Veritas NetBackup™ Appliance 安全指南

要将证书文件安装到 NetBackup Appliance 中的现有 Java KeyStore 和信任存储区，请执行以下步骤：

1. 使用 SSH 登录到 maintenance 帐户，并覆盖 Symantec Data Center Security 防护。
2. 使用 root 帐户登录到 Appliance。
3. 将设备主机证书、私钥和 CA 证书文件复制到临时目录，例如 /tmp。
4. 确保所有证书文件都采用 X.509 PEM 格式。这些文件通常具有 .pem 或 .cer 后缀，并且在证书开头包含标头行 -----BEGIN CERTIFICATE-----，请参见
5. 使用 CA 证书文件 cacerts.pem 将 PEM 格式 X.509 证书 (server.pem) 和私钥 (serverkey.pem) 转换为 PKCS#12 格式。键入以下命令：

   openssl pkcs12 -export -in server.pem -inkey serverkey.pem -out server.p12 -name tomcat -CAfile cacerts.pem -caname root

   注意:

   当 OpenSSL 命令提示输入导入密码时，请键入私钥的密码。当它提示输入导出密码时，请键入 appliance。

6. 将 NetBackup Appliance 的 Web 服务 KeyStore 文件复制到您的工作目录，如下所示：

   cp /opt/apache-tomcat/security/keystore ./keystore

7. 要将 PKCS#12 文件 (server.p12) 导入到 Java KeyStore，请键入以下命令：keytool -importkeystore -deststorepass appliance -destkeypass appliance -destkeystore keystore -srckeystore server.p12 -srcstoretype PKCS12 -srcstorepass appliance -alias tomcat

   为防止发生任何异常，请确保执行以下操作：

   • 指定 appliance 作为 -deststorepass 和 -destkeypass 选项的密码。请注意，密码仅支持字母数字字符。

   • 为 -alias 选项指定 tomcat。

8. 运行以下命令以确保所有 DNS 值都正确应用于 Java KeyStore 中的条目。

   keytool -list -v -alias tomcat -keystore keystore -storepass appliance

9. 在 cacerts.pem 证书颁发机构 (CA) 证书文件的底部，确保已包含可过渡到根 CA 证书的中间 CA 证书链（如果有）。
10. 将 CA 证书文件 cacerts.pem 导入到 Java 信任存储区。Java 信任存储区供 NetBackup 网页管理操作界面使用。键入以下命令：

    keytool -import -noprompt -trustcacerts -file cacerts.pem -alias vxosrootcachain -keystore keystore -storepass appliance

    如果 cacerts.pem 文件由多个中间 CA 证书组成，请确保按照证书中的 -----BEGIN CERTIFICATE----- 和 -----END CERTIFICATE----- 标记指示将证书拆分为单独的文件。然后，您可以为每个 CA 证书文件单独运行该命令。

    keytool -import -noprompt -trustcacerts -file cacertn.pem alias vxosrootcachain[n] -keystore keystore -storepass appliance

    其中，cacertn 表示每个单独的证书文件（例如，cacert1.pem、cacert2.pem、... 、cacertn.pem）。

1. 使用以下命令备份现有 Web 服务器 KeyStore 文件

   cp /opt/apache-tomcat/security/keystore /opt/apache-tomcat/security/keystore.orig

2. 将现有 KeyStore 文件替换为新的 KeyStore 文件：

   cp ./keystore /opt/apache-tomcat/security/keystore

3. 使用以下命令设置新 KeyStore 文件的权限：

   chmod 700 /opt/apache-tomcat/security
   chmod 600 /opt/apache-tomcat/security/keystore 
   chown –R tomcat:tomcat /opt/apache-tomcat/security 
   

1. 将证书文件复制到 /etc/vxos-ssl/servers/certs。

   cp serverkey.pem /etc/vxos-ssl/servers/certs
   cp server.pem /etc/vxos-ssl/servers/certs
   cp cacerts.pem /etc/vxos-ssl/servers/certs
   

2. 将私钥 (serverkey.pem) 和证书 (server.pem) 连接起来。

   cat /etc/vxos-ssl/servers/certs/server.pem >> 
   /etc/vxos-ssl/servers/certs/serverkey.pem

3. 设置证书文件所需的文件权限，如下所示：

   chown root:infra /etc/vxos-ssl/servers/certs/serverkey.pem
   chown root:infra /etc/vxos-ssl/servers/certs/server.pem
   chown root:infra /etc/vxos-ssl/servers/certs/cacerts.pem
   
   chmod 440 /etc/vxos-ssl/servers/certs/serverkey.pem
   chmod 440 /etc/vxos-ssl/servers/certs/server.pem
   chmod 440 /etc/vxos-ssl/servers/certs/cacerts.pem
   

1. 将私钥 (serverkey.pem) 和证书 (server.pem) 连接起来。

   cat /etc/vxos-ssl/servers/certs/server.pem >> 
   /etc/vxos-ssl/servers/certs/serverkey.pem
   
   

2. 在 /etc/mongod.conf 中编辑包含 PEMKeyFile 的行，然后添加 /etc/vxos-ssl/servers/certs/serverkey.pem。
3. 在 /etc/mongod.conf 中编辑包含 PEMKeyPassword 的行，然后添加私钥的密码。
4. 编辑 /etc/mongod.conf，然后添加以下内容：

   server_cert=/etc/vxos-ssl/servers/certs/serverkey.pem
   client_cert=/etc/vxos-ssl/servers/certs/cacerts.pem
   pem_password=<passphrase of the private key>
   

5. 键入以下命令以启动 mongodb 和 Web 服务：

   /opt/IMAppliance/scripts/infraservices.sh database start 
   /opt/IMAppliance/scripts/infraservices.sh webserver start 

1. 确保 /etc/nginx/conf.d/appsol.conf 是可写的。

   编辑包含 ssl_certificate 和 ssl_certificate_key 的行，以指向证书和私钥（与证书连接）：

   ssl_certificate /etc/vxos-ssl/servers/certs/server.pem;
   ssl_certificate_key /etc/vxos-ssl/servers/certs/serverkey.pem;
   

2. 确保 /etc/nginx/locations/appsol.conf 是可写的。

   编辑包含 proxy_ssl_certificate 和 proxy_ssl_certificate_key 的行，以指向证书和私钥（与证书连接）：

   proxy_ssl_certificate /etc/vxos-ssl/servers/certs/server.pem;
   proxy_ssl_certificate_key /etc/vxos-ssl/servers/certs/serverkey.pem;
   

3. 键入以下命令以启动 NGINX 服务器：

   systemctl start nginx