搜索 <book_title>...

Veritas NetBackup™ 故障排除指南

Last Published: 2021-07-28

Product(s): NetBackup (9.1)

Windows 证书存储库问题故障排除

在使用 Windows 证书存储库时，Web 服务证书由未知的证书颁发机构颁发

问题

注册主机证书时，无法信任 Web 服务证书。

原因

此问题是由以下原因之一导致的：

解决方法

要解决该问题，请查看以下原因，然后运行以下命令以确定该问题的当前状态。

Install_Path/bin/ nbcertcmd -enrollCertificate -preCheck -server server_name

Install_Path 是指以下路径：

在 Windows 上：VERITAS\NetBackup\bin

在 UNIX 上：/usr/openv/netbackup/bin

针对“未正确配置用于通信的 Web 服务证书”这一原因的解决方法

检查是否为 Web 服务器配置了有效证书及其 CA 证书。

运行以下命令以列出为 Web 服务器配置的证书。
Install_Path/nbcertcmd -listallcertificates -jks
在 Windows 上：C:\Program Files\ VERITAS\NetBackup\bin\nbcertcmd -listallcertificates -jks
在 Unix 上：/usr/openv/netbackup/bin/netbackup/bin/nbcertcmd -listallcertificates -jks
确保 jks 中存在链中的所有证书（根 CA 证书除外）。
在 nbcertcmd -listallcertificates -jks 输出中检查以下参数。
- 别名：eca
- 条目类型：PrivateKeyEntry
如果它们不存在，请在作为 Web 服务证书文件的实体证书文件的末尾添加 CA 链。Web 服务证书应位于顶部，下面依次是其颁发者 CA 证书、该 CA 证书的颁发者等等。
如果证书链只有两个证书（根证书和 Web 服务证书），则证书文件只有一个作为 Web 服务证书的证书。
运行 configureWebServerCerts 命令。

针对“Windows 证书存储库中不存在 Web 服务证书的证书链中的根证书”这一原因的解决方法

运行 certlm.msc 命令。
在证书管理窗口中，打开名为“可信根证书颁发机构”的存储库。
“可信根证书颁发机构”存储库包含相应计算机信任的所有自签名证书。
- 如果 certlm.msc 无法运行，您可以通过运行 mmc.exe 命令访问 Windows 证书存储库。
- 文件 > 添加/删除管理单元。
- 在左侧选择证书。
- 单击“添加”。
- 选择计算机帐户。
- 单击“下一步”>“完成”>“确定”。
- 单击“可信根证书颁发机构”>“证书”。
- 检查“可信根证书颁发机构”存储库中是否存在用于配置 Web 服务的证书链中的根 CA 证书。
如果不存在该根 CA 证书，请单击“所有操作”>“导入”，选择证书的 .PEM/.CRT/.CER 文件，然后单击“导入”。
所有证书都应导入本地计算机存储库（而不是当前用户存储库）。
您可以在证书管理窗口中验证当前存储库。

问题

不支持证书的公钥算法。

NetBackup 不支持公钥算法。当前仅支持 RSA 算法。

原因

具有给定路径的证书存在于 Windows 证书存储库中，但其签名算法不受支持。

解决方法

需要对证书使用 NetBackup 支持的公钥算法。

有关在 NetBackup 中注册外部证书的更多详细信息，请参考《NetBackup 安全和加密指南》。

问题

给定证书的私钥不可用。

通过路径指定的证书的相应私钥没有导入到 Windows 证书存储库中。

原因

这通常是由以下原因所致：手动在 Windows 证书存储库中导入 .crt、.cer 或 .pem 证书而不是导入 .pfx。

解决方法

确保证书的私钥已导入。

运行 certlm.msc 命令。
如果 certlm.msc 无法运行，您可以通过运行 mmc.exe 命令访问 Windows 证书存储库。
文件 > 添加/删除管理单元
导航到您的证书。
双击打开证书。
如果证书包含私钥，应显示一条消息，指出您拥有此证书对应的私钥。
如果要手动注册证书，请导入 .pfx 文件，而不只是导入 .cer 或 .crt 文件。

有关在 NetBackup 中注册外部证书的更多详细信息，请参考《NetBackup 安全和加密指南》。

问题

未找到具有给定使用者名称的证书

在 ECA_CERT_PATH 中使用了特殊关键字 $hostname 时，找不到证书

原因

本地计算机存储库中不存在给定 ECA_CERT_PATH 对应的证书。

存储库名称、颁发者名称或使用者名称中的其中一个属性与本地计算机存储库中的属性不一致。

解决方法

检查本地计算机存储库中是否存在该证书。执行以下操作：
- 运行 certlm.msc 命令。
  如果 certlm.msc 无法运行，您可以通过运行 mmc.exe 命令访问 Windows 证书存储库。
  文件 > 添加/删除管理单元。
- 检查该证书是否存在
验证是否满足以下条件：
- 证书位置是一个路径或以逗号分隔的多个路径，每个路径均使用以斜杠 (\) 分隔的存储库名称、颁发者名称和使用者名称指定。
- 存储库名称必须与证书所在存储库完全一致。
- 颁发者名称和使用者名称应始终属于 ECA_CERT_PATH。如果没有为颁发者名称指定任何内容，则表示可以使用任何颁发者。
- $hostname 是特殊关键字，可以在使用者名称中使用。查找证书时，$hostname 将替换为主机的实际 FQDN。
- 使用 $hostname 时，证书的 CN 必须包含 FQDN。
- 如果实际存储库名称、颁发者名称或使用者名称中存在反斜杠 (\)，则要使用双引号。
- 尽管使用者名称始终属于 ECA_CERT_PATH，但不允许使用 CN=示例 CN。
  ECA_CERT_PATH 中的使用者应是实际 CN、OU、O、L、S、C 等的任意子字符串。

有关在 NetBackup 中注册外部证书的更多详细信息，请参考《NetBackup 安全和加密指南》。