NetBackup™ Web UI Kubernetes 管理指南

为 Kubernetes Operator 创建基于主机 ID 的证书

1. 在备份服务器上，运行以下命令并获取 SHA-256 指纹。

   /usr/openv/netbackup/bin/nbcertcmd -listCACertDetails

2. 要创建授权令牌，请参考《NetBackup™ 安全和加密指南》中的“创建授权令牌”部分。
3. 要创建重新发布令牌（如果需要），请参考《NetBackup™ 安全和加密指南》中的“创建重新发布令牌”部分。
4. 使用令牌和指纹创建密钥。
5. 提供令牌，因为无论安全级别如何，它都是必需项。

   Token-fingerprint-secret.yaml 如下所示：

   apiVersion: v1
   kind: Secret
   metadata:
     name: secret-name
     namespace: kops-ns
   type: Opaque
   stringData:
     token: "Authorization token | Reissue token"
     fingerprint: "SHA256 Fingerprint"

   • 复制 Token-fingerprint-secret.yaml 文件文本。

   • 打开文本编辑器并粘贴 yaml 文件文本。

   • 然后，使用 yaml 文件扩展名将文本保存到可以访问 Kubernetes 群集的主目录中。

6. 要创建 Token-fingerprint-secret.yaml 文件，请运行以下命令：kubectl create -f Token-fingerprint-secret.yaml
7. 使用 nbcaCreateOptions 创建

   backupservercert 对象，然后指定密钥名称。

   nbca-create-backupservercert.yaml 如下所示：

   apiVersion: netbackup.veritas.com/v1
   kind: BackupServerCert
   metadata:
     name: backupserver-nbca-create
     namespace: kops-ns
   spec:
     clusterName: cluster.sample.com:port
     backupServer: backupserver.sample.domain.com
     certificateOperation: Create
     certificateType: NBCA
     nbcaAttributes:
       nbcaCreateOptions:
         secretName: nbcaSecretName with token and fingerprint

   • 复制 nbca-create-backupservercert.yaml 文件文本。

   • 打开文本编辑器并粘贴 yaml 文件文本。

   • 然后，使用 yaml 文件扩展名将文本保存到可以访问 Kubernetes 群集的主目录中。

8. 要创建 nbca-create-backupservercert.yaml 文件，请运行以下命令：kubectl create -f nbca-create-backupservercert.yaml
9. 创建证书后，检查自定义资源状态。如果自定义资源状态为“成功”，则可以运行“从快照备份”作业。

   注意:

   在启动“从快照备份”或“从备份副本还原”操作之前，需要检查 BackupServerCert 自定义资源状态是否为“成功”。

   注意:

   续订基于主机 ID 的证书：NetBackup 主机 ID 证书会检查是否应在 24 小时周期后续订。证书将在截止日期前 180 天（6 个月）自动续订。

   注意:

   确保检查 NetBackup 主服务器时钟和 NetBackup Kubernetes Operator 时钟是否同步。有关 CheckClockSkew 错误的更多详细信息，请参考《NetBackup™ 安全和加密指南》中的“时钟偏差对证书有效期的影响”部分。

从 Kubernetes Operator 删除主服务器证书。

1. 登录到 NetBackup Web UI，并获取要删除的证书的主机 ID。

   要获取证书的主机 ID，请参考《NetBackup™ 安全和加密指南》中的“查看基于主机 ID 的证书的详细信息”部分。

2. 创建操作类型为“删除”的 backupservercert。

   nbca-remove-backupservercert.yaml 文件如下所示：

   apiVersion: netbackup.veritas.com/v1
   kind: BackupServerCert
   metadata:
     name: backupserver-nbca-domain.com
     namespace: kops-ns
   spec:
     clusterName: cluster.sample.com:port 
     backupServer: backupserver.sample.domain.com
     certificateOperation: Remove
     certificateType: NBCA
     nbcaAttributes:
       nbcaRemoveOptions:
         hostID: nbcahostID

   • 复制 nbca-remove-backupservercert.yaml 文件文本。

   • 打开文本编辑器并粘贴 yaml 文件文本。

   • 然后，使用 yaml 文件扩展名将文本保存到可以访问 Kubernetes 群集的主目录中。

3. 要创建 nbca-remove-backupservercert.yaml 文件，请运行以下命令：kubectl create -f nbca-remove-backupservercert.yaml
4. 要吊销证书，请参考《NetBackup™ 安全和加密指南》中的“吊销基于主机 ID 的证书”部分。

   注意:

   应用 nbca-remove-backupservercert.yaml 后，将从 Kubernetes Operator 的本地证书存储库中删除证书。但它在 NetBackup 数据库中仍然存在且有效。因此，需要吊销证书。

要更新 Kubernetes Operator 上的主服务器证书，请执行以下操作：

1. 使用更新操作创建 backupservercert 对象：

   nbca-update-backupservercert.yaml 文件如下所示：

   apiVersion: netbackup.veritas.com/v1
   kind: BackupServerCert
   metadata:
     name: backupserver-nbca-update
     namespace:kops-ns
   spec:
     clusterName: cluster.sample.com:port
     backupServer: backupserver.sample.domain.com
     certificateOperation: Update
     certificateType: NBCA
     nbcaAttributes:
       nbcaUpdateOptions:
       secretName: "Name of secret containing 
   token and fingerprint"
       force: true

   • 复制 nbca-update-backupservercert.yaml 文件文本。

   • 打开文本编辑器并粘贴 yaml 文件文本。

   • 然后，使用 yaml 文件扩展名将文本保存到可以访问 Kubernetes 群集的主目录中。

2. 要创建 nbca-udpate-backupservercert.yaml 文件，请运行以下命令：kubectl create -f nbca-update-backupservercert.yaml
3. 创建 backupservercert 对象后，检查自定义资源状态。