<book_title> を検索 ...

NetBackup™ トラブルシューティングガイド

Last Published: 2025-04-25

Product(s): NetBackup & Alta Data Protection (11.0)

秘密鍵の暗号化に関する問題のトラブルシューティング

このトピックでは、秘密鍵の暗号化に固有の問題のトラブルシューティング方法について説明します。

パスフレーズは、NetBackup のホスト ID ベース証明書の秘密鍵を暗号化および復号するために使用されます。パスフレーズキーは、これらのパスフレーズを暗号化および復号するために使用されます。

NetBackup 証明書の秘密鍵は、AES_256_CBC 暗号化を使用した暗号化形式で格納されます。秘密鍵の暗号化に使用されるパスワードは、ファイルストレージに格納され、AES_256_GCM 暗号化を使用して暗号化されます。

秘密鍵の暗号化ファイルのパス

キーストアの場所:

Windows の場合: Install path\NetBackup\var\vxss\credentials\keystore

Linux の場合: /usr/openv/var/vxss/credentials/keystore

クラスタのキーストアの場所:

/usr/openv/var/global/vxss/credentials/keystore

Nbcert ログ:

Windows の場合: Install path\NetBackup\logs\nbcert

Linux の場合: /usr/openv/netbackup/logs/nbcert

パスフレーズファイルのパス: keystorepath + .yekekp

パスフレーズキーファイルのパス: keystorepath + .yekcneekp

certmapinfo.json ファイルのパス:

Windows の場合: Install path\NetBackup\var\vxss\certmapinfo.json

Linux の場合: /usr/openv/var/vxss/certmapinfo.json

表:

通し番号	問題	考えられる理由	解決方法
1	コマンド: nbcertcmd -listcertdetails Output: Private Key Encryption State: Encrypted with an unknown passphrase	秘密鍵ファイルが改ざんされています。	サーバーの秘密鍵ファイルをクリーンアップします。ホストに関連付けられているすべてのサーバーで次のコマンドを実行します。 nbcertcmd -getCertificate -token reissue_token -server server host name -force
2	以下の問題のシナリオについては、理由と解決策は同じです。コマンド: nbcertcmd -listcertdetails 出力: Private Key Encryption State: Encrypted with an unknown passphrase コマンド: nbcertcmd -rotatePassphrasekey The passphrase key rotation failed. EXIT STATUS 1200: Internal error	パスフレーズファイルまたはパスフレーズキーファイルが改ざんされています。	パスフレーズファイルの最終更新日を確認します。キーストアフォルダ (隠しファイルを含む) をクリーンアップします。ホストに関連付けられているすべてのサーバーで次のコマンドを実行します。 nbcertcmd -getCertificate -token reissue_token -server server host name -force
3	NetBackup の新規インストール後にカタログのリストアを実行するときに、新規インストールで新しく作成された秘密鍵とリストアされた秘密鍵の両方が表示されます。コマンド: ls -la total 20 drwx------ 2 nbsvcusr nbsvcusr 171 Jun 19 19:38 drwx------ 3 nbsvcusr nbsvcusr 133 Jun 19 19:25 .. -rw------- 1 nbsvcusr nbsvcusr 1858 Jun 19 19:38 015b91f5-74b5-44fb- 865f-6d65827cdb30-key.pem -rw------- 1 nbsvcusr nbsvcusr 1858 Jun 19 19:38 015b91f5-74b5-44fb-865f- 6d65827cdb3r-key.pem	カタログをリストアすると、既存の秘密鍵とパスフレーズファイルがキーストアに再統合されます。その結果、キーストアには、新規インストールで新たに作成された秘密鍵とリストアされた秘密鍵の両方が含まれます。	certmapinfo.json ファイルにエントリがない秘密鍵ファイルを消去します。 UNIX 上の certmapinfo.json ファイルの場所: /usr/openv/var/vxss/certmapinfo.json
4	NetBackup Web UI に次の通知が表示されます。 Reissuing the host certificates during private key encryption failed for the following hosts: host1	秘密鍵の暗号化操作中に証明書の再発行が試行されます。	次のコマンドを実行します。 nbcert -listCertDetails -json 以降のサービスの再起動ではすべての秘密鍵が暗号化され、このコマンドの出力には［暗号化済み (Encrypted)］状態のすべてのキーが表示されます。暗号化されていないキーがある場合は、［暗号化済み (Encrypted)］以外の状態の秘密鍵に対して、次のいずれかのコマンドを実行します。 nbcertcmd -reissuecertificates -server server *nbcertcmd -getCertificate -token reissue_token* -server server host name -force**
5	パスフレーズのローテーションの試行が失敗し、秘密鍵ファイルとパスフレーズファイルをリストアできませんでした。コマンド: [root@example keystore] nbcertcmd -rotatepassphrase この操作は、ホスト ID ベース証明書の秘密鍵を暗号化するパスフレーズのローテーションを実行します。この操作を実行する前に、NetBackup サービスを停止することを強くお勧めします。サービスの再起動は、操作の実行後に行ってください。この操作を続行しますか? (y/n) (Are you sure you want to proceed with this operation? (y/n)) y The passphrase rotation failed. EXIT STATUS 9141: Keystore is in inconsistent state. Command: ls -la total 20 drwx------ 2 nbsvcusr nbsvcusr 176 Jul 16 11:55 . drwx------ 3 nbsvcusr nbsvcusr 133 Jul 4 22:24 .. -rw------- 1 nbsvcusr nbsvcusr 1858 Jul 16 11:51 5176ec69-d3cb-44d7-a229- 799555b7bd7e-key.pem -rw------- 1 nbsvcusr nbsvcusr 1858 Jul 16 11:54 5176ec69-d3cb-44d7-a229- 799555b7bd7e-key.pem_bkup -rw------- 1 nbsvcusr nbsvcusr 1858 Jul 16 11:51 PrivKeyFile-2048.pem -rw-r--r-- 1 nbsvcusr nbsvcusr 1072 Jul 16 11:51 .yekcneekp -rw-r--r-- 1 nbsvcusr nbsvcusr 271 Jul 16 11:52 .yekekp	バックアップファイルが存在しないか、ファイルの書き換え処理に問題があるため、リストア操作が失敗しました。	同じキーストアフォルダにバックアップファイル (接尾辞「_bkup」が付いているファイル) があるかどうかを確認します。次のように実行します。次を使用して状態を確認します nbcertcmd -listcertdetails すべてのプライマリサーバーで秘密鍵の暗号化状態が［暗号化 (Encrypted)］と表示されている場合は、バックアップファイルを手動でクリーンアップし、ローテーション操作を再試行します。問題が解決しない場合は、次を確認します。プライマリサーバーの一部が秘密鍵を示し、暗号化の状態が［不明なパスフレーズで暗号化されています (encrypted with unknown passphrase)］である場合、パスフレーズファイルと対応する秘密鍵ファイルをリストアします。再度、次のコマンドを使用して状態を確認します。 nbcertcmd -listcertdetails。残りの秘密鍵に対して、正しい暗号化の状態が表示されるかどうかを確認します。表示される場合は、ローテーション操作を再試行します。問題が解決しない場合は、次を確認します。バックアップファイルが存在せず、コマンドが nbcertcmd - listcertdetails 正しくない暗号化状態を示す場合、キーストアをクリーンアップします。すべてのサーバーに対して nbcertcmd -getCertificate reissueToken オプションを指定して実行します。