搜索 <book_title>...

Veritas NetBackup™ 故障排除指南

Last Published: 2021-07-28

Product(s): NetBackup (9.1)

外部 CA 签名证书吊销问题故障排除

使用 ECA_CRL_PATH 或 CDP 在 NetBackup CRL 缓存中更新所需的 CRL。

有关更多详细信息，请参考《NetBackup 安全和加密指南》中“关于外部 CA 的证书吊销列表”一章。

症状

证书吊销列表不可用（NetBackup 状态码 - 5982）

原因

解决方法

如果在 NetBackup 配置文件中指定 ECA_CRL_PATH 设置，请确保满足以下条件：
- ECA_CRL_PATH 具有正确的 CRL 目录路径
- CRL 目录包含所需的所有证书颁发者的 CRL（根据 ECA_CRL_CHECK 设置）
如果使用 CDP（未指定 ECA_CRL_PATH）
- 请确保证书至少包含一个指向某个 CRL 的 CDP（使用 HTTP/HTTPS 协议），并且该 CRL 包含了能查询所有原因的吊销信息。
- CDP URL 可访问。
确保为 ECA_CRL_PATH 指定的目录中或 CDP 位置的 CRL 有效。
- CRL 为 PEM 或 DER 格式。
- CRL 未过期。
- CRL 不是增量 CRL。
- CRL 的上次更新日期不是将来日期。
如果 bpclntcmd -crl_download 服务正在运行，请使用 bpclntcmd -terminate 命令将其终止，然后重试该操作。
检查以下位置的 NetBackup CRL 缓存中是否具有所需的 CRL：
UNIX：/usr/openv/var/vxss/crl
Windows：install_path\NetBackup\var\vxss\crl
如果问题仍然存在，请检查以下位置的 bpclntcmd 日志：
UNIX：/usr/openv/netbackup/logs/bpclntcmd
Windows：install_path\NetBackup\logs\bpclntcmd

症状

即使证书已吊销，NetBackup 仍正确运行，或即使证书未吊销，NetBackup 操作却失败并显示错误“证书已吊销”。

原因

NetBackup 主机的 CRL 缓存未更新。

解决方法

验证以下位置的 CRL 是否已更新：
UNIX：/usr/openv/var/vxss/crl
Windows：install_path\NetBackup\var\vxss\crl
如果未更新，请根据 ECA_CRL_CHECK 设置清理证书链中颁发者的缓存 CRL。
要执行清理操作，请使用 nbcertcmd -cleanupCRLCache -issuerHash SHA-1_hash_of_CRL_issuer_name 命令。
如果在 NetBackup 配置文件中指定了 ECA_CRL_PATH 设置，请确保其包含所需的所有颁发者的最新 CRL。
如果 bpclntcmd -crl_download 服务正在运行，请使用 bpclntcmd -terminate 命令将其终止，然后重试该操作。