Recherche dans <book_title>…

Guide d'installation et de mise à niveau de NetBackup™ Snapshot Manager for Cloud

Last Published: 2025-02-20

Product(s): NetBackup (10.5.0.1)

Sécurisation de la connexion à NetBackup Snapshot Manager

Scénarios pris en charge :
- Le serveur principal et Snapshot Manager doivent être associés à ECA ou NBCA.
- Pour les modes mixtes NBCA et ECA, continuez avec le mode ECA pour l'installation NetBackup Snapshot Manager.
Scénario non pris en charge : principal avec NBCA et NetBackup Snapshot Manager avec ECA et vice versa.

Dans NetBackup Snapshot Manager, vous pouvez charger les listes CRL de l'autorité de certification externe à l'emplacement /cloudpoint/eca/crl. La CRL chargée ne fonctionne pas si le répertoire crl n'est pas présent ou s'il est vide.

Pour le conteneur du système de déplacement des données, ajoutez le chemin d'accès /cloudpoint/eca/crl au paramètre ECA_CRL_PATH dans le fichier /cloudpoint/openv/netbackup/bp.conf.

Vous pouvez ajuster les trois paramètres suivants en ajoutant l'entrée sous la section eca du fichier /cloudpoint/flexsnap.conf.

Tableau : Paramètres d'autorité de certification externe

Paramètre	Valeur par défaut	Valeur	Remarques
eca_crl_check	0 (Désactivé)	0 (désactivé) 1 (leaf) 2 (chain)	Niveau de contrôle du certificat. Utilisé pour contrôler le niveau de validation de CRL ou d'OCSP pour la connexion de l'hôte NetBackup Snapshot Manager aux charges de travail sur site ou cloud. 0 (désactivé) : aucune validation de CRL ou d'OCSP n'est effectuée 1 (leaf) : la validation de CRL ou d'OSCP est effectuée uniquement pour la feuille 2 (chaîne) : la validation de CRL ou d'OSCP est effectuée pour l'ensemble de la chaîne
eca_crl_refresh_ hours	24	Valeur numérique comprise entre 0 et 4830	Durée (en heures) nécessaire à la mise à jour du cache de CRL NetBackup Snapshot Manager à partir de l'autorité de certification via l'URL du CDP de certificat. Cette option ne s'applique pas si le fichier `/cloudpoint/eca/crl` est présent et contient des fichiers CRL. Si la valeur est définie sur 0, le cache n'est pas actualisé.
eca_crl_path_sync_ hours	1	Valeur numérique comprise entre 1 et 720	Durée (en heures) nécessaire à la mise à jour du cache CRL NetBackup Snapshot Manager à partir du fichier `/cloudpoint/eca/crl`. Cette option ne s'applique pas si le fichier `/cloudpoint/eca/crl` est absent ou vide.

Paramètre

Valeur par défaut

Valeur

Remarques

eca_crl_check

0 (Désactivé)

0 (désactivé)

1 (leaf)

2 (chain)

Niveau de contrôle du certificat. Utilisé pour contrôler le niveau de validation de CRL ou d'OCSP pour la connexion de l'hôte NetBackup Snapshot Manager aux charges de travail sur site ou cloud.

0 (désactivé) : aucune validation de CRL ou d'OCSP n'est effectuée
1 (leaf) : la validation de CRL ou d'OSCP est effectuée uniquement pour la feuille
2 (chaîne) : la validation de CRL ou d'OSCP est effectuée pour l'ensemble de la chaîne

eca_crl_refresh_ hours

Valeur numérique comprise entre 0 et 4830

Durée (en heures) nécessaire à la mise à jour du cache de CRL NetBackup Snapshot Manager à partir de l'autorité de certification via l'URL du CDP de certificat. Cette option ne s'applique pas si le fichier /cloudpoint/eca/crl est présent et contient des fichiers CRL. Si la valeur est définie sur 0, le cache n'est pas actualisé.

eca_crl_path_sync_ hours

Valeur numérique comprise entre 1 et 720

Durée (en heures) nécessaire à la mise à jour du cache CRL NetBackup Snapshot Manager à partir du fichier /cloudpoint/eca/crl. Cette option ne s'applique pas si le fichier /cloudpoint/eca/crl est absent ou vide.

Pour plus d'informations, consultez les sections suivantes du Guide de sécurité et de chiffrement NetBackup™.

À propos de la liste de révocations des certificats basés sur l'ID d'hôte
Lorsqu'un jeton d'autorisation est requis lors du déploiement de certificats

Remarque :

Le cache n'est pas validé si une valeur est ajoutée ou modifiée manuellement pour les paramètres d'autorité de certification externe dans /cloudpoint/flexsnap.conf.

Révocation de certificat pour Snapshot Manager

Pour obtenir des informations détaillées sur l'autorité de certification et les certificats NetBackup, consultez le chapitre « Autorité de certification NetBackup et certificats NetBackup » du Guide de sécurité et de chiffrement NetBackup™.

Le tableau suivant fournit les étapes de régénération à effectuer pour révoquer les certificats dans Snapshot Manager :

Cas d'utilisation	Commandes
Migration de l'autorité de certification	NBCA vers ECA : # flexsnap_configure renew --ca /eca2/trusted/cacerts.pem --key /eca2/private/key.pem --chain /eca2/cert_chain.pem Enrolling external CA certificates with NetBackup... Snapshot Manager certificate is renewed. ECA vers NBCA : # flexsnap_configure renew --token <reissue-token> Generating new NetBackup Host-ID certificate... Snapshot Manager certificate is renewed.
Régénération du certificat post-révocation pour NBCA	# flexsnap_configure renew --token <reissue-token> Generating new NetBackup Host-ID certificate... Snapshot Manager certificate is renewed.
Régénération du certificat post-révocation pour ECA	# flexsnap_configure renew --ca /eca2/trusted/cacerts.pem --key /eca2/private/key.pem --chain /eca2/cert_chain.pem Enrolling external CA certificates with NetBackup... Snapshot Manager certificate is renewed.
Régénération des certificats post-migration pour ECA/NBCA	# flexsnap_configure renew --hostnames new-nbsm.veritas.com --token <authentication-token> Generating new NetBackup Host-ID certificate... Snapshot Manager certificate is renewed. Please run 'flexsnap_configure renew --internal --hostnames <nbsm_fqdn> to renew Snapshot Manager's internal CA and certificates.
Régénération de certificat pour l'extension	# flexsnap_configure renew --extension --primary <nbsm_fqdn> --token <extension_token>
Rotation des certificats	# flexsnap_configure renew --force Generating new NetBackup Host-ID certificate... Snapshot Manager certificate is renewed.
Certificat d'autorité de certification flexsnap interne en cas de migration. Scénarios de reprise après incident	# flexsnap_configure renew --internal --hostnames <nbsm_fqdn> Renewed Flexsnap CA ... skip Renewed rabbitmq certificate ... done Renewed postgresql certificate ... done Renewed listener certificate ... done Renewed workflow certificate ... done Renewed scheduler certificate ... done Renewed agent certificate ... done Renewed client certificate ... done Renewed certmaster certificate ... done Renewed agent certificate ... done Renewed notification certificate ... done Renewed client certificate ... done Renewed client certificate ... done Renewed mongodb certificate ... done Renewed coordinator certificate ... done Renewed config certificate ... done Renewed idm certificate ... done Renewed agent certificate ... done Renewed client certificate ... done Renewed policy certificate ... done Snapshot Manager's CA and certificates are renewed. Restart the Snapshot Manager stack using 'flexsnap_configure restart' to take effect.