Recherche dans <book_title>…

Guide de dépannage de Veritas NetBackup™

Last Published: 2020-10-26

Product(s): NetBackup (8.3.0.1)

Dépannage des problèmes relatifs au magasin de certificats Windows

Le certificat du service Web est émis par une autorité de certification inconnue lors de l'utilisation de magasin de certificats Windows

Problème

Le certificat du service Web ne peut pas être approuvé lors de l'inscription du certificat de l'hôte.

Cause

Ce problème est dû à l'une des raisons suivantes :

Le certificat du service Web qui est utilisé pour la communication n'est pas configuré correctement.
Le certificat racine dans la chaîne de certificats du certificat du service Web n'est pas présent dans les autorités de certification racine approuvées du magasin de certificats Windows.

Solution

Pour résoudre le problème, passez en revue les causes suivantes et exécutez la commande suivante pour déterminer l'état actuel du problème.

Install_Path/bin/ nbcertcmd -enrollCertificate -preCheck -server server_name

Install_Path fait référence aux éléments suivants :

Sous Windows : VERITAS\NetBackup\bin

Sous UNIX : /usr/openv/netbackup/bin

Solution pour résoudre la cause : le certificat du service Web qui est utilisé pour la communication n'est pas configuré correctement

Vérifiez si le serveur Web est configuré avec un certificat valide parmi ses certificats de l'autorité de certification.

Exécutez la commande suivante pour répertorier les certificats qui sont configurés pour le serveur Web.
Install_Path/nbcertcmd -listallcertificates -jks
Sous Windows : C:\Program Files\ VERITAS\NetBackup\bin\nbcertcmd -listallcertificates -jks
Sous UNIX : /usr/openv/netbackup/bin/netbackup/bin/nbcertcmd -listallcertificates -jks
Assurez-vous que tous les certificats dans la chaîne (excepté le certificat de l'autorité de certification racine) sont présents dans l'option jks.
Vérifiez les paramètres suivants dans la sortie nbcertcmd -listallcertificates -jks.
- Nom d'alias : eca
- Type d'entrée : PrivateKeyEntry
S'ils ne sont pas présents, ajoutez la chaîne de l'autorité de certification à la fin du fichier de certificat de l'entité qui est le fichier de certificat du service Web. Le certificat du service Web doit être en haut, le certificat de l'autorité de certification de son émetteur en dessous, l'émetteur de ce certificat de l'autorité de certification en dessous et ainsi de suite.
Si la chaîne de certificats contient seulement deux certificats (certificat racine et certificat du service Web), le fichier de certificat possède seulement un certificat, qui est le certificat du service Web.
Exécutez la commande configureWebServerCerts.

Solution : le certificat racine dans la chaîne de certificats du certificat du service Web n'est pas présent dans le magasin de certificats Windows

Exécutez la commande certlm.msc.
Dans la fenêtre de gestion des certificats, ouvrez le magasin nommé Autorités de certification racine approuvées.
Le magasin des autorités de certification racine approuvées contient tous les certificats auto-signés approuvés par cet ordinateur.
- Dans le cas où la commande certlm.msc ne fonctionne pas, vous pouvez accéder au magasin de certificats Windows en exécutant la commande mmc.exe.
- Fichier > Ajouter/Supprimer un composant logiciel enfichable.
- Sélectionnez les certificats côté gauche.
- Cliquez sur Ajouter.
- Sélectionnez le compte d'ordinateur.
- Cliquez sur Suivant > Terminer > OK.
- Cliquez sur Autorités de certification racine approuvées > Certificats.
- Vérifiez si le certificat de l'autorité de certification racine dans la chaîne de certificats utilisée pour configurer le service Web est présent dans le magasin des autorités de certification racine approuvées.
Si le certificat de l'autorité de certification racine n'est pas présent, cliquez sur Toutes les actions > Importer, sélectionnez le fichier PEM/CRT/CER du certificat et cliquez sur Importer.
Tous les certificats doivent être importés dans le magasin de l'ordinateur local et non dans le magasin de l'utilisateur actuel.
Vous pouvez vérifier le magasin actuel dans la fenêtre de gestion des certificats.

Problème

L'algorithme de clé publique du certificat n'est pas pris en charge.

L'algorithme de clé publique n'est pas pris en charge par NetBackup. Actuellement seuls les algorithmes RSA sont pris en charge.

Cause

Le certificat avec le chemin d'accès donné existe dans le magasin de certificats Windows, mais son algorithme de signature n'est pas pris en charge.

Solution

Vous devez utiliser le certificat avec un algorithme de clé publique pris en charge par NetBackup.

Pour plus de détails sur l'inscription de certificats externes dans NetBackup, consultez le Guide de chiffrement et de sécurité NetBackup.

Problème

La clé privée du certificat donné n'est pas disponible.

Le certificat spécifié par le chemin d'accès ne dispose pas d'une clé privée correspondante importée dans le magasin de certificats Windows.

Cause

Cela est généralement dû à l'importation manuelle d'un certificat .crt, .cer ou .pem dans le magasin de certificats Windows au lieu d'un certificat .pfx.

Solution

Assurez-vous que la clé privée du certificat est bien importée.

Exécutez la commande certlm.msc.
Dans le cas où la commande certlm.msc ne fonctionne pas, vous pouvez accéder au magasin de certificats Windows en exécutant la commande mmc.exe.
Fichier > Ajouter/Supprimer un composant logiciel enfichable
Accédez au certificat.
Ouvrez le certificat en double-cliquant dessus.
Le certificat avec la clé privée doit présenter un message indiquant que vous disposez d'une clé privée correspondant à ce certificat.
Si le certificat doit être inscrit manuellement, importez un fichier .pfx et pas seulement le fichier .cer ou .crt.

Pour plus de détails sur l'inscription de certificats externes dans NetBackup, consultez le Guide de chiffrement et de sécurité NetBackup.

Problème

Le certificat ayant le nom d'objet donné est introuvable

Impossible de trouver le certificat quand un mot-clé spécial $hostname est utilisé dans ECA_CERT_PATH

Cause

Le certificat n'existe pas dans le magasin de l'ordinateur local pour l'option ECA_CERT_PATH donnée.

L'un des attributs parmi le nom de magasin, le nom de l'émetteur ou le nom de l'objet ne correspond pas à l'attribut dans le magasin de l'ordinateur local.

Solution

Vérifiez si le certificat existe dans le magasin de l'ordinateur local. Procédez comme suit :
- Exécutez la commande certlm.msc.
  Dans le cas où la commande certlm.msc ne fonctionne pas, vous pouvez accéder au magasin de certificats Windows en exécutant la commande mmc.exe.
  Fichier > Ajouter/Supprimer un composant logiciel enfichable.
- Vérifiez que le certificat existe
Vérifiez que les critères suivants sont satisfaits :
- L'emplacement du certificat est un chemin d'accès ou une liste de chemins d'accès séparés par des virgules dans laquelle chaque chemin est spécifié à l'aide du nom du magasin, du nom de l'émetteur et du nom de l'objet, séparés par une barre oblique (\).
- Le nom du magasin doit correspondre exactement au magasin contenant le certificat.
- Le nom de l'émetteur et le nom de l'objet doivent toujours faire partie de l'option ECA_CERT_PATH. Si rien n'est spécifié pour le nom de l'émetteur, cela signifie que n'importe quel émetteur peut être valide.
- $hostname est un mot-clé spécial qui peut être utilisé dans le nom de l'objet. Lors de la recherche du certificat, $hostname est remplacé par le nom de domaine complet de l'hôte.
- Lorsque vous utilisez $hostname, le certificat doit avoir le nom de domaine complet comme partie du nom courant (CN).
- Les guillemets doivent être utilisés si une barre oblique inverse (\) est présente dans le nom du magasin, le nom de l'émetteur ou le nom de l'objet.
- Bien que le nom de l'objet fasse toujours partie de l'option ECA_CERT_PATH, l'égalité CN =CN exemple n'est pas autorisée.
  L'objet dans ECA_CERT_PATH doit être une sous-chaîne de CN, OU, O, L, S, C, etc.

Pour plus de détails sur l'inscription de certificats externes dans NetBackup, consultez le Guide de chiffrement et de sécurité NetBackup.