Veritas NetBackup™ Appliance 管理者ガイド

NetBackup Appliance の既存の Java KeyStore および TrustStore に証明書ファイルをインストールするには、次の手順を実行します。

1. SSH を使用してメンテナンスアカウントにログオンし、Symantec Data Center Security の保護を上書きします。
2. ルートアカウントを使用してアプライアンスにログオンします。
3. アプライアンスのホスト証明書、プライベートキー、および CA 証明書ファイルを /tmp などの一時ディレクトリにコピーします。
4. すべての証明書ファイルが X.509 PEM 形式であることを確認します。通常、これらのファイルには .pem または .cer の接尾辞があり、証明書の先頭には -----BEGIN CERTIFICATE----- というヘッダー行が含まれています。 を参照してください。
5. PEM 形式の X.509 証明書 (server.pem) とプライベートキー (serverkey.pem) を、CA 証明書ファイル cacerts.pemを使用して PKCS#12 形式に変換します。次のコマンドを入力します。

   openssl pkcs12 -export -in server.pem -inkey serverkey.pem -out server.p12 -name tomcat -CAfile cacerts.pem -caname root

   メモ:

   OpenSSL コマンドでインポートパスワードの入力を求められたら、プライベートキーのパスフレーズを入力します。エクスポートパスワードの入力を求められたら、appliance と入力します。

6. NetBackup Appliance の Web サービスの KeyStore ファイルを次のように作業ディレクトリにコピーします。

   cp /opt/apache-tomcat/security/keystore ./keystore

7. PKCS#12 ファイル (server.p12) を Java KeyStore にインポートするには、コマンド keytool -importkeystore -deststorepass appliance -destkeypass appliance -destkeystore keystore -srckeystore server.p12 -srcstoretype PKCS12 -srcstorepass appliance -alias tomcat を入力します。

   例外の発生を防ぐために、次のことを確認します。

   • -deststorepass オプションと -destkeypass オプションのパスワードとして appliance を指定します。パスワードに使用できるのは英数字のみです。

   • -alias オプションに tomcat を指定します。

8. 次のコマンドを実行して、すべての DNS 値が Java KeyStore のエントリに正しく適用されていることを確認します。

   keytool -list -v -alias tomcat -keystore keystore -storepass appliance

9. cacerts.pem CA 証明書ファイルの下部に、ルート CA 証明書までの中間 CA 証明書 (ある場合) のチェーンが含まれていることを確認します。
10. CA 証明書ファイル cacerts.pem を Java TrustStore にインポートします。Java TrustStore は NetBackup の Web 管理コンソールで使用されます。次のコマンドを入力します。

    keytool -import -noprompt -trustcacerts -file cacerts.pem -alias vxosrootcachain -keystore keystore -storepass appliance

    cacerts.pem ファイルが複数の中間 CA 証明書で構成されている場合は、証明書内の -----BEGIN CERTIFICATE----- タグと -----END CERTIFICATE----- タグに従って、証明書を別々のファイルに分割します。そうすることで、CA 証明書ファイルごとにコマンドを実行できます。

    keytool -import -noprompt -trustcacerts -file cacertn.pem alias vxosrootcachain[n] -keystore keystore -storepass appliance

    cacertn は個々の証明書ファイル (たとえば、cacert1.pem、cacert2.pem、...、cacertn.pem) を表します。

1. 次のコマンドを使用して、既存の Web サーバーの KeyStore ファイルをバックアップします。

   cp /opt/apache-tomcat/security/keystore /opt/apache-tomcat/security/keystore.orig

2. 既存の KeyStore ファイルを新しい KeyStore ファイルで置換します。

   cp ./keystore /opt/apache-tomcat/security/keystore

3. 次のコマンドを使用して、新しい KeyStore ファイルの権限を設定します。

   chmod 700 /opt/apache-tomcat/security
   chmod 600 /opt/apache-tomcat/security/keystore 
   chown  - R tomcat:tomcat /opt/apache-tomcat/security 
   

1. 証明書ファイルを /etc/vxos-ssl/servers/certs にコピーします。

   cp serverkey.pem /etc/vxos-ssl/servers/certs
   cp server.pem /etc/vxos-ssl/servers/certs
   cp cacerts.pem /etc/vxos-ssl/servers/certs
   

2. プライベートキー (serverkey.pem) と証明書 (server.pem) を連結します。

   cat /etc/vxos-ssl/servers/certs/server.pem >> 
   /etc/vxos-ssl/servers/certs/serverkey.pem

3. 証明書ファイルに必要なファイル権限を次のように設定します。

   chown root:infra /etc/vxos-ssl/servers/certs/serverkey.pem
   chown root:infra /etc/vxos-ssl/servers/certs/server.pem
   chown root:infra /etc/vxos-ssl/servers/certs/cacerts.pem
   
   chmod 440 /etc/vxos-ssl/servers/certs/serverkey.pem
   chmod 440 /etc/vxos-ssl/servers/certs/server.pem
   chmod 440 /etc/vxos-ssl/servers/certs/cacerts.pem
   

1. プライベートキー (serverkey.pem) と証明書 (server.pem) を連結します。

   cat /etc/vxos-ssl/servers/certs/server.pem >> 
   /etc/vxos-ssl/servers/certs/serverkey.pem
   
   

2. /etc/mongod.conf で PEMKeyFile を含む行を編集し、/etc/vxos-ssl/servers/certs/serverkey.pem を追加します。
3. /etc/mongod.conf で PEMKeyPassword を含む行を編集し、プライベートキーのパスフレーズを追加します。
4. /etc/mongod.conf を編集し、次の内容を追加します。

   server_cert=/etc/vxos-ssl/servers/certs/serverkey.pem
   client_cert=/etc/vxos-ssl/servers/certs/cacerts.pem
   pem_password=<passphrase of the private key>
   

5. 次のコマンドを入力して、MongoDB と Web サービスを起動します。

   /opt/IMAppliance/scripts/infraservices.sh database start 
   /opt/IMAppliance/scripts/infraservices.sh webserver start 

1. /etc/nginx/conf.d/appsol.conf が書き込み可能であることを確認します。

   ssl_certificate と ssl_certificate_key を含む行を編集して、証明書と (証明書と連結した) プライベートキーを指定します。

   ssl_certificate /etc/vxos-ssl/servers/certs/server.pem;
   ssl_certificate_key /etc/vxos-ssl/servers/certs/serverkey.pem;
   

2. /etc/nginx/locations/appsol.conf が書き込み可能であることを確認します。

   proxy_ssl_certificate と proxy_ssl_certificate_key を含む行を編集して、証明書と (証明書と連結した) プライベートキーを指定します。

   proxy_ssl_certificate /etc/vxos-ssl/servers/certs/server.pem;
   proxy_ssl_certificate_key /etc/vxos-ssl/servers/certs/serverkey.pem;
   

3. 次のコマンドを入力して、NGINX サーバーを起動します。

   systemctl start nginx