Recherche dans <book_title>…

Guide de dépannage de Veritas NetBackup™

Last Published: 2019-07-23

Product(s): NetBackup (8.2)

Dépannage des problèmes de service Web après la configuration de l'autorité de certification externe

Problème

Le service Web ne démarre pas ou ne répond pas après la configuration de l'autorité de certification externe (ECA).

Cause

Vérifiez les journaux du serveur Web à l'emplacement suivant :

install_path/wmc/webserver/logs/catalina.log

Vérifiez si les journaux contiennent les chaînes suivantes :

SEVERE [main] org.apache.tomcat.util.net.SSLUtilBase.getStore Failed to load keystore type [JKS] with path [C:\Program Files\Veritas\NetBackup\var\global\wsl\credentials\tpcredentials\nbwebservice.jks] due to [Illegal character in opaque part at index 2: C:\Program Files\Veritas\NetBackup\var\global\wsl\credentials\tpcredentials\nbwebservice.jks]

Caused by: java.lang.IllegalArgumentException: Keystore was tampered with, or password was incorrect

Cause première possible : le magasin de clés de l'autorité de certification externe utilisée par NetBackup Web Service a été modifié ou supprimé.

Solution

Vérifiez que NetBackup Web Management Console Service est en cours d'exécution.
Exécutez la commande suivante :
Sous UNIX : /usr/openv/netbackup/bin/bpps -x
Sous Windows : utilisez le moniteur d'activité NetBackup ou l'application Services du panneau de configuration Windows.
Si l'état est ÉCHEC, reconfigurez le certificat externe en exécutant la commande suivante :
Sous Windows :Install path\netbackup\wmc\bin\configureWebServerCerts -addExternalCert -nbHost -certPath file_path -privateKeyPath file_path -trustStorePath file_path
Sous Unix :/usr/openv/netbackup/bin/configureWebServerCerts -addExternalCert -nbHost -certPath file_path -privateKeyPath file_path -trustStorePath file_path
Essayez de démarrer NetBackup Web Service.
Sous Windows :Install path\netbackup\wmc\bin\nbwmc.exe -start -srvname "NetBackup Web Management Console"
Sous UNIX :/usr/openv/netbackup/bin/nbwmc start

Problème

Le certificat externe n'est pas configuré.

Cause

Ce problème peut se produire pour les raisons suivantes :

Certificat, clé privée ou magasin d'approbation non valides.
Message d'erreur : Le certificat n'a pas pu être ajouté. Vérifiez les journaux configureWebServerCerts.
Le certificat ne contient pas de nom de serveur dans le Subject Alternative Name (SAN).

Solution pour résoudre la cause : certificat, clé privée ou magasin d'approbation non valides

Ouvrez les journaux de configuration du serveur Web
Emplacement : <install dir>/NetBackup/wmc/webserver/logs/configureWebServerCerts.log
Passez en revue les messages des journaux :
- Si les journaux contiennent le message suivant :
  unable to load private key 22308:error:0906D06C:PEM routines:PEM_read_bio:no start line:.\crypto\pem\pem_lib.c:697:Expecting: ANY PRIVATE KEY Could not export certificates in PKCS#12 format, 1.
  La clé privée ne correspond pas à la clé privée du certificat fourni.
  Fournissez la clé privée appropriée.
- Si les journaux contiennent le message suivant :
  Error occurred while adding certificate to keystore. Exception: java.security.cert.CertificateParsingException: signed overrun, bytes = 918 Exiting.. Could not import CA certificates in JAVA keystore, -1.
  Le chemin d'accès au fichier qui est fourni pour l'option -trustStorePath n'est pas un chemin d'accès valide ou aucun certificat valide du magasin d'approbation n'est présent dans le chemin d'accès donné.
  Fournissez le chemin d'accès du lot du magasin de confiance pour l'option -trustStorePath.

Solution pour résoudre la cause : le certificat ne contient pas le nom du serveur dans le Subject Alternative Name (SAN)

Le message d'erreur suivant s'affiche :

Le nom de serveur server_name est introuvable dans le certificat du serveur Web.

Le certificat n'a pas pu être ajouté. Vérifiez les journaux configureWebServerCerts.

Pour une configuration réussie, vérifiez ce qui suit :

Le nom commun du nom d'objet et les noms SAN ne doivent pas être vides en même temps.
Si le SAN n'est pas vide, le nom d'hôte doit être présent dans l'entrée SAN.
Si le SAN est vide, le nom commun du nom d'objet doit être le nom d'hôte.
Seuls les certificats au format PEM sont autorisés.
Remarque :
Le nom d'hôte est le nom fourni pour le serveur maître au moment de l'installation. Le nom d'hôte peut être trouvé dans le fichier setenv avec la propriété NB_HOSTNAME.
Emplacement du fichier :
Sous UNIX : /usr/openv/wmc/bin/setenv
Sous Windows : install_path\Veritas\NetBackup\wmc\bin\setenv
La communication peut fonctionner dans les scénarios suivants :
- Le certificat contient tous les noms d'hôte connus du serveur maître (qui sont répertoriés dans les entrées SERVER des autres hôtes dans le domaine) dans le champ SAN du certificat.
- Les attributs d'authentification serveur sont définis dans le certificat.
Vérifiez les journaux à la recherche de l'entrée manquante.
Ajoutez le nom d'hôte manquant dans le champ SAN du certificat.