Veritas NetBackup™ Appliance セキュリティガイド

NetBackup Appliance の既存の Java KeyStore およびトラストストアに証明書ファイルをインストールするには、次の手順を実行します。

1. SSH を使用してメンテナンスアカウントにログオンし、Symantec Data Center Security の保護を上書きします。
2. ルートアカウントを使用してアプライアンスにログオンします。
3. アプライアンスのホスト証明書、プライベートキー、および CA 証明書ファイルを /tmp などの一時ディレクトリにコピーします。
4. すべての証明書ファイルが X.509 PEM 形式であることを確認します。通常、これらのファイルには .pem または .cer の接尾辞があり、証明書の先頭には -----BEGIN CERTIFICATE----- というヘッダー行が含まれています。証明書ファイルを必要な形式に変換する手順については、「前提条件」セクションを参照してください。
5. PEM 形式の X.509 証明書 (server.pem) とプライベートキー (serverkey.pem) を、CA 証明書ファイル cacerts.pemを使用して PKCS#12 形式に変換します。次のコマンドを入力します。

   openssl pkcs12 -export -in server.pem -inkey serverkey.pem -out server.p12 -name tomcat -CAfile cacerts.pem -caname root

   メモ:

   OpenSSL コマンドでインポートパスワードの入力を求められたら、プライベートキーのパスフレーズを入力します。エクスポートパスワードの入力を求められたら、appliance と入力します。

6. NetBackup Appliance の Web サービスの KeyStore ファイルを次のように作業ディレクトリにコピーします。

   cp /opt/apache-tomcat/security/keystore ./keystore

7. PKCS#12 ファイル (server.p12) を Java KeyStore にインポートするには、コマンド keytool -importkeystore -deststorepass appliance -destkeypass appliance -destkeystore keystore -srckeystore server.p12 -srcstoretype PKCS12 -srcstorepass appliance -alias tomcat を入力します。

   例外の発生を防ぐために、次のことを確認します。

   • -deststorepass オプションと -destkeypass オプションのパスワードとして appliance を指定します。パスワードに使用できるのは英数字のみです。

   • -alias オプションに tomcat を指定します。

8. 次のコマンドを実行して、すべての DNS 値が Java KeyStore のエントリに正しく適用されていることを確認します。

   keytool -list -v -alias tomcat -keystore keystore -storepass appliance

9. cacerts.pem CA 証明書ファイルの下部に、ルート CA 証明書までの中間 CA 証明書 (ある場合) のチェーンが含まれていることを確認します。
10. CA 証明書ファイル cacerts.pem を Java トラストストアにインポートします。Java トラストストアは NetBackup Web Management Console で使用されます。次のコマンドを入力します。

    keytool -import -noprompt -trustcacerts -file cacerts.pem -alias vxosrootcachain -keystore keystore -storepass appliance

    cacerts.pem ファイルが複数の中間 CA 証明書で構成されている場合は、証明書内の -----BEGIN CERTIFICATE----- タグと -----END CERTIFICATE----- タグに従って、証明書を別々のファイルに分割します。そうすることで、CA 証明書ファイルごとにコマンドを実行できます。

    keytool -import -noprompt -trustcacerts -file cacertn.pem alias vxosrootcachain[n] -keystore keystore -storepass appliance

    cacertn は個々の証明書ファイル (たとえば、cacert1.pem、cacert2.pem、...、cacertn.pem) を表します。

1. 次のコマンドを使用して、既存の Web サーバーの KeyStore ファイルをバックアップします。

   cp /opt/apache-tomcat/security/keystore /opt/apache-tomcat/security/keystore.orig

2. 既存の KeyStore ファイルを新しい KeyStore ファイルで置換します。

   cp ./keystore /opt/apache-tomcat/security/keystore

3. 次のコマンドを使用して、新しい KeyStore ファイルの権限を設定します。

   chmod 700 /opt/apache-tomcat/security
   chmod 600 /opt/apache-tomcat/security/keystore 
   chown -R tomcat:tomcat /opt/apache-tomcat/security 
   

1. 証明書ファイルを /etc/vxos-ssl/servers/certs にコピーします。

   cp serverkey.pem /etc/vxos-ssl/servers/certs
   cp server.pem /etc/vxos-ssl/servers/certs
   cp cacerts.pem /etc/vxos-ssl/servers/certs
   

2. プライベートキー (serverkey.pem) と証明書 (server.pem) を連結します。

   cat /etc/vxos-ssl/servers/certs/server.pem >> 
   /etc/vxos-ssl/servers/certs/serverkey.pem

3. 証明書ファイルに必要なファイル権限を次のように設定します。

   chown root:infra /etc/vxos-ssl/servers/certs/serverkey.pem
   chown root:infra /etc/vxos-ssl/servers/certs/server.pem
   chown root:infra /etc/vxos-ssl/servers/certs/cacerts.pem
   
   chmod 440 /etc/vxos-ssl/servers/certs/serverkey.pem
   chmod 440 /etc/vxos-ssl/servers/certs/server.pem
   chmod 440 /etc/vxos-ssl/servers/certs/cacerts.pem
   

4. 正しい証明書ファイルが使用されるようにするには、/etc/vxos-ssl/servers/certs/ にある証明書ファイルの名前が短縮名の形式になっていることを確認し、ファイルの名前を完全修飾ドメイン名 (FQDN) 形式に変更します。たとえば、<ServerName>.<DomainName>.com--self.cert.pem を <ServerName>--self.cert.pem に変更します。次のコマンドを使用します。

   rm /etc/vxos-ssl/servers/certs/<FQDN_hostname>-self.cert.pem
   
   cp /etc/vxos-ssl/servers/certs/<short_hostname>.cert.pem 
   /etc/vxos-ssl/servers/certs/<FQDN_hostname>-self.cert.pem
   
   tpconfig -delete -nb_appliance <short_hostname>

   /etc/vxos-ssl/servers/certs/ にある証明書ファイルが /usr/openv/var/global/appliance_certificates/ と同じかどうかを確認します

1. /etc/mongod.conf で PEMKeyFile を含む行を編集し、/etc/vxos-ssl/servers/certs/serverkey.pem を追加します。
2. /etc/mongod.conf で PEMKeyPassword を含む行を編集し、プライベートキーのパスフレーズを追加します。
3. /etc/vxos-ssl/cert.conf を編集し、次の内容を追加します。

   server_cert=/etc/vxos-ssl/servers/certs/serverkey.pem
   client_cert=/etc/vxos-ssl/servers/certs/cacerts.pem
   pem_password=<passphrase of the private key>
   

4. 次のコマンドを入力して、MongoDB と Web サービスを起動します。

   /opt/IMAppliance/scripts/infraservices.sh database start 
   /opt/IMAppliance/scripts/infraservices.sh webserver start 

1. /etc/nginx/conf.d/appsol.conf が書き込み可能であることを確認します。

   ssl_certificate と ssl_certificate_key を含む行を編集して、証明書と (証明書と連結した) プライベートキーを指定します。

   ssl_certificate /etc/vxos-ssl/servers/certs/server.pem;
   ssl_certificate_key /etc/vxos-ssl/servers/certs/serverkey.pem;
   

2. /etc/nginx/locations/appsol.conf が書き込み可能であることを確認します。

   proxy_ssl_certificate と proxy_ssl_certificate_key を含む行を編集して、証明書と (証明書と連結した) プライベートキーを指定します。

   proxy_ssl_certificate /etc/vxos-ssl/servers/certs/server.pem;
   proxy_ssl_certificate_key /etc/vxos-ssl/servers/certs/serverkey.pem;
   

3. 次のコマンドを入力して、NGINX サーバーを起動します。

   systemctl start nginx