<book_title> を検索 ...

NetBackup™ 状態コードリファレンスガイド

Last Published: 2022-01-21

Product(s): NetBackup (9.1)

NetBackup の状態コード: 8779

メッセージ: ECA 健全性チェックに失敗しました。

説明: nbcertcmd -ecaHealthCheck コマンドを使用すると、指定した外部証明書固有の構成が検証され、成功と失敗を含むすべての検証に関するレポートが表示されます。

推奨処置: 失敗した検証には、それぞれ検証 ID が関連付けられています。エラーごとに固有の理由がある場合があり、特定のトラブルシューティング手順を実行できます。ecaHealthCheck コマンドの検証のリストを次に示します。

検証 ID: USER_INPUT_CERT_PATH_VALIDATION

原因:
- 証明書のパスが空です。
- 指定したパス filename のファイルにアクセスできません。
推奨処置:
- 証明書のパスが空でないことを確認します。
- 対応するユーザーにファイルのRead権限があることを確認します。

検証 ID: USER_INPUT_CERTIFICATES_VALIDATION

原因:
- 証明書ファイルの読み取りエラーです。
推奨処置:
- 証明書ファイルに証明書が含まれていることを確認します。
- 証明書ファイルの形式が NetBackup でサポートされていることを確認します。サポートされている証明書の形式は、PEM、P7BPEM、P7BDER です。

検証 ID: USER_INPUT_PRIVATE_KEY_PATH_VALIDATION

原因:
- 秘密鍵のパスが空です。
- 指定したパス filename のファイルにアクセスできません。
推奨処置:
- 秘密鍵のパスが空でないことを確認します。
- 対応するユーザーにファイルのRead権限があることを確認します。

検証 ID: USER_INPUT_PRIVATE_KEY_READ_VALIDATION

原因:
- 秘密鍵の読み取りエラー: ファイルの読み取りに失敗しました。
- 秘密鍵の読み取りエラー: 外部証明書の秘密鍵が暗号化されていますが、passphrase が指定されていません。
- 秘密鍵の読み取りエラー: 外部証明書の秘密鍵が暗号化されていますが、passphrase が空白です。
推奨処置:
- 秘密鍵の形式または鍵アルゴリズムの形式が NetBackup でサポートされていることを確認します。サポートされている鍵の形式は、PEM と DER です。
- 秘密鍵が暗号化されている場合は、ECA_KEY_PASSPHRASEFILE または -passphraseFile の値に passphrase ファイルパス位置が指定されていることを確認します。
- 秘密鍵が暗号化されていて passphrase ファイルが指定されている場合は、passphrase が空でなく、その passphrase が正しいことを確認します。

検証 ID: USER_INPUT_TRUST_STORE_PATH_VALIDATION

原因:
- トラストストアのパスが空です。
- 指定したパス filename のファイルにアクセスできません。
推奨処置:
- トラストストアのパスが空でないことを確認します。
- 対応するユーザーにファイルのRead権限があることを確認します。

検証 ID: USER_INPUT_TRUST_STORE_VALIDATION

原因:
- トラストストアのパスの読み取りエラーです。
推奨処置:
- トラストストアの証明書ファイルに信頼できる証明書が含まれていることを確認します。
- 証明書ファイルの形式が NetBackup でサポートされていることを確認します。サポートされている証明書の形式は、PEM、P7BPEM、P7BDER です。

検証 ID: CERTIFICATES_KEYS_ACCESS_VALIDATION

原因:
- Windows の場合: NetBackup サービスが証明書、トラストストア、または秘密鍵を読み取れません。
- UNIX の場合: NetBackup サービスユーザーが証明書、トラストストア、または秘密鍵を読み取れません。
推奨処置:
- Windows の場合:
  - ローカルサービスが証明書、トラストストア、または秘密鍵へのアクセスを拒否されていないかを確認します。
  - NetBackup サービスが証明書、トラストストア、または秘密鍵へのアクセス権を持っていることを確認します。
  - icacls コマンドを実行して、NetBackup サービスまたはローカルサービスに読み取り権限が付与されていることを確認します。例:
    icacls <file> ... <file> NT SERVICE\NetBackup Audit Manager:(R) ...
    メモ:
    この注意は、Windows システムにのみ適用されます。
    ローカルサービスまたは NetBackup サービスが、拒否または許可の権限 (またはその両方) が付与されたグループのメンバーである場合、このチェックはグループメンバーには適用できません。検証チェックでは権限は検出されません。
- UNIX の場合:
  - NetBackup サービスユーザーが証明書、秘密鍵、パスフレーズファイルにアクセス権を持っていることを確認します。

検証 ID: LEAF_CERTIFICATE_ENHANCED_KEY_USAGE_VALIDATION

原因:
- 必要な拡張キー用途が、指定した証明書では利用できません。
推奨処置:
- 次のコマンドを実行します。
  - Windows の場合:
    install_path\bin\goodies\vxsslcmd.exe x509 -text -in end_entity_certificate
  - UNIX の場合:
    install_path/bin/goodies/vxsslcmd x509 -text -in end_entity_certificate
- 証明書に X509v3 キー用途の拡張がある場合は、次のようなキーの用途が含まれている必要があります。
  - Web サーバー証明書の場合: デジタル署名またはキーの暗号化のうち少なくとも 1 つが存在する必要があります。
  - NetBackup ホスト証明書の場合: デジタル署名の用途が存在する必要があります。キーの暗号化は存在しないこともあります。
  - Web サーバーおよび NetBackup ホストの両方で使用する証明書の場合: デジタル署名の用途が存在する必要があります。キーの暗号化は存在しないこともあります。
  - 証明書には、ここで指定した用途以外のキー用途も記載されている場合があります。これらの追加の用途は無視されます。
- X509v3 キー用途の拡張は、critical または non-critical のいずれかにできます。
- X509v3 キー用途の拡張を備えていない証明書は、NetBackup でも使用できます。
- 証明書に X509v3 キー用途の拡張がある場合は、次のようなキーの用途が含まれている必要があります。
  - Web サーバー証明書の場合: TLS Web サーバー認証。
  - NetBackup ホスト証明書の場合: TLS Web サーバー認証、TLS Web クライアント認証。
  - Web サーバーおよび NetBackup ホストの両方で使用する証明書の場合: TLS Web サーバー認証、TLS Web クライアント認証。
  - 証明書には、ここで指定した用途以外のキー用途も記載されている場合があります。これらの追加の用途は無視されます。
- X509v3 キー用途の拡張は、critical または non-critical のいずれかにすることができます。
- X509v3 キー用途の拡張を備えていない証明書は、NetBackup でも使用できます。
- 証明書がこの「推奨処置」セクションに記載されている要件を満たしていない場合は、証明書のプロバイダにお問い合わせのうえ、新しい証明書を取得してください。

検証 ID: CERTIFICATE_SUBJECT_DN_LENGTH_VALIDATION

原因:
- subject name が 255 文字を超えています。
推奨処置:
- 255 文字を超える subject name はサポートされません。外部証明書のプロバイダにお問い合わせください。

検証 ID: CERTIFICATE_SAN_HOSTNAME_VALIDATION

原因:
- 証明書のサブジェクトの別名フィールドが空ではなく、フィールドに hostname がありません。
推奨処置:
- 証明書のサブジェクトの別名が空ではない場合は、ホスト名が含まれていることを確認します。
- サブジェクトの別名を表示するには、次のコマンドを実行します。
  - vxsslcmd x509 -text -in end_entity_certificate_file
    X509v3 サブジェクトの別名: DNS: host FQDN DNS: host name

検証 ID: PRIVATE_KEY_VALIDATION

原因:
- 秘密鍵が証明書と一致しません。
推奨処置:
- 証明書とそれに対応する秘密鍵が指定されていることを確認します。

検証 ID: CERTIFICATE_SUBJECT_DN_ASCII_VALIDATION

原因:
- 証明書の Subject: subject name に ASCII 以外の文字が見つかりました。
推奨処置:
- ASCII の 7 ビット文字以外の文字を含む証明書のサブジェクト名はサポートされません。外部証明書のプロバイダにお問い合わせください。

検証 ID: CERTIFICATE_CHAIN_VALIDATION_AGAINST_TRUST_STORE

原因:
- 証明書チェーンの検証は、多くの理由により失敗する場合があります。表示される唯一の一般的な文は、「証明書チェーンの検証に失敗しました (The certificate chain verification failed)」です。残りのエラーは、openssl が返す内容とともに表示されます。
推奨処置:
- 指定したサブジェクト名の証明書が指定したトラストストアにあることを確認します。
- openssl のエラーを確認し、エラーテキストに従って修正します。

検証 ID: CERTIFICATE_CN_EMPTINESS_VALIDATION

原因:
- 証明書の一般名フィールドが空です。
推奨処置:
- 証明書の一般名が空でないことを確認します。外部証明書のプロバイダにお問い合わせください。
- 検証のために次のコマンドを実行します。
  - vxsslcmd x509 -subject -in certificate_file
  - サブジェクトの CN の値が空でないことを確認します。

検証 ID: CERTIFICATES_ORDER

原因:
- 証明書 subject name の署名を現在の証明書 subject name の公開鍵で検証できません。
推奨処置:
- PEM 形式の証明書を使用する場合は、証明書ファイルで最初にリーフ証明書があり、その発行者、リーフの発行者の発行者などのように続いていることを確認します。

検証 ID: CERTIFICATE_CHAIN_EXPIRY_VALIDATION

原因:
- サブジェクト subject name の証明書が期限切れになっています。
推奨処置:
- 証明書を更新するか、現在有効な証明書を使用します。
- 確認するには次のコマンドを実行します。
  - vxsslcmd x509 -dates -in certificate_file
    出力:
    notBefore=date before which certificate is not valid notAfter=date after which certificate is not valid

検証 ID: CERTIFICATE_CHAIN_CURRENT_ACTIVE_VALIDATION

原因:
- サブジェクト subject name の証明書がまだアクティブになっていません。
推奨処置:
- 現在有効な証明書を使用します。
- 確認するには次のコマンドを実行します。
  - vxsslcmd x509 -dates -in certificate_file
    出力:
    notBefore=date before which certificate is not valid notAfter=date after which certificate is not valid

検証 ID: WINDOWS_CERTIFICATE_STORE_PRIVATE_KEY_VALIDATION

重大度: 失敗または警告
原因:
- NetBackup の設定で MANAGE_WIN_CERT_STORE_PRIVATE_KEY が［無効 (Disabled)］に設定されていて、NetBackup サービスが秘密鍵にアクセスすることを許可されている場合に警告が表示されます。
- NetBackup の設定で MANAGE_WIN_CERT_STORE_PRIVATE_KEY が［無効 (Disabled)］に設定されていて、NetBackup サービスが秘密鍵にアクセスすることを許可されていない場合、検証は失敗します。
- 暗号サービスプロバイダ (CSP) またはキーストレージプロバイダ (KSP) がセキュリティ記述子をサポートしていないと、検証は失敗します。
推奨処置:
- MANAGE_WIN_CERT_STORE_PRIVATE_KEY を［自動 (Automatic)］に設定して、特権のある NetBackup サービスが特権を持たない NetBackup サービスの秘密鍵に対する読み取り権限を更新できるようにします。
- 検証が失敗した場合は、NetBackup サービスに秘密鍵にアクセスするための権限を付与します。コマンド nbcertcmd -setwincertprivkeypermissions -force を実行できます。
- 検証で警告が返された場合は、秘密鍵にアクセスするための読み取り権限を NetBackup サービスが持っていることを確認します。権限は、証明書の更新やディザスタリカバリのような特定の操作中にリセットされます。
- 暗号サービスプロバイダ (CSP) またはキーストレージプロバイダ (KSP) がセキュリティ記述子をサポートしていないために検証が失敗した場合は、セキュリティ記述子をサポートするプロバイダを使用します。
  詳しくは、『NetBackup セキュリティおよび暗号化ガイド』の「NetBackup サービスがローカルサービスアカウントのコンテキストで実行されている場合の Windows 証明書ストアの制限事項」のセクションを参照してください。

検証 ID: USER_INPUT_WIN_CERT_PATH_VALIDATION

原因:
- 指定したサブジェクト名の証明書が見つかりません。
推奨処置:
- Windows 証明書ストアの証明書のパスが正しく指定されていて、証明書が指定された証明書ストアに存在することを確認します。『NetBackup セキュリティおよび暗号化ガイド』の「NetBackup での外部 CA のサポート」を参照してください。

検証 ID: CERTIFICATE_SAN_CN_HOSTNAME_VALIDATION

原因:
- 証明書のサブジェクトの別名フィールドが空で、一般名フィールドにホスト名 hostname がありません。
推奨処置:
- 証明書のサブジェクトの別名が空の場合は、一般名フィールドにホスト名が含まれていることを確認します。
- サブジェクトの別名を表示するには、次のコマンドを実行します。
  - vxsslcmd x509 -text -in end_entity_certificate_file
  - X509v3 サブジェクトの別名: DNS: host FQDN DNS: host name
- 一般名を表示するには、次のコマンドを実行します。
  - vxsslcmd x509 -text -in end_entity_certificate_file
  - X509v3 サブジェクトの別名: DNS: host FQDN DNS: host name

検証 ID: USER_INPUT_WIN_CERT_VALIDATION

原因:
- 指定した証明書ストアを開けません。
- 証明書の発行者が見つかりません。
- 指定したサブジェクトの証明書が見つかりません。
- コンピュータのホスト名をフェッチできません。[特殊なキーワード$hostname とともに使用]
- 証明書がまだ有効ではありません。
- 証明書が期限切れです。
- 証明書の秘密鍵が見つかりません。
- 必要な用途 (クライアント認証およびサーバー認証) が証明書にありません。
推奨処置: (次の処置は Windows 証明書ストアで実行します)
- 証明書のパスの形式が正しい (store-name\issuer-name\subject) ことを確認します。
- 証明書の Valid from フィールドを確認します。現在の日付範囲の値 (日付) である必要があります。
- 証明書の Valid to フィールドを確認します。現在の日付範囲の値 (日付) である必要があります。
- エンドエンティティ証明書に対応する秘密鍵があることを確認します。
- Enhanced Key Usage フィールドに Server Authentication (1.3.6.1.5.5.7.3.1) および Client Authentication (1.3.6.1.5.5.7.3.2) が含まれていることを確認します。すべての用途も受け入れられます。

検証 ID: USER_INPUT_CRL_PATH_VALIDATION

原因:
- CRL のパスにアクセスできません。
- CRL のパスが空です。
- CRL のパスに 0 KB のファイルしかありません。
推奨処置:
- CRL のパスが正しく、空でないことを確認します。

検証 ID: USER_INPUT_CRL_PATH_CONTAINS_CRLS

原因:
- CRL のパスに CRL ファイルがありません。
推奨処置:
- CRL のパスが正しく、空でないことを確認します。

検証 ID: CRL_FILES_ACCESS_VALIDATION

原因:
- Windows の場合: NetBackup サービスは CRL ファイルを読み取れません。
- UNIX の場合: NetBackup サービスユーザーは CRL ファイルを読み取れません。
推奨処置:
- Windows の場合:
  - ローカルサービスが CRL ファイルへのアクセスを拒否されていないか確認します。
  - NetBackup サービスが CRL ファイルへのアクセス権を持っていることを確認します。
  - icacls コマンドを実行して、NetBackup サービスまたはローカルサービスに読み取り権限が付与されていることを確認します。例:
    icacls <file> ... <file> NT SERVICE\NetBackup Audit Manager:(R) ...
    メモ:
    この注意は、Windows システムにのみ適用されます。
    ローカルサービスまたは NetBackup サービスが、拒否または許可の権限 (またはその両方) が付与されたグループのメンバーである場合、このチェックはグループメンバーには適用できません。検証チェックでは権限は検出されません。
- UNIX の場合: サービスユーザーが CRL ファイルへのアクセス権を持っていることを確認します。

検証 ID: CRL_CDP_URL_VALIDATION

原因:
- 証明書の CRL 配布ポイントに有効な URL がありません。NetBackup では、HTTP または HTTPS の URL のみサポートされます。
推奨処置:
- CRL 配布ポイントに有効な URL が含まれていることを確認します。

検証 ID: ALL_CRLS_READABLE

原因:
- 利用可能な CRL ファイルを読み取れないか、CRL が無効です。
推奨処置:
- CRL のパスで有効な CRL を利用できることを確認します。

この状態コードに関するVeritas Technical Support Web サイトのテクニカルノートとその他の情報を表示するには、ここをクリックしてください。