_path\NetBackup\bin\nbcertcmd -getSecConfig -caUsage

    UNIX の場合: /usr/openv/netbackup/bin/netbackup/bin/nbcertcmd -getSecConfig -caUsage

    例: install_path\NetBackup\bin>nbcertcmd -getSecConfig -caUsage

    出力:

    NBCA:OFF ECA:ON

    外部 CA が構成されていない場合は、Web サーバーで configureWebServerCerts コマンドを実行します。

    場合によっては、Web サーバーで外部 CA が構成されていないときに次のエラーも発生する可能性があります。

    終了状態 5982: 証明書失効リストを使用できません。

    この場合は、まず ECA パラメータの値を確認します。この値がオフの場合は、configureWebServerCerts コマンドを実行します。

• 通信に使用される Web サービス証明書が認証局に信頼されていません。

  • 証明書のパス (configureWebServerCert -certPath オプション) で、リーフ証明書と、トラストアンカー (ルート CA) を除く CA 証明書のチェーン全体が指定されている必要があります。

  • 次のコマンドを実行し、Web サーバー用に構成されている証明書を一覧表示します。

    nbcertcmd -listallcertificates -jks

    Windows の場合: C:\Program Files\ VERITAS\NetBackup\bin\nbcertcmd -listallcertificates -jks

    UNIX の場合: /usr/openv/netbackup/bin/netbackup/bin/nbcertcmd -listallcertificates -jks

  • 次のコマンドを実行して、NetBackup プライマリサーバーのホスト証明書の詳細を一覧表示します。

    install_path/goodies/nbsslcmd x509 -in certificate_path -noout -text -purpose

    Windows の場合: install_path\goodies\nbsslcmd x509 -in certificate_path -noout -text -purpose

    UNIX の場合: /usr/openv/netbackup/bin/netbackup/bin/goodies/nbsslcmd x509 -in certificate_path -noout -text -purpose

    プライマリサーバーのホスト証明書が、Web サーバー証明書と同じ root CA によって発行されているかどうかを検証します。

    ホスト証明書が、Web サーバー証明書と同じ root CA によって発行されていない場合、NetBackup プライマリサーバーの CA で新しい証明書を発行し、再度証明書を登録します。

• 指定したサーバー名が Web サービス証明書内に見つかりませんでした。

  サーバー名がサーバーの証明書に表示されているどのホスト名とも一致しません。

  サーバーの証明書に表示されている名前は、次のとおりです:

  DNS: nb-primary _ext

  DNS: nb-primary .some.domain.com

  DNS: nb-primary _web_svr EXIT STATUS 8509:

  Web サーバー証明書に存在するいずれかの名前を使用してプライマリサーバーを参照するように NetBackup ホストの構成を更新するか、証明書の NetBackup ドメインに認識されているプライマリサーバーのすべての名前を含めます。

問題を解決するには、次の手順を使います。

• NetBackup bin ディレクトリから bpps コマンドを実行し、次のサービスの状態を確認します。

  • nbsl

  • vnetd -standalone

  • postgres (UNIX) または NetBackup Scale-Out Relational Database Manager (Windows)

• nbsl および vnetd サービスが実行されていない場合は再起動します。

• NetBackup Scale-Out Relational Database が実行されていない場合は再起動します。

次の前提条件を確認してください。

• サブジェクト DN は一意で、各ホストで安定している必要があります。255 文字未満にする必要があり、空にはできません。

• 証明書のサブジェクト DN と X509v3 サブジェクトの別名では、ASCII 7 文字のみがサポートされています。

• サーバーとクライアントの認証属性 (SSL サーバーと SSL クライアント) を証明書に設定する (または true にする) 必要があります。

• 証明書は PEM 形式です。

• CRL 配布ポイント (CDP) は、HTTP/HTTPS のみでサポートされます。

• 証明書の登録に使用されるホスト名 (CLIENT_NAME) は、DNS タイプの X509v3 サブジェクトの別名の一部にする必要があります。

• サブジェクト名の一般名 (CN) を空にはできません。

• ECA_CERT_PATH

• ECA_TRUST_STORE_PATH

• ECA_PRIVATE_KEY_PATH

• ECA_CRL_PATH

• ECA_CRL_CHECK

• ピアホスト証明書に CRL 配布ポイント (CDP) が指定されている。

  ECA_CRL_PATH を指定しない場合、NetBackup はピアホスト証明書の CDP で指定されている URL の CRL を使用します。

• ECA_CRL_PATH は、Windows の volumeID パスではありません。

• 証明書の登録に使用されるホスト名 (CLIENT_NAME) が、DNS タイプの X509v3 サブジェクトの別名の一部ではありません。

  このエラーによって登録に失敗した場合は、次のいずれかの操作を行います。

  • 証明書のサブジェクトの別名にホスト名が存在する新しい証明書を生成します。

  • プライマリサーバーの外部証明書データベースで、証明書 (RFC 2253 準拠) のサブジェクト名を追加または更新 (削除してから追加) します。

    次のコマンドを実行して、ホストと関連サブジェクト名のエントリを NetBackup 証明書データベースに追加します (管理者のみがこの操作を実行できます)。

    install_path/bin/nbcertcmd -createECACertEntry -host host_name | -hostId host_id -subject subject name of external cert [-server primary_server_name]

    または、次のコマンドを実行して、NetBackup 証明書データベースからホストと関連サブジェクト名のエントリを削除してから、-createECACertEntry コマンドを使用してエントリを追加します (管理者のみがこの操作を実行できます)。

    install_path/bin/nbcertcmd -deleteECACertEntry -subject subject name of external cert [-server primary_server_name]

• サブジェクト名の一般名 (CN) が証明書内に存在しない。

  このエラーによって証明書の登録に失敗した場合は、次のいずれかの操作を行います。

  • 証明書に一般名が存在する新しい証明書を生成します。

  • 証明書のサブジェクトの別名にホスト名が存在する新しい証明書を生成します。

  • NetBackup ホストデータベースにホストを追加し、ホストとその関連サブジェクト名のエントリを NetBackup 証明書データベースに追加します。

    次のコマンドを実行して、ホストを NetBackup ホストデータベースに追加します (管理者のみがこの操作を実行できます)。

    install_path/bin/admincmd/nbhostmgmt -addhost -host host_name | -hostId host_id [-server primary_server_name]

    次のコマンドを実行して、ホストと関連サブジェクト名のエントリを NetBackup 証明書データベースに追加します。

    install_path/bin/nbcertcmd -createECACertEntry -host host_name | -hostId host_id -subject subject name of external cert [-server primary_server_name]

    外部証明書のサブジェクト名は、RFC 2253 準拠である必要があります。

• 外部証明書が無効化されている

• Web サーバー証明書が無効化されている

• ホストまたはプライマリサーバーで CRL が使用できない。