Skip to main content
ONTAP Mediator
La versione in lingua italiana fornita proviene da una traduzione automatica. Per eventuali incoerenze, fare riferimento alla versione in lingua inglese.

Sostituisci i certificati autofirmati di ONTAP Mediator con certificati attendibili di terze parti

Collaboratori netapp-aoife netapp-camdenc
PDF

Se il tuo ambiente lo consente, sostituisci i certificati autofirmati con certificati attendibili emessi da un'autorità di certificazione.

Avvertenza

  • I certificati di terze parti sono supportati solo a partire da ONTAP 9.16.1 e in alcune release patch precedenti di ONTAP. Consulta "ID bug Bugs Online NetApp CONTAP-243278".

  • I certificati di terze parti sono supportati solo sui sistemi che eseguono ONTAP Mediator 1.7 o versioni successive.
Informazioni su questa attività

  • Esegui questa operazione sull'host Linux su cui hai installato ONTAP Mediator.

  • Puoi eseguire questa operazione se i certificati autofirmati generati devono essere sostituiti con certificati ottenuti da un'autorità di certificazione (CA) subordinata attendibile. Per farlo, devi avere accesso a un'autorità attendibile dell'infrastruttura a chiave pubblica (PKI).

  • L'immagine seguente mostra le finalità di ciascun certificato ONTAP Mediator.

    Finalità del certificato ONTAP Mediator

  • L'immagine seguente mostra la configurazione per l'installazione del server web e di ONTAP Mediator.

    Configurazione del server Web e della configurazione di ONTAP Mediator

Passaggio 1: Ottieni un certificato da una terza parte che emette un certificato CA

Puoi ottenere un certificato da un'autorità PKI seguendo la procedura descritta di seguito.

L'esempio seguente mostra come sostituire i componenti del certificato autofirmato con quelli del certificato di terze parti che si trovano in /opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/.

Nota

L'esempio illustra i criteri necessari per i certificati richiesti per ONTAP Mediator. Puoi ottenere i certificati da un'autorità PKI seguendo una procedura che potrebbe differire da quella descritta. Adatta la procedura alle tue esigenze aziendali.
ONTAP Mediator 1.9 e versioni successive

  1. Crea una chiave privata intermediate.key e un file di configurazione openssl_ca.cnf che verranno utilizzati dall'autorità PKI per generare un certificato.

    1. Genera la chiave privata intermediate.key:

      Esempio

      openssl genrsa -aes256 -out intermediate.key 4096

    2. Il file di configurazione openssl_ca.cnf (situato in /opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/openssl_ca.cnf) definisce le proprietà che il certificato generato deve possedere.

  2. Usa la chiave privata e il file di configurazione per creare una richiesta di firma del certificato intermediate.csr:

    Esempio:

    openssl req -key <private_key_name>.key -new -out <certificate_csr_name>.csr -config <config_file_name>.cnf

    [root@mediator_host server_config]# openssl req -key intermediate.key -new -config openssl_ca.cnf -out intermediate.csr
Enter pass phrase for intermediate.key:
[root@mediator_host server_config]# cat intermediate.csr
-----BEGIN CERTIFICATE REQUEST-----
<certificate_value>
-----END CERTIFICATE REQUEST-----

  3. Invia la richiesta di firma del certificato intermediate.csr a un'autorità PKI per farla firmare.

    L'autorità PKI verifica la richiesta e firma il .csr, generando il certificato intermediate.crt. Inoltre, devi ottenere dall'autorità PKI il certificato root_ca.crt che ha firmato il certificato intermediate.crt.

    Nota Per i cluster di sincronizzazione attiva di SnapMirror e le configurazioni IP di MetroCluster che utilizzano ONTAP Mediator configurato con HTTPS, devi aggiungere i certificati intermediate.crt e root_ca.crt a un cluster ONTAP. Vedi "Configura ONTAP Mediator e i cluster per SnapMirror active sync" e "Configura il mediatore ONTAP per una configurazione IP MetroCluster".
ONTAP Mediator 1.8 e versioni precedenti

  1. Crea una chiave privata ca.key e un file di configurazione openssl_ca.cnf che l'autorità PKI userà per generare un certificato.

    1. Genera la chiave privata ca.key:

      Esempio:

      openssl genrsa -aes256 -out ca.key 4096

    2. Il file di configurazione openssl_ca.cnf (situato in /opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/openssl_ca.cnf) definisce le proprietà che il certificato generato deve possedere.

  2. Usa la chiave privata e il file di configurazione per creare una richiesta di firma del certificato ca.csr:

    Esempio:

    openssl req -key <private_key_name>.key -new -out <certificate_csr_name>.csr -config <config_file_name>.cnf

    [root@mediator_host server_config]# openssl req -key ca.key -new -config openssl_ca.cnf -out ca.csr
Enter pass phrase for ca.key:
[root@mediator_host server_config]# cat ca.csr
-----BEGIN CERTIFICATE REQUEST-----
<certificate_value>
-----END CERTIFICATE REQUEST-----

  3. Invia la richiesta di firma del certificato ca.csr a un'autorità PKI per la firma.

    L'autorità PKI verifica la richiesta e firma il documento .csr, generando il certificato ca.crt. Inoltre, devi ottenere dall'autorità PKI il certificato root_ca.crt che ha firmato il certificato ca.crt.

    Nota Per i cluster con sincronizzazione attiva di SnapMirror, devi aggiungere i ca.crt e root_ca.crt certificati a un cluster ONTAP. Vedi "Configura ONTAP Mediator e i cluster per SnapMirror active sync".

Passaggio 2: Genera un certificato server firmandolo con un'autorità di certificazione (CA) di terze parti

ONTAP Mediator 1.9 e versioni successive

Un certificato server deve essere firmato con la chiave privata intermediate.key e il certificato di terze parti intermediate.crt. Inoltre, il file di configurazione /opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/openssl_server.cnf contiene determinati attributi che specificano le proprietà richieste per i certificati server emessi da OpenSSL.

I seguenti comandi possono generare un certificato del server.

Passaggi

  1. Per generare una richiesta di firma del certificato del server (CSR), esegui il seguente comando dalla /opt/netapp/lib/ontap_mediator/ontap_mediator/server_config cartella:

    openssl req -config openssl_server.cnf -extensions v3_req -nodes -newkey rsa:4096 -sha512 -keyout ontap_mediator_server.key -out ontap_mediator_server.csr

  2. Per generare un certificato server dal CSR, esegui il seguente comando dalla /opt/netapp/lib/ontap_mediator/ontap_mediator/server_config cartella:

    Nota Questi file provengono da un'autorità PKI. Se utilizzi un nome di certificato diverso, sostituisci intermediate.crt e intermediate.key con i nomi file pertinenti.

    openssl x509 -extfile openssl_server.cnf -extensions v3_req -CA intermediate.crt -CAkey intermediate.key -CAcreateserial -sha512 -days 1095 -req -in ontap_mediator_server.csr -out ontap_mediator_server.crt

    • L'opzione -CAcreateserial viene utilizzata per generare i file intermediate.srl.

ONTAP Mediator 1.8 e versioni precedenti

Un certificato server deve essere firmato con la chiave privata ca.key e con il certificato di terze parti ca.crt. Inoltre, il file di configurazione /opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/openssl_server.cnf contiene determinati attributi che specificano le proprietà richieste per i certificati server emessi da OpenSSL.

I seguenti comandi possono generare un certificato del server.

Passaggi

  1. Per generare una richiesta di firma del certificato del server (CSR), esegui il seguente comando dalla /opt/netapp/lib/ontap_mediator/ontap_mediator/server_config cartella:

    openssl req -config openssl_server.cnf -extensions v3_req -nodes -newkey rsa:4096 -sha512 -keyout ontap_mediator_server.key -out ontap_mediator_server.csr

  2. Per generare un certificato server dal CSR, esegui il seguente comando dalla `/opt/netapp/lib/ontap_mediator/ontap_mediator/server_config`cartella:

    Nota Hai ottenuto questi file da un'autorità PKI. Se usi un nome di certificato diverso, sostituisci ca.crt e ca.key con i nomi di file pertinenti.

    openssl x509 -extfile openssl_server.cnf -extensions v3_req -CA ca.crt -CAkey ca.key -CAcreateserial -sha512 -days 1095 -req -in ontap_mediator_server.csr -out ontap_mediator_server.crt

    • L' -CAcreateserial`opzione serve a generare i `ca.srl file.

Passaggio 3: sostituisci il nuovo certificato CA di terze parti e il certificato del server nella configurazione di ONTAP Mediator

ONTAP Mediator 1.10 e versioni successive

La configurazione del certificato viene fornita a ONTAP Mediator nel file di configurazione situato in /opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ontap_mediator.config.yaml. Il file include i seguenti attributi:

cert_path: '/opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ontap_mediator_server.crt'
key_path: '/opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ontap_mediator_server.key'
ca_cert_path: '/opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/intermediate.crt'
ca_key_path: '/opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/intermediate.key'
ca_serial_path: '/opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/intermediate.srl'

  • cert_path e key_path sono variabili del certificato del server.

  • ca_cert_path, ca_key_path, e ca_serial_path sono variabili del certificato CA.

Passaggi

  1. Sostituisci tutti intermediate.* i file con i certificati di terze parti.

  2. Crea una catena di certificati dai intermediate.crt e ontap_mediator_server.crt certificati:

    cat ontap_mediator_server.crt intermediate.crt > ontap_mediator_server_chain.crt

  3. Aggiorna il /opt/netapp/lib/ontap_mediator/uvicorn/config.json file.

    Aggiorna i valori di ssl_keyfile, ssl_certfile, e ssl_ca_certs:

    ssl_keyfile: /opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ontap_mediator_server.key

    ssl_certfile: /opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ontap_mediator_server_chain.crt

    ssl_ca_certs: /opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/root_ca.crt

    • Il ssl_keyfile valore è il percorso della chiave nel ontap_mediator_server.crt file, che è ontap_mediator_server.key.

    • Il ssl_certfile valore corrisponde al percorso del ontap_mediator_server_chain.crt file.

    • Il ssl_ca_certs valore corrisponde al percorso del root_ca.crt file.

  4. Verifica che i seguenti attributi dei certificati appena generati siano impostati correttamente:

    • Proprietario del gruppo Linux: netapp:netapp

    • Permessi Linux: 600

  5. Riavvia ONTAP Mediator:

    systemctl restart ontap_mediator

ONTAP Mediator 1.9.1 e 1.9

La configurazione del certificato viene fornita a ONTAP Mediator nel file di configurazione situato in /opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ontap_mediator.config.yaml. Il file include i seguenti attributi:

cert_path: '/opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ontap_mediator_server.crt'
key_path: '/opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ontap_mediator_server.key'
ca_cert_path: '/opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/intermediate.crt'
ca_key_path: '/opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/intermediate.key'
ca_serial_path: '/opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/intermediate.srl'

  • cert_path e key_path sono variabili del certificato del server.

  • ca_cert_path, ca_key_path, e ca_serial_path sono variabili del certificato CA.

Passaggi

  1. Sostituisci tutti intermediate.* i file con i certificati di terze parti.

  2. Crea una catena di certificati dai intermediate.crt e ontap_mediator_server.crt certificati:

    cat ontap_mediator_server.crt intermediate.crt > ontap_mediator_server_chain.crt

  3. Aggiorna il /opt/netapp/lib/ontap_mediator/uwsgi/ontap_mediator.ini file.

    Aggiorna i valori di mediator_cert, mediator_key e ca_certificate:

    set-placeholder = mediator_cert = /opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ontap_mediator_server_chain.crt

    set-placeholder = mediator_key = /opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ontap_mediator_server.key

    set-placeholder = ca_certificate = /opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/root_ca.crt

    • Il mediator_cert valore corrisponde al percorso del ontap_mediator_server_chain.crt file.

    • Il mediator_key value è il percorso chiave nel ontap_mediator_server.crt file, che è ontap_mediator_server.key.

    • Il ca_certificate valore è il percorso del root_ca.crt file.

  4. Verifica che i seguenti attributi dei certificati appena generati siano impostati correttamente:

    • Proprietario del gruppo Linux: netapp:netapp

    • Permessi Linux: 600

  5. Riavvia ONTAP Mediator:

    systemctl restart ontap_mediator

ONTAP Mediator 1.8 e versioni precedenti

La configurazione del certificato viene fornita a ONTAP Mediator nel file di configurazione situato in /opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ontap_mediator.config.yaml. Il file include i seguenti attributi:

cert_path: '/opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ontap_mediator_server.crt'
key_path: '/opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ontap_mediator_server.key'
ca_cert_path: '/opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ca.crt'
ca_key_path: '/opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ca.key'
ca_serial_path: '/opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ca.srl'

  • cert_path e key_path sono variabili del certificato del server.

  • ca_cert_path, ca_key_path, e ca_serial_path sono variabili del certificato CA.

Passaggi

  1. Sostituisci tutti ca.* i file con i certificati di terze parti.

  2. Crea una catena di certificati dai certificati ca.crt e ontap_mediator_server.crt:

    cat ontap_mediator_server.crt ca.crt > ontap_mediator_server_chain.crt

  3. Aggiorna il /opt/netapp/lib/ontap_mediator/uwsgi/ontap_mediator.ini file.

    Aggiorna i valori di mediator_cert, mediator_key e ca_certificate:

    set-placeholder = mediator_cert = /opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ontap_mediator_server_chain.crt

    set-placeholder = mediator_key = /opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ontap_mediator_server.key

    set-placeholder = ca_certificate = /opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/root_ca.crt

    • Il mediator_cert valore corrisponde al percorso del ontap_mediator_server_chain.crt file.

    • Il mediator_key value è il percorso chiave nel ontap_mediator_server.crt file, che è ontap_mediator_server.key.

    • Il ca_certificate valore è il percorso del root_ca.crt file.

  4. Verifica che i seguenti attributi dei certificati appena generati siano impostati correttamente:

    • Proprietario del gruppo Linux: netapp:netapp

    • Permessi Linux: 600

  5. Riavvia ONTAP Mediator:

    systemctl restart ontap_mediator

Passaggio 4: Facoltativamente, usa un percorso o un nome diverso per i certificati di terze parti

ONTAP Mediator 1.10 e versioni successive

Puoi utilizzare certificati di terze parti con un nome diverso da intermediate.* oppure archiviare i certificati di terze parti in una posizione diversa.

Passaggi

  1. Configura il /opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ontap_mediator.user_config.yaml file per sovrascrivere i valori predefiniti delle variabili nel ontap_mediator.config.yaml file.

    Se hai ottenuto intermediate.crt da un'autorità PKI e memorizzi la sua chiave privata intermediate.key nella posizione /opt/netapp/lib/ontap_mediator/ontap_mediator/server_config, il ontap_mediator.user_config.yaml file dovrebbe essere simile al seguente esempio:

    Nota Se hai usato intermediate.crt per firmare il ontap_mediator_server.crt certificato, viene generato il file intermediate.srl. Consulta Passaggio 2: Genera un certificato server firmandolo con un'autorità di certificazione (CA) di terze parti per ulteriori informazioni. 
    [root@mediator_host server_config]# cat  ontap_mediator.user_config.yaml

# This config file can be used to override the default settings in ontap_mediator.config.yaml
# To override a setting, copy the property key from ontap_mediator.config.yaml to this file and
# set the property to the desired value. e.g.,
#
# The default value for 'default_mailboxes_per_target' is 4 in ontap_mediator.config.yaml
#
# To override this value with 6 mailboxes per target, add the following key/value pair
# below this comment:
#
# 'default_mailboxes_per_target': 6
#
cert_path: '/opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ontap_mediator_server.crt'
key_path: '/opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ontap_mediator_server.key'
ca_cert_path: '/opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/intermediate.crt'
ca_key_path: '/opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/intermediate.key'
ca_serial_path: '/opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/intermediate.srl'

    1. Se utilizzi una struttura di certificati in cui il root_ca.crt`certificato fornisce un `intermediate.crt`certificato che firma il `ontap_mediator_server.crt`certificato, crea una catena di certificati dai certificati `intermediate.crt e ontap_mediator_server.crt:

      Nota Avresti dovuto ottenere i intermediate.crt e ontap_mediator_server.crt certificati da un'autorità PKI in una fase precedente della procedura.

      cat ontap_mediator_server.crt intermediate.crt > ontap_mediator_server_chain.crt

    2. Aggiorna il /opt/netapp/lib/ontap_mediator/uvicorn/config.json file.

      Aggiorna i valori di ssl_keyfile, ssl_certfile, e ssl_ca_certs:

      ssl_keyfile: /opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ontap_mediator_server.key

      ssl_certfile: /opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ontap_mediator_server_chain.crt

      ssl_ca_certs: /opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/root_ca.crt

    3. Verifica che i seguenti attributi dei certificati appena generati siano impostati correttamente:

      • Proprietario del gruppo Linux: netapp:netapp

      • Permessi Linux: 600

  2. Riavvia ONTAP Mediator quando i certificati vengono aggiornati nel file di configurazione:

    systemctl restart ontap_mediator

ONTAP Mediator 1.9.1 e 1.9

Puoi utilizzare certificati di terze parti con un nome diverso da intermediate.* oppure archiviare i certificati di terze parti in una posizione diversa.

Passaggi

  1. Configura il /opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ontap_mediator.user_config.yaml file per sovrascrivere i valori predefiniti delle variabili nel ontap_mediator.config.yaml file.

    Se hai ottenuto intermediate.crt da un'autorità PKI e memorizzi la sua chiave privata intermediate.key nella posizione /opt/netapp/lib/ontap_mediator/ontap_mediator/server_config, il ontap_mediator.user_config.yaml file dovrebbe essere simile al seguente esempio:

    Nota Se hai usato intermediate.crt per firmare il ontap_mediator_server.crt certificato, viene generato il file intermediate.srl. Consulta Passaggio 2: Genera un certificato server firmandolo con un'autorità di certificazione (CA) di terze parti per ulteriori informazioni. 
    [root@mediator_host server_config]# cat  ontap_mediator.user_config.yaml

# This config file can be used to override the default settings in ontap_mediator.config.yaml
# To override a setting, copy the property key from ontap_mediator.config.yaml to this file and
# set the property to the desired value. e.g.,
#
# The default value for 'default_mailboxes_per_target' is 4 in ontap_mediator.config.yaml
#
# To override this value with 6 mailboxes per target, add the following key/value pair
# below this comment:
#
# 'default_mailboxes_per_target': 6
#
cert_path: '/opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ontap_mediator_server.crt'
key_path: '/opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ontap_mediator_server.key'
ca_cert_path: '/opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/intermediate.crt'
ca_key_path: '/opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/intermediate.key'
ca_serial_path: '/opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/intermediate.srl'

    1. Se utilizzi una struttura di certificati in cui il root_ca.crt`certificato fornisce un `intermediate.crt`certificato che firma il `ontap_mediator_server.crt`certificato, crea una catena di certificati dai certificati `intermediate.crt e ontap_mediator_server.crt:

      Nota Avresti dovuto ottenere i intermediate.crt e ontap_mediator_server.crt certificati da un'autorità PKI in una fase precedente della procedura.

      cat ontap_mediator_server.crt intermediate.crt > ontap_mediator_server_chain.crt

    2. Aggiorna il /opt/netapp/lib/ontap_mediator/uwsgi/ontap_mediator.ini file.

      Aggiorna i valori di mediator_cert, mediator_key e ca_certificate:

      set-placeholder = mediator_cert = /opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ontap_mediator_server_chain.crt

      set-placeholder = mediator_key = /opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ontap_mediator_server.key

      set-placeholder = ca_certificate = /opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/root_ca.crt

      • Il mediator_cert valore corrisponde al percorso del ontap_mediator_server_chain.crt file.

      • Il mediator_key valore è il percorso della chiave nel ontap_mediator_server.crt file, che è ontap_mediator_server.key.

      • Il ca_certificate valore è il percorso del root_ca.crt file.

        Nota Per i cluster SnapMirror Business Continuity (SM-BC), devi aggiungere i certificati intermediate.crt e root_ca.crt a un cluster ONTAP. Vedi "Configura ONTAP Mediator e i cluster per SnapMirror active sync".

    3. Verifica che i seguenti attributi dei certificati appena generati siano impostati correttamente:

      • Proprietario del gruppo Linux: netapp:netapp

      • Permessi Linux: 600

  2. Riavvia ONTAP Mediator quando i certificati vengono aggiornati nel file di configurazione:

    systemctl restart ontap_mediator

ONTAP Mediator 1.8 e versioni precedenti

Puoi utilizzare certificati di terze parti con un nome diverso da ca.* oppure archiviare i certificati di terze parti in una posizione diversa.

Passaggi

  1. Configura il /opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ontap_mediator.user_config.yaml file per sovrascrivere i valori predefiniti delle variabili nel ontap_mediator.config.yaml file.

    Se hai ottenuto ca.crt da un'autorità PKI e memorizzi la relativa chiave privata ca.key nella posizione /opt/netapp/lib/ontap_mediator/ontap_mediator/server_config, il ontap_mediator.user_config.yaml file dovrebbe essere simile al seguente esempio:

    Nota Se hai usato ca.crt per firmare il ontap_mediator_server.crt certificato, viene generato il file ca.srl. Consulta Passaggio 2: Genera un certificato server firmandolo con un'autorità di certificazione (CA) di terze parti per ulteriori informazioni. 
    [root@mediator_host server_config]# cat  ontap_mediator.user_config.yaml

# This config file can be used to override the default settings in ontap_mediator.config.yaml
# To override a setting, copy the property key from ontap_mediator.config.yaml to this file and
# set the property to the desired value. e.g.,
#
# The default value for 'default_mailboxes_per_target' is 4 in ontap_mediator.config.yaml
#
# To override this value with 6 mailboxes per target, add the following key/value pair
# below this comment:
#
# 'default_mailboxes_per_target': 6
#
cert_path: '/opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ontap_mediator_server.crt'
key_path: '/opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ontap_mediator_server.key'
ca_cert_path: '/opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ca.crt'
ca_key_path: '/opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ca.key'
ca_serial_path: '/opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ca.srl'

    1. Se utilizzi una struttura di certificati in cui il root_ca.crt certificato fornisce un ca.crt certificato che firma il ontap_mediator_server.crt certificato, crea una catena di certificati dai ca.crt e ontap_mediator_server.crt certificati:

      Nota Avresti dovuto ottenere i ca.crt e ontap_mediator_server.crt certificati da un'autorità PKI in una fase precedente della procedura.

      cat ontap_mediator_server.crt ca.crt > ontap_mediator_server_chain.crt

    2. Aggiorna il /opt/netapp/lib/ontap_mediator/uwsgi/ontap_mediator.ini file.

      Aggiorna i valori di mediator_cert, mediator_key e ca_certificate:

      set-placeholder = mediator_cert = /opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ontap_mediator_server_chain.crt

      set-placeholder = mediator_key = /opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/ontap_mediator_server.key

      set-placeholder = ca_certificate = /opt/netapp/lib/ontap_mediator/ontap_mediator/server_config/root_ca.crt

      • Il mediator_cert valore corrisponde al percorso del ontap_mediator_server_chain.crt file.

      • Il mediator_key valore è il percorso della chiave nel ontap_mediator_server.crt file, che è ontap_mediator_server.key.

      • Il ca_certificate valore è il percorso del root_ca.crt file.

        Nota Per i cluster SnapMirror Business Continuity (SM-BC), devi aggiungere i certificati ca.crt e root_ca.crt a un cluster ONTAP. Vedi "Configura ONTAP Mediator e i cluster per SnapMirror active sync".

    3. Verifica che i seguenti attributi dei certificati appena generati siano impostati correttamente:

      • Proprietario del gruppo Linux: netapp:netapp

      • Permessi Linux: 600

  2. Riavvia ONTAP Mediator quando i certificati vengono aggiornati nel file di configurazione:

    systemctl restart ontap_mediator