Search <book_title>...

NetBackup ™ Snapshot Manager for Cloud 安装和升级指南

Last Published: 2024-11-11

Product(s): NetBackup (10.5)

保护与 NetBackup Snapshot Manager 的连接

支持的情况：
- 主服务器和 Snapshot Manager 必须使用 ECA 或 NBCA 。
- 对于 NBCA 和 ECA 混合模式，继续使用 ECA 模式进行 NetBackup Snapshot Manager 安装。
不支持的情况：主服务器使用 NBCA，而 NetBackup Snapshot Manager 使用 ECA，反之亦然。

在 NetBackup Snapshot Manager 中，可以在 /cloudpoint/eca/crl 文件中上传外部 CA 的 CRL。如果 crl 目录不存在或为空，则上传的 CRL 不起作用。

对于数据移动器容器，针对 /cloudpoint/openv/netbackup/bp.conf 文件中的 ECA_CRL_PATH 参数添加 /cloudpoint/eca/crl 路径。

以下三个参数是可调参数，可以在 /cloudpoint/flexsnap.conf 文件中的 eca 部分下添加条目。

表：ECA 参数

参数	默认值	值	备注
eca_crl_check	0 (Disabled)	0 (disable) 1 (leaf) 2 (chain)	证书检查级别。用于控制连接到本地/云工作负载的 NetBackup Snapshot Manager 主机的 CRL/OCSP 验证级别。 0 (disable)：验证期间不执行 CRL/OCSP 1（分支）：仅对分支执行 CRL/OSCP 验证 2（链）：针对整个链执行 CRL/OSCP 验证
eca_crl_refresh_ hours	24	介于 0 到 4830 之间的数值	通过证书 CDP URL 从 CA 更新 NetBackup Snapshot Manager CRL 缓存的时间间隔（以小时为单位）。如果存在 `/cloudpoint/eca/crl` 文件并且包含 CRL 文件，则此选项不适用。如果设置为 0，则不刷新缓存。
eca_crl_path_sync_ hours	1	介于 1 到 720 之间的数值	从 `/cloudpoint/eca/crl` 文件更新 NetBackup Snapshot Manager CRL 缓存的时间间隔（以小时为单位）。如果 `/cloudpoint/eca/crl` 文件不存在或为空，则此选项不适用。

参数

默认值

值

备注

eca_crl_check

0 (Disabled)

0 (disable)

1 (leaf)

2 (chain)

证书检查级别。用于控制连接到本地/云工作负载的 NetBackup Snapshot Manager 主机的 CRL/OCSP 验证级别。

0 (disable)：验证期间不执行 CRL/OCSP
1（分支）：仅对分支执行 CRL/OSCP 验证
2（链）：针对整个链执行 CRL/OSCP 验证

eca_crl_refresh_ hours

介于 0 到 4830 之间的数值

通过证书 CDP URL 从 CA 更新 NetBackup Snapshot Manager CRL 缓存的时间间隔（以小时为单位）。如果存在 /cloudpoint/eca/crl 文件并且包含 CRL 文件，则此选项不适用。如果设置为 0，则不刷新缓存。

eca_crl_path_sync_ hours

介于 1 到 720 之间的数值

从 /cloudpoint/eca/crl 文件更新 NetBackup Snapshot Manager CRL 缓存的时间间隔（以小时为单位）。如果 /cloudpoint/eca/crl 文件不存在或为空，则此选项不适用。

有关更多信息，请参考《NetBackup™ 安全和加密指南》的以下部分。

关于基于主机 ID 的证书吊销列表
证书部署过程中何时需要授权令牌

注意:

如果在 /cloudpoint/flexsnap.conf 文件中手动添加或修改任何 ECA 可调参数，则不会验证缓存。

Snapshot Manager 的证书吊销

有关 NetBackup CA 和证书的详细信息，请参考《NetBackup™ 安全和加密指南》的“NetBackup CA 和 NetBackup 证书”一章。

下表提供了在 Snapshot Manager 中吊销证书时要执行的重新生成步骤：

用例	命令
CA 迁移	NBCA 到 ECA： # flexsnap_configure renew --ca /eca2/trusted/cacerts.pem --key /eca2/private/key.pem --chain /eca2/cert_chain.pem Enrolling external CA certificates with NetBackup... Snapshot Manager certificate is renewed. ECA 到 NBCA： # flexsnap_configure renew --token <reissue-token> Generating new NetBackup Host-ID certificate... Snapshot Manager certificate is renewed.
吊销证书后，重新生成 NBCA 证书	# flexsnap_configure renew --token <reissue-token> Generating new NetBackup Host-ID certificate... Snapshot Manager certificate is renewed.
吊销证书后，重新生成 ECA 证书	# flexsnap_configure renew --ca /eca2/trusted/cacerts.pem --key /eca2/private/key.pem --chain /eca2/cert_chain.pem Enrolling external CA certificates with NetBackup... Snapshot Manager certificate is renewed.
迁移后，重新生成 ECA/NBCA 证书	# flexsnap_configure renew --hostnames new-nbsm.veritas.com --token <authentication-token> Generating new NetBackup Host-ID certificate... Snapshot Manager certificate is renewed. Please run 'flexsnap_configure renew --internal --hostnames <nbsm_fqdn> to renew Snapshot Manager's internal CA and certificates.
为扩展重新生成证书	# flexsnap_configure renew --extension --primary <nbsm_fqdn> --token <extension_token>
证书轮换	# flexsnap_configure renew --force Generating new NetBackup Host-ID certificate... Snapshot Manager certificate is renewed.
内部 flexsnap CA 证书（在迁移、灾难恢复情况下）	# flexsnap_configure renew --internal --hostnames <nbsm_fqdn> Renewed Flexsnap CA ... skip Renewed rabbitmq certificate ... done Renewed postgresql certificate ... done Renewed listener certificate ... done Renewed workflow certificate ... done Renewed scheduler certificate ... done Renewed agent certificate ... done Renewed client certificate ... done Renewed certmaster certificate ... done Renewed agent certificate ... done Renewed notification certificate ... done Renewed client certificate ... done Renewed client certificate ... done Renewed mongodb certificate ... done Renewed coordinator certificate ... done Renewed config certificate ... done Renewed idm certificate ... done Renewed agent certificate ... done Renewed client certificate ... done Renewed policy certificate ... done Snapshot Manager's CA and certificates are renewed. Restart the Snapshot Manager stack using 'flexsnap_configure restart' to take effect.