搜索 <book_title>...

NetBackup™ 状态码参考指南

Last Published: 2022-01-21

Product(s): NetBackup & Alta Data Protection (9.1)

NetBackup 状态码：8779

消息: ECA 运行状况检查失败。

说明: nbcertcmd -ecaHealthCheck 命令验证您提供的外部证书特定配置，并显示所有成功和所有失败的验证的报告。

建议操作: 每个失败的验证都与一个验证 ID 关联。对于每次失败，可能存在特定原因，您可以执行某些故障排除步骤。请查看 ecaHealthCheck 命令的以下验证列表。

验证 ID： USER_INPUT_CERT_PATH_VALIDATION

原因：
- 证书路径为空。
- 无法访问指定路径 filename 中的文件。
推荐的操作：
- 确保证书路径不为空。
- 确保相应用户对文件具有Read权限。

验证 ID： USER_INPUT_CERTIFICATES_VALIDATION

原因：
- 读取证书文件时出错。
推荐的操作：
- 请确保证书文件包含证书。
- 请确保证书文件格式是 NetBackup 支持的格式。受支持的证书格式为 PEM、P7BPEM、P7BDER。

验证 ID： USER_INPUT_PRIVATE_KEY_PATH_VALIDATION

原因：
- 私钥路径为空。
- 无法访问指定路径 filename 中的文件。
推荐的操作：
- 请确保私钥路径不为空。
- 确保相应用户对文件具有Read权限。

验证 ID： USER_INPUT_PRIVATE_KEY_READ_VALIDATION

原因：
- 读取私钥时出错：文件读取失败。
- 读取私钥时出错：外部证书的私钥已加密，但未提供密码。
- 读取私钥时出错：外部证书的私钥已加密，但密码为空。
推荐的操作：
- 请确保私钥格式或密钥算法格式是 NetBackup 支持的格式之一。受支持的密钥格式为 PEM 和 DER。
- 如果私钥已加密，请确保提供 ECA_KEY_PASSPHRASEFILE 或 -passphraseFile，且其值是密码文件路径位置。
- 如果加密私钥并提供密码文件，请确保密码文件不为空，并且其中的密码正确。

验证 ID： USER_INPUT_TRUST_STORE_PATH_VALIDATION

原因：
- 信任存储区路径为空。
- 无法访问指定路径 filename 中的文件。
推荐的操作：
- 请确保信任存储区路径不为空。
- 确保相应用户对文件具有Read权限。

验证 ID： USER_INPUT_TRUST_STORE_VALIDATION

原因：
- 读取信任存储区路径时出错。
推荐的操作：
- 请确保信任存储区证书文件包含可信证书。
- 请确保证书文件格式是 NetBackup 支持的格式。受支持的证书格式为 PEM、P7BPEM、P7BDER。

验证 ID： CERTIFICATES_KEYS_ACCESS_VALIDATION

原因：
- Windows：NetBackup 服务无法读取证书、信任存储区或私钥。
- UNIX：NetBackup 服务用户无法读取证书、信任存储区或私钥。
推荐的操作：
- Windows：
  - 确保本地服务未被拒绝访问证书、信任存储区或私钥。
  - 确保 NetBackup 服务有权访问证书、信任存储区或私钥。
  - 运行 icacls 此命令以确保 NetBackup 服务或本地服务具有读取权限。示例：
    icacls <file> ... <file> NT SERVICE\NetBackup Audit Manager:(R) ...
    注意:
    此注释仅适用于 Windows 系统。
    如果本地服务和/或 NetBackup 服务是被授予拒绝和/或允许权限的组的成员，则此检查不适用于组成员。验证检查检测不到其权限。
- UNIX：
  - 确保 NetBackup 服务用户有权访问证书、私钥和密码文件。

验证 ID： LEAF_CERTIFICATE_ENHANCED_KEY_USAGE_VALIDATION

原因：
- 所需的扩展密钥用法在给定证书中不可用。
推荐的操作：
- 执行以下命令：
  - 对于 Windows：
    install_path\bin\goodies\vxsslcmd.exe x509 -text -in end_entity_certificate
  - 对于 UNIX：
    install_path/bin/goodies/vxsslcmd x509 -text -in end_entity_certificate
- 如果证书存在 X509v3 密钥用法扩展，则必须包括以下密钥用途：
  - 对于 Web 服务器证书：应至少存在一个数字签名或密钥加密算法。
  - 对于 NetBackup 主机证书：应存在数字签名用途。密钥加密算法可能存在，也可能不存在。
  - 对于可用于 Web 服务器和 NetBackup 主机的证书：应存在数字签名用途。密钥加密算法可能存在，也可能不存在。
  - 除了此处指定的用途以外，证书可能还有其他密钥用途。将忽略这些其他用途。
- X509v3 密钥用法扩展可能是关键的或非关键的。
- 没有 X509v3 密钥用法扩展的证书也可与 NetBackup 一起使用。
- 如果证书存在 X509v3 扩展密钥用法扩展，则必须包括以下密钥用途：
  - 对于 Web 服务器证书：TLS Web 服务器身份验证。
  - NetBackup 主机证书：TLS Web 服务器身份验证和 TLS Web 客户端身份验证。
  - 对于可用于 Web 服务器和 NetBackup 主机的证书：TLS Web 服务器身份验证和 TLS Web 客户端身份验证。
  - 除了此处指定的用途以外，证书可能还有其他密钥用途。将忽略这些其他用途。
- X509v3 扩展密钥用法扩展可能是关键的或非关键的。
- 没有 X509v3 扩展密钥用法扩展的证书也可与 NetBackup 一起使用。
- 如果证书不符合此“建议的操作”部分中列出的要求，请与您的证书提供商联系，以获取新证书。

验证 ID： CERTIFICATE_SUBJECT_DN_LENGTH_VALIDATION

原因：
- 使用者名称的字符数超过 255 个
推荐的操作：
- 不支持长度超过 255 个字符的使用者名称。请与外部证书提供商联系。

验证 ID： CERTIFICATE_SAN_HOSTNAME_VALIDATION

原因：
- 证书中的“使用者备用名称”字段不为空，且该字段中不存在主机名。
推荐的操作：
- 如果证书的“使用者备用名称”不为空，请确保其中存在主机名。
- 要查看使用者备用名称，请运行以下命令：
  - vxsslcmd x509 -text -in end_entity_certificate_file
    X509v3 使用者备用名称：DNS：主机 FQDN DNS：主机名

验证 ID： PRIVATE_KEY_VALIDATION

原因：
- 私钥与证书不匹配。
推荐的操作：
- 请确保提供证书及其相应的私钥。

验证 ID： CERTIFICATE_SUBJECT_DN_ASCII_VALIDATION

原因：
- 在证书的Subject: subject name中发现非 ASCII 字符。
推荐的操作：
- 不支持证书使用者使用 ASCII 7 位字符以外的字符。请与外部证书提供商联系。

验证 ID： CERTIFICATE_CHAIN_VALIDATION_AGAINST_TRUST_STORE

原因：
- 由于多种原因，证书链验证可能失败。显示的惟一共同语句是 The certificate chain verification failed。该错误的其余内容会与 openssl 返回的任何信息一起显示。
推荐的操作：
- 确保提供的信任存储区中存在具有给定使用者名称的证书。
- 查看 openssl 错误并根据错误文本进行纠正。

验证 ID： CERTIFICATE_CN_EMPTINESS_VALIDATION

原因：
- 证书中的“公用名称”字段为空。
推荐的操作：
- 确保证书公用名称不为空。请与外部证书提供商联系。
- 运行以下命令进行验证：
  - vxsslcmd x509 -subject -in certificate_file
  - 验证使用者中的 CN 值是否为空。

验证 ID： CERTIFICATES_ORDER

原因：
- 无法使用当前证书使用者名称的公钥验证证书使用者名称的签名。
推荐的操作：
- 如果您使用 PEM 格式的证书，请确保在证书文件中，分支证书位于最前面，后面依次是其颁发者、分支证书颁发者的颁发者等。

验证 ID： CERTIFICATE_CHAIN_EXPIRY_VALIDATION

原因：
- 使用者为使用者名称的证书已过期。
推荐的操作：
- 续订证书或使用当前有效的证书。
- 要确保证书有效，请运行以下命令：
  - vxsslcmd x509 -dates -in certificate_file
    输出：
    notBefore=date before which certificate is not valid notAfter=date after which certificate is not valid

验证 ID： CERTIFICATE_CHAIN_CURRENT_ACTIVE_VALIDATION

原因：
- 使用者为使用者名称的证书尚未处于有效状态。
推荐的操作：
- 使用当前有效的证书。
- 要确保证书有效，请运行以下命令：
  - vxsslcmd x509 -dates -in certificate_file
    输出：
    notBefore=date before which certificate is not valid notAfter=date after which certificate is not valid

验证 ID： WINDOWS_CERTIFICATE_STORE_PRIVATE_KEY_VALIDATION

严重性：失败或警告
原因：
- 当 NetBackup 配置中的 MANAGE_WIN_CERT_STORE_PRIVATE_KEY 设置为“已禁用”且允许 NetBackup 服务访问私钥时，将发出警告。
- 当 NetBackup 配置中的 MANAGE_WIN_CERT_STORE_PRIVATE_KEY 设置为“已禁用”且禁止 NetBackup 服务访问私钥时，检查将失败。
- 当加密服务提供程序 (CSP) 或密钥存储提供程序 (KSP) 不支持安全描述符时，检查将失败。
推荐的操作：
- 将 MANAGE_WIN_CERT_STORE_PRIVATE_KEY 设置为“自动”，以便 NetBackup 特权服务可以更新对 NetBackup 非特权服务私钥的读取权限。
- 如果验证失败，请为 NetBackup 服务授予访问私钥的权限。可以运行以下命令：nbcertcmd -setwincertprivkeypermissions -force
- 如果验证返回警告，请确保 NetBackup 服务具有访问私钥的读取权限。在证书续订或灾难恢复等特定操作期间，权限会被重置。
- 如果检查由于加密服务提供程序 (CSP) 或密钥存储提供程序 (KSP) 不支持安全描述符而失败，请使用支持安全描述符的提供程序。
  有关更多详细信息，请参考 NetBackup 安全和加密指南中的“NetBackup 服务在本地服务帐户上下文中运行时 Windows 证书存储库支持的限制”一节。

验证 ID： USER_INPUT_WIN_CERT_PATH_VALIDATION

原因：
- 找不到具有给定使用者名称的证书。
推荐的操作：
- 请确保正确提供 Windows 证书存储库证书路径，并且给定的证书存储库中存在证书。请参考 NetBackup 安全和加密指南中的“NetBackup 中的外部 CA 支持”。

验证 ID： CERTIFICATE_SAN_CN_HOSTNAME_VALIDATION

原因：
- 证书中的“使用者备用名称”字段为空，且“公用名称”字段中不存在主机名主机名。
推荐的操作：
- 如果证书的“使用者备用名称”为空，请确保“公用名称”字段中存在主机名。
- 要查看使用者备用名称，请运行以下命令：
  - vxsslcmd x509 -text -in end_entity_certificate_file
  - X509v3 使用者备用名称：DNS：主机 FQDN DNS：主机名
- 要查看公用名称，请运行以下命令：
  - vxsslcmd x509 -text -in end_entity_certificate_file
  - X509v3 使用者备用名称：DNS：主机 FQDN DNS：主机名

验证 ID： USER_INPUT_WIN_CERT_VALIDATION

原因：
- 无法打开提供的证书存储库。
- 未找到证书颁发者。
- 未找到具有提供的使用者的证书。
- 无法获取计算机的主机名。[与特殊关键字 $hostname 一起使用]
- 证书尚未生效。
- 证书已过期。
- 未找到证书的私钥。
- 证书中未注明指定用途（客户端身份验证和服务器身份验证）。
推荐的操作：（应在 Windows 证书存储库中执行以下操作）
- 请确保证书路径的格式正确：store-name\issuer-name\subject
- 检查证书的Valid from字段。值（日期）应在当前日期范围内。
- 检查证书的Valid to字段。值（日期）应在当前日期范围内。
- 请确保存在对应于最终实体证书的私钥。
- 请确保Enhanced Key Usage字段包含Server Authentication (1.3.6.1.5.5.7.3.1)和Client Authentication (1.3.6.1.5.5.7.3.2)。此外，也接受所有其他用途。

验证 ID： USER_INPUT_CRL_PATH_VALIDATION

原因：
- CRL 路径不可访问。
- CRL 路径为空。
- CRL 路径只包含 0 KB 文件。
推荐的操作：
- 请确保 CRL 路径正确且不为空。

验证 ID： USER_INPUT_CRL_PATH_CONTAINS_CRLS

原因：
- CRL 路径不包含任何 CRL 文件。
推荐的操作：
- 请确保 CRL 路径正确且不为空。

验证 ID： CRL_FILES_ACCESS_VALIDATION

原因：
- Windows：NetBackup 服务无法读取 CRL 文件。
- UNIX：NetBackup 服务用户无法读取 CRL 文件。
推荐的操作：
- Windows：
  - 确保本地服务未被拒绝访问 CRL 文件。
  - 确保 NetBackup 服务有权访问 CRL 文件。
  - 运行 icacls 此命令以确保 NetBackup 服务或本地服务具有读取权限。示例：
    icacls <file> ... <file> NT SERVICE\NetBackup Audit Manager:(R) ...
    注意:
    此注释仅适用于 Windows 系统。
    如果本地服务和/或 NetBackup 服务是被授予拒绝和/或允许权限的组的成员，则此检查不适用于组成员。验证检查检测不到其权限。
- UNIX：确保服务用户有权访问 CRL 文件。

验证 ID： CRL_CDP_URL_VALIDATION

原因：
- 证书中的 CRL 分发点未包含有效 URL。NetBackup 只支持 HTTP 或 HTTPS URL。
推荐的操作：
- 请确保 CRL 分发点包含有效 URL。

验证 ID： ALL_CRLS_READABLE

原因：
- 提供的 CRL 文件不可读或 CRL 无效。
推荐的操作：
- 请确保 CRL 路径中具有有效的 CRL。

单击此处查看 Veritas Technical Support网站中有关此状态码的技术说明和其他信息。