Recherche dans <book_title>…

Guide de dépannage de Veritas NetBackup™

Last Published: 2020-10-26

Product(s): NetBackup (8.3.0.1)

Impossible de se connecter à la console d'administration NetBackup après la configuration des autorités de certification externes

Passez en revue les scénarios de dépannage suivants.

Pour des informations sur la prise en charge des autorités de certification externes dans NetBackup, consultez le Guide de sécurité et de chiffrement NetBackup.

Scénario

Si le service vnetd est arrêté sur l'hôte auquel la console d'administration NetBackup se connecte

Opération recommandée

Vérifiez si les services sont actifs sur l'hôte et essayez de vous connecter à nouveau.

Scénario

Si la clé privée du certificat externe n'est pas disponible ou est dans un format incorrect, l'erreur VRTS-28678 s'affiche.

Opération recommandée

Vérifiez si le chemin fourni pour l'option de configuration ECA_PRIVATE_KEY_PATH est valide (il ne doit pas être vide).
Vérifiez si le chemin fourni pour ECA_PRIVATE_KEY_PATH est accessible et si le fichier de clé privée possède les autorisations d'accès requises.
Fournissez une clé privée valide et essayez de vous connecter à nouveau.

En cas d'utilisation d'un magasin de certificats Windows, procédez comme suit :

Exécutez la commande certlm.msc.
Dans le cas où la commande certlm.msc ne fonctionne pas, vous pouvez accéder au magasin de certificats Windows en exécutant la commande mmc.exe. Accédez à Fichier > Ajouter/Supprimer un composant logiciel enfichable.
Ouvrez le certificat en double-cliquant dessus.
Le certificat avec la clé privée doit présenter un message indiquant que vous disposez d'une clé privée correspondant à ce certificat.

Scénario

Si le certificat externe n'est pas présent alors que vous établissez la confiance avec la console d'administration NetBackup.

Opération recommandée

Vérifiez si le chemin fourni pour l'option de configuration ECA_TRUST_STORE_PATH n'est pas vide.
Vérifiez si le chemin fourni pour ECA_TRUST_STORE_PATH est accessible et également si le fichier de certificat de l'autorité de certification possède les autorisations d'accès requises.
Fournissez un certificat externe valide et essayez de vous connecter.

En cas d'utilisation d'un magasin de certificats Windows, procédez comme suit :

Vérifiez si le certificat de l'autorité de certification racine est ajouté aux autorités de certification racine approuvées du magasin de certificats Windows.
Exécutez la commande certlm.msc. Dans la fenêtre de gestion des certificats, ouvrez le magasin nommé Autorités de certification racine approuvées. Le magasin des autorités de certification racine approuvées contient tous les certificats auto-signés approuvés par cet ordinateur.
Dans le cas où la commande certlm.msc ne fonctionne pas, vous pouvez accéder au magasin de certificats Windows en exécutant la commande mmc.exe. Accédez à Fichier > Ajouter/Supprimer un composant logiciel enfichable.
- Sélectionnez les certificats côté gauche.
- Cliquez sur Ajouter.
- Sélectionnez le compte d'ordinateur. Cliquez sur Suivant.
- Cliquez sur Terminer, puis sur OK.
- Cliquez sur Autorités de certification racine approuvées > Certificats.
- Vérifiez si le certificat de l'autorité de certification racine dans la chaîne de certificats est présent dans le magasin des autorités de certification racine approuvées.
Si le certificat de l'autorité de certification racine n'est pas présent, procédez comme suit :
- Cliquez sur Toutes les actions > Importer.
- Sélectionnez le fichier PEM, CRT ou CER du certificat et cliquez sur Importer.
Remarque :
Tous les certificats doivent être importés dans le magasin de l'ordinateur local et non dans le magasin de l'utilisateur actuel. Vous pouvez vérifier le magasin actuel dans la fenêtre de gestion des certificats.
Ajoutez un certificat d'autorité de certification externe valide et essayez de vous connecter.

Scénario

Si un certificat signé par une autorité de certification externe n'est pas présent ou n'est pas accessible, l'erreur suivante s'affiche :

The host does not have external CA-signed certificate. The certificate is mandatory to establish a secure connection.

Opération recommandée

Vérifiez si le chemin fourni pour ECA_CERT_PATH dans le fichier de configuration NetBackup n'est pas vide.
Vérifiez si le chemin d'accès fourni pour ECA_CERT_PATH pointe vers la chaîne complète de certificats.
Vérifiez si le chemin fourni pour ECA_CERT_PATH est accessible et s'il possède les autorisations d'accès requises.
Fournissez un certificat signé par une autorité de certification externe valide et essayez de vous connecter.

En cas d'utilisation d'un magasin de certificats Windows, procédez comme suit :

Vérifiez si ECA_CERT_PATH contient la valeur appropriée : Windows Certificate Store Name\Issuer Name\Subject Name. Vérifiez si le certificat existe dans le magasin de certificats Windows.
- Exécutez la commande certlm.msc.
  Dans le cas où la commande certlm.msc ne fonctionne pas, vous pouvez accéder au magasin de certificats Windows en exécutant la commande mmc.exe.
  Fichier > Ajouter/Supprimer un composant logiciel enfichable.
- Accédez au certificat, selon l'entrée saisie Nom du magasin de certificats Windows\Nom de l'émetteur\Nom de l'objet.
- Ouvrez le certificat en double-cliquant dessus.
- Assurez-vous qu'il est valide, qu'il possède une clé privée, un nom d'émetteur correct et un nom d'objet correct.
  Si vous utilisez $hostname dans le nom de l'objet, vérifiez que l'objet du certificat possède un nom de domaine complet de l'hôte.
  Si ce n'est pas le cas, modifiez ECA_CERT_PATH ou placez le certificat correct dans le magasin de certificats Windows, puis essayez de vous connecter.

Scénario

La liste de révocation des certificats (CRL) n'est pas signée par une autorité de certification approuvée.

Opération recommandée

Cela peut se produire au moment de la connexion si le serveur maître a été configuré pour utiliser des certificats NetBackup et s'il a ensuite été autorisé à utiliser des certificats externes et vice versa. La console d'administration NetBackup démarre avec la nouvelle liste CRL si vous cliquez sur Moniteur d'activité, verrouille l'écran, essaye de se connecter à nouveau ou lors des vérifications périodiques après toutes les heures, et la vérification de l'état de révocation du certificat échoue.

Pour résoudre ce problème, vous devez fermer la console et vous connecter à nouveau afin que le certificat de l'hôte homologue et la liste CRL soient synchronisés.

Si la reconnexion ne résout pas le problème, il se peut que la nouvelle liste CRL n'ait pas été téléchargée.

Exécutez la commande suivante après avoir corrigé le format de la liste CRL :

UNIX : /usr/openv/netbackup/bin/nbcertcmd -updateCRLCache

Windows : install_path\Veritas\Netbackup\bin\nbcertcmd -updateCRLCache

Scénario

L'état de révocation du certificat de l'hôte ne peut pas être vérifié en utilisant la liste CRL, car le format de la liste n'est pas valide.

Opération recommandée

Cette erreur peut se produire si une liste CRL delta est utilisée.

NetBackup ne prend pas en charge les listes CRL delta, vous devez donc utiliser des listes CRL qui ne sont pas des listes delta.

Exécutez la commande suivante après avoir corrigé le format de la liste CRL :

UNIX : /usr/openv/netbackup/bin/nbcertcmd -updateCRLCache

Windows : install_path\Veritas\Netbackup\bin\nbcertcmd -updateCRLCache

Scénario

Le certificat du nom d'hôte a été révoqué.

Opération recommandée

Si le certificat a été révoqué par erreur, générez un nouveau certificat pour l'hôte.

Si le certificat a été révoqué de manière intentionnelle, une faille de sécurité s'est peut-être produite. Contactez l'administrateur de sécurité.

Scénario

La liste de révocation des certificats n'a pas pu être téléchargée. L'état de révocation du certificat n'a donc pas pu être vérifié.

Opération recommandée

Causes possibles :

L'option ECA_CRL_PATH est manquante ou possède un chemin d'accès incorrect.
Le fichier de liste de révocation des certifications est manquant. Le fichier CRL n'a pas pu être verrouillé.
Le fichier CRL n'a pas pu être déverrouillé.
Le fichier CRL n'a pas pu être déverrouillé.

Pour plus d'informations, consultez les journaux bpjava.

Scénario

La liste de révocation des certificats n'est pas mise à jour. L'état de révocation du certificat n'a donc pas pu être vérifié.

Opération recommandée

Les causes possibles sont notamment :

Le paramètre de date et heure de la prochaine mise à jour de la liste CRL est postérieur à la date et à l'heure actuelles du système.
La liste CRL était valide au moment de la connexion. La console a été ouverte et la liste CRL est devenue non valide.

Assurez-vous que l'heure du système est correcte.

Dans le cas où la nouvelle liste CRL n'a pas été téléchargée, exécutez la commande suivante

UNIX : /usr/openv/netbackup/bin/nbcertcmd -updateCRLCache

Windows : install_path\Veritas\Netbackup\bin\nbcertcmd -updateCRLCache

Scénario

Impossible de se connecter à NetBackup Web Management Console Service.

Opération recommandée

Les causes possibles sont notamment :

NetBackup Web Management Console Service est arrêté.
L'option ECA_CERT_PATH ne pointe pas vers la chaîne complète de certificats.
L'émetteur du certificat du service Web et l'émetteur du certificat de l'hôte peuvent ne pas correspondre.
Si les deux certificats ne sont pas émis par la même autorité de certification externe, la vérification de l'approbation de certificats échoue.

Vérifiez les éléments suivants :

Il est obligatoire de fournir le chemin d'accès au fichier de certificat qui contient la chaîne complète de certificats (excepté le certificat racine).
Si la chaîne n'est pas spécifiée, la vérification d'approbation de certificats échoue et la console n'est pas en mesure de se connecter au service Web.
Assurez-vous que le certificat du serveur Web et le certificat de l'hôte sont émis par la même autorité de certification externe.