Skip to main content
すべてのクラウドプロバイダー
  • Amazon Web Services
  • Google Cloud
  • Microsoft Azure
  • すべてのクラウドプロバイダー
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

NetApp Backup and RecoveryでStorageGRIDとONTAPのセキュリティ証明書を設定する

共同作成者 netapp-mwallis
PDF

NetApp Backup and RecoveryとStorageGRIDまたはONTAP間の通信を可能にするセキュリティ証明書を作成します。

StorageGRIDのセキュリティ証明書を作成する

NetApp Backup and RecoveryコンテナとStorageGRID間の通信でStorageGRID証明書を検証する必要がある場合は、次の手順を実行します。

生成された証明書には、バックアップをアクティブ化したときにNetApp Backup and Recoveryで指定した名前と同じ CN と Subject Alternative Name が含まれている必要があります。

手順

  1. StorageGRIDドキュメントの手順に従って、 StorageGRID証明書を作成します。

    "証明書の設定に関するStorageGRIDの情報"

  2. まだ行っていない場合は、証明書を使用してStorageGRID を更新します。

  3. コンソール エージェントに root ユーザーとしてログインします。以下を実行します。

    sudo su

  4. NetApp Backup and Recovery (Cloud Backup Service) Docker ボリュームを取得します。以下を実行します。

    docker volume ls | grep cbs

    出力例:

    local service-manager-2_cloudmanager_cbs_volume"
    メモ ボリューム名は、標準、プライベート、および制限付き展開モードによって異なります。この例では標準モードを使用します。参照 "NetApp Consoleの展開モード"。

  5. NetApp Backup and Recoveryボリュームのマウント ポイントを見つけます。以下を実行します。

    docker volume inspect service-manager-2_cloudmanager_cbs_volume | grep Mountpoint

    出力例:

    "Mountpoint": "/var/lib/docker/volumes/service-manager-2_cloudmanager_cbs_volume/_data"
    メモ マウント ポイントは、標準、プライベート、および制限付き展開モードによって異なります。この例では、標準のクラウド展開を示します。参照 "NetApp Consoleの展開モード"。

  6. MountPoint ディレクトリに変更します。以下を実行します。

    cd /var/lib/docker/volumes/service-manager-2_cloudmanager_cbs_volume/_data

  7. StorageGRIDの証明書がルートCAと中間CAによって署名されている場合は、 `pem`両方のファイルを1つのファイルにまとめ、 `sgws.crt`現在の場所にあります。このファイルにリーフ証明書を追加しないでください。

cloudmanager_cbsコンテナの手順

NetApp Backup and Recovery (Cloud Backup Service) でStorageGRID Server 証明書の検証を有効にする必要があります。

  1. 前の手順で取得した Docker ボリュームにディレクトリを変更します。

    cd /var/lib/docker/volumes/service-manager-2_cloudmanager_cbs_volume/_data

  2. ディレクトリを config ディレクトリに変更します。

    cd cbs_config

  3. デプロイメント環境に基づいて、次のいずれかの名前で、以下に示すように構成ファイルを作成して保存します。

    • `production-customer.json`標準モードと制限モードの展開に使用されます。

    • `darksite-customer.json`プライベート モードの展開に使用されます。

      参照 "NetApp Consoleの展開モード"。

      設定ファイル

    {
  "protocols": {
    "sgws": {
      "certificates": {
        "reject-unauthorized": true,
        "ca-bundle": "/config/sgws.crt"
      }
    }
  }
}

  4. コンテナから出ます。以下を実行します。

    exit

  5. 再起動 cloudmanager_cbs。以下を実行します。

    docker restart cloudmanager_cbs

cloudmanager_cbs_catalogコンテナの手順

次に、カタログ サービスに対してStorageGRID Server 証明書の検証を有効にする必要があります。

  1. ディレクトリを Docker ボリュームに変更します。

    cd /var/lib/docker/volumes/service-manager-2_cloudmanager_cbs_volume/_data

  2. カタログを構成します。以下を実行します。

    cd cbs_catalog_config

  3. デプロイメント環境に基づいて、次のいずれかの名前で、以下に示すように構成ファイルを作成します。

    • `production-customer.json`標準モードと制限モードの展開に使用されます。

    • `darksite-customer.json`プライベート モードの展開に使用されます。

      参照 "NetApp Consoleの展開モード"。

      カタログ設定ファイル

    {
  "protocols": {
    "sgws": {
      "certificates": {
        "reject-unauthorized": true,
        "ca-bundle": "/config/sgws.crt"
      }
    }
  }
}

  4. カタログを再起動します。以下を実行します。

    docker restart cloudmanager_cbs_catalog

エージェントのオペレーティング システムに基づいて、コンソール エージェント証明書をStorageGRID証明書に更新します。

Ubuntu

  1. SGWS証明書をコピーする /usr/local/share/ca-certificates。次に例を示します。

    cp /config/sgws.crt /usr/local/share/ca-certificates/

    どこ `sgws.crt`ルート CA 証明書です。

  2. ホスト証明書をStorageGRID証明書で更新します。次のコマンドを実行します。

    sudo update-ca-certificates

Red Hat Enterprise Linux

  1. SGWS証明書をコピーする /etc/pki/ca-trust/source/anchors/。

    cp /config/sgws.crt /etc/pki/ca-trust/source/anchors/

    どこ `sgws.crt`ルート CA 証明書です。

  2. ホスト証明書をStorageGRID証明書で更新します。

    update-ca-trust extract

  3. 更新する ca-bundle.crt

    cd /etc/pki/tls/certs/
openssl x509 -in ca-bundle.crt -text -noout

  4. 証明書が存在するかどうかを確認するには、次のコマンドを実行します。

    openssl crl2pkcs7 -nocrl -certfile /etc/pki/tls/certs/ca-bundle.crt | openssl pkcs7 -print_certs | grep subject | head

ONTAPのセキュリティ証明書を作成する

NetApp Backup and RecoveryコンテナとONTAP間の通信でONTAP証明書を検証する必要がある場合は、次の手順を実行します。

NetApp Backup and Recovery は、クラスタ管理 IP を使用してONTAPに接続します。証明書のサブジェクト代替名にクラスターの IP アドレスを入力します。System Manager UI を使用して CSR を生成する場合は、この手順を指定します。

System Manager のドキュメントを使用して、 ONTAPの新しい CA 証明書を作成します。

手順

  1. コンソール エージェントに root としてログインします。以下を実行します。

    sudo su

  2. NetApp Backup and RecoveryDocker ボリュームを取得します。以下を実行します。

    docker volume ls | grep cbs

    出力例:

    local service-manager-2_cloudmanager_cbs_volume
    メモ ボリューム名は、標準、プライベート、および制限付き展開モードによって異なります。この例では、標準のクラウド展開を示します。参照 "NetApp Consoleの展開モード"。

  3. ボリュームのマウントを取得します。以下を実行します。

    docker volume inspect service-manager-2_cloudmanager_cbs_volume | grep Mountpoint

    出力例:

    "Mountpoint": "/var/lib/docker/volumes/service-manager-2_cloudmanager_cbs_volume/_data
    メモ マウント ポイントは、標準、プライベート、および制限付き展開モードによって異なります。この例では、標準のクラウド展開を示します。参照 "NetApp Consoleの展開モード"。

  4. マウントポイント ディレクトリに変更します。以下を実行します。

    cd /var/lib/docker/volumes/service-manager-2_cloudmanager_cbs_volume/_data

  5. 次のいずれかの手順を実行します。

    • ONTAP証明書がルートCAと中間CAによって署名されている場合は、 `pem`両方のファイルを1つのファイルにまとめ、 `ontap.crt`現在の場所にあります。

    • ONTAP証明書が単一のCAによって署名されている場合は、 `pem`ファイルとして `ontap.crt`それを現在の場所にコピーします。このファイルにリーフ証明書を追加しないでください。

cloudmanager_cbsコンテナの手順

次に、 NetApp Backup and Recovery (Cloud Backup Service) でONTAP Server 証明書の検証を有効にします。

  1. 前の手順で取得した Docker ボリュームにディレクトリを変更します。

    cd /var/lib/docker/volumes/service-manager-2_cloudmanager_cbs_volume/_data

  2. config ディレクトリに変更します。以下を実行します。

    cd cbs_config

  3. デプロイメント環境に基づいて、次のいずれかの名前で、以下に示すように構成ファイルを作成します。

    • `production-customer.json`標準モードと制限モードの展開に使用されます。

    • `darksite-customer.json`プライベート モードの展開に使用されます。

      参照 "NetApp Consoleの展開モード"。

      設定ファイル

    {
  "ontap": {
    "certificates": {
      "reject-unauthorized": true,
      "ca-bundle": "/config/ontap.crt"
    }
  }
}

  4. コンテナから出ます。以下を実行します。

    exit

  5. NetApp Backup and Recovery を再起動します。以下を実行します。

    docker restart cloudmanager_cbs

cloudmanager_cbs_catalogコンテナの手順

カタログ サービスに対してONTAPサーバ証明書の検証を有効にします。

  1. ディレクトリを Docker ボリュームに変更します。以下を実行します。

    cd /var/lib/docker/volumes/service-manager-2_cloudmanager_cbs_volume/_data

  2. 以下を実行します。

    cd cbs_catalog_config

  3. デプロイメント環境に基づいて、次のいずれかの名前で、以下に示すように構成ファイルを作成します。

    • `production-customer.json`標準モードと制限モードの展開に使用されます。

    • `darksite-customer.json`プライベート モードの展開に使用されます。

      参照 "NetApp Consoleの展開モード"。

      設定ファイル

    {
  "ontap": {
    "certificates": {
      "reject-unauthorized": true,
      "ca-bundle": "/config/ontap.crt"
    }
  }
}

  4. NetApp Backup and Recovery を再起動します。以下を実行します。

    docker restart cloudmanager_cbs_catalog

ONTAPとStorageGRIDの両方の証明書を作成する

ONTAPとStorageGRID の両方で証明書を有効にする必要がある場合、設定ファイルは次のようになります。

  • ONTAPとStorageGRIDの両方の設定ファイル*

{
  "protocols": {
    "sgws": {
      "certificates": {
        "reject-unauthorized": true,
        "ca-bundle": "/config/sgws.crt"
      }
    }
  },
  "ontap": {
    "certificates": {
      "reject-unauthorized": true,
      "ca-bundle": "/config/ontap.crt"
    }
  }
}