Skip to main content
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

NetApp Backup and Recovery の CA 証明書を設定する

共同作成者 netapp-mwallis
PDF

CA証明書を設定して、NetApp Backup and RecoveryがStorageGRIDまたはONTAPへの安全な接続を検証できるようにします。お客様の環境および保護するシステムに応じた手順に従ってください。

StorageGRID のCA証明書を作成する

NetApp Backup and Recovery コンテナと StorageGRID 間の通信で StorageGRID 証明書を検証する必要がある場合は、次の手順を実行してください。

生成された証明書は、バックアップを有効化した際に NetApp Backup and Recovery で指定したコモンネーム（CN）とサブジェクト代替名と同じものを使用する必要があります。

手順

  1. StorageGRIDドキュメントの手順に従って、 StorageGRID証明書を作成します。

    "証明書の設定に関するStorageGRIDの情報"

  2. まだ行っていない場合は、証明書を使用してStorageGRID を更新します。

  3. コンソールエージェントにrootユーザーとしてログインします。次のコマンドを実行します：

    sudo su

  4. NetApp Backup and Recovery （Cloud Backup Service） の Docker ボリュームを確認します。実行：

    docker volume ls | grep cbs

    出力例:

    local service-manager-2_cloudmanager_cbs_volume"
    メモ ボリューム名は、標準、プライベート、および制限付き展開モードによって異なります。この例では標準モードを使用します。参照 "NetApp Consoleの展開モード"。

  5. NetApp Backup and Recoveryボリュームのマウント ポイントを見つけます。以下を実行します。

    docker volume inspect service-manager-2_cloudmanager_cbs_volume | grep Mountpoint

    出力例:

    "Mountpoint": "/var/lib/docker/volumes/service-manager-2_cloudmanager_cbs_volume/_data"
    メモ マウント ポイントは、標準、プライベート、および制限付き展開モードによって異なります。この例では、標準のクラウド展開を示します。参照 "NetApp Consoleの展開モード"。

  6. マウントポイントのディレクトリに移動します。実行：

    cd /var/lib/docker/volumes/service-manager-2_cloudmanager_cbs_volume/_data

  7. StorageGRID 証明書がルート CA と中間 CA によって署名されている場合は、両方の `pem`ファイルを現在の場所に `sgws.crt`という名前の 1 つのファイルに追加してください。このファイルにリーフ証明書を追加しないでください。

cloudmanager_cbsコンテナの手順

NetApp Backup and Recovery（Cloud Backup Service）でStorageGRIDサーバー証明書の検証を有効にします。

  1. 前の手順で見つけた Docker ボリュームに変更します。

    cd /var/lib/docker/volumes/service-manager-2_cloudmanager_cbs_volume/_data

  2. 設定ディレクトリに移動します。

    cd cbs_config

  3. デプロイメント環境に応じて、以下に示すいずれかの名前を付けて、構成ファイルを作成して保存してください。

    • production-customer.json Standard モードおよび Restricted モードの展開の場合

    • `darksite-customer.json`プライベートモードでの展開の場合

      参照 "NetApp Consoleの展開モード"。

      設定ファイル

    {
  "protocols": {
    "sgws": {
      "certificates": {
        "reject-unauthorized": true,
        "ca-bundle": "/config/sgws.crt"
      }
    }
  }
}

  4. コンテナから出ます。以下を実行します。

    exit

  5. 再起動 cloudmanager_cbs。以下を実行します。

    docker restart cloudmanager_cbs

cloudmanager_cbs_catalogコンテナの手順

次に、カタログ作成サービスの StorageGRID サーバー証明書の検証を有効にします。

  1. Docker ボリュームに変更します。

    cd /var/lib/docker/volumes/service-manager-2_cloudmanager_cbs_volume/_data

  2. カタログを構成します。以下を実行します。

    cd cbs_catalog_config

  3. 展開環境に応じて、以下に示すいずれかの名前を付けて、構成ファイルを作成してください。

    • production-customer.json Standard モードおよび Restricted モードの展開の場合

    • `darksite-customer.json`プライベートモードでの展開の場合

      参照 "NetApp Consoleの展開モード"。

      カタログ設定ファイル

    {
  "protocols": {
    "sgws": {
      "certificates": {
        "reject-unauthorized": true,
        "ca-bundle": "/config/sgws.crt"
      }
    }
  }
}

  4. カタログを再起動します。以下を実行します。

    docker restart cloudmanager_cbs_catalog

エージェントのオペレーティング システムに基づいて、コンソール エージェント証明書をStorageGRID証明書に更新します。

Ubuntu

  1. SGWS証明書を `/usr/local/share/ca-certificates`にコピーします。以下に例を示します。

    cp /config/sgws.crt /usr/local/share/ca-certificates/

    どこ `sgws.crt`ルート CA 証明書です。

  2. ホスト証明書を StorageGRID 証明書で更新します。実行：

    sudo update-ca-certificates

Red Hat Enterprise Linux

  1. SGWS証明書をコピーする /etc/pki/ca-trust/source/anchors/。

    cp /config/sgws.crt /etc/pki/ca-trust/source/anchors/

    どこ `sgws.crt`ルート CA 証明書です。

  2. ホスト証明書をStorageGRID証明書で更新します。

    update-ca-trust extract

  3. 更新する ca-bundle.crt

    cd /etc/pki/tls/certs/
openssl x509 -in ca-bundle.crt -text -noout

  4. 証明書が存在するかどうかを確認するには、次のコマンドを実行します。

    openssl crl2pkcs7 -nocrl -certfile /etc/pki/tls/certs/ca-bundle.crt | openssl pkcs7 -print_certs | grep subject | head

ONTAP の CA 証明書を作成する

NetApp Backup and Recovery コンテナと ONTAP 間の通信で ONTAP 証明書を検証する必要がある場合は、次の手順を実行してください。

NetApp Backup and Recovery は、クラスタ管理 IP アドレスを使用して ONTAP に接続します。証明書のサブジェクト代替名フィールドにクラスタの IP アドレスを入力してください。System Manager で CSR を生成する際に、この値を指定してください。

System Manager のドキュメントを使用して、 ONTAPの新しい CA 証明書を作成します。

手順

  1. コンソールエージェントにrootユーザーとしてログインします。次のコマンドを実行します：

    sudo su

  2. NetApp Backup and Recovery の Docker ボリュームを確認します。実行：

    docker volume ls | grep cbs

    出力例:

    local service-manager-2_cloudmanager_cbs_volume
    メモ ボリューム名は、標準、プライベート、および制限付き展開モードによって異なります。この例では、標準のクラウド展開を示します。参照 "NetApp Consoleの展開モード"。

  3. ボリュームのマウントポイントを見つけます。実行：

    docker volume inspect service-manager-2_cloudmanager_cbs_volume | grep Mountpoint

    出力例:

    "Mountpoint": "/var/lib/docker/volumes/service-manager-2_cloudmanager_cbs_volume/_data
    メモ マウント ポイントは、標準、プライベート、および制限付き展開モードによって異なります。この例では、標準のクラウド展開を示します。参照 "NetApp Consoleの展開モード"。

  4. マウントポイントのディレクトリに移動します。実行：

    cd /var/lib/docker/volumes/service-manager-2_cloudmanager_cbs_volume/_data

  5. 次のいずれかの手順を実行します。

    • ONTAP証明書がルートCAと中間CAによって署名されている場合は、 `pem`両方のファイルを1つのファイルにまとめ、 `ontap.crt`現在の場所にあります。

    • ONTAP証明書が単一のCAによって署名されている場合は、 `pem`ファイルとして `ontap.crt`それを現在の場所にコピーします。このファイルにリーフ証明書を追加しないでください。

cloudmanager_cbsコンテナの手順

次に、NetApp Backup and Recovery （Cloud Backup Service）でONTAPサーバー証明書の検証を有効にします。

  1. 前の手順で見つけた Docker ボリュームに変更します。

    cd /var/lib/docker/volumes/service-manager-2_cloudmanager_cbs_volume/_data

  2. config ディレクトリに変更します。以下を実行します。

    cd cbs_config

  3. 展開環境に応じて、以下に示すいずれかの名前を付けて、構成ファイルを作成してください。

    • production-customer.json Standard モードおよび Restricted モードの展開の場合

    • `darksite-customer.json`プライベートモードでの展開の場合

      参照 "NetApp Consoleの展開モード"。

      設定ファイル

    {
  "ontap": {
    "certificates": {
      "reject-unauthorized": true,
      "ca-bundle": "/config/ontap.crt"
    }
  }
}

  4. コンテナから出ます。以下を実行します。

    exit

  5. NetApp Backup and Recovery を再起動します。以下を実行します。

    docker restart cloudmanager_cbs

cloudmanager_cbs_catalogコンテナの手順

カタログ作成サービスの ONTAP サーバー証明書の検証を有効にします。

  1. Docker ボリュームに変更します。実行：

    cd /var/lib/docker/volumes/service-manager-2_cloudmanager_cbs_volume/_data

  2. 以下を実行します。

    cd cbs_catalog_config

  3. 展開環境に応じて、以下に示すいずれかの名前を付けて、構成ファイルを作成してください。

    • production-customer.json Standard モードおよび Restricted モードの展開の場合

    • `darksite-customer.json`プライベートモードでの展開の場合

      参照 "NetApp Consoleの展開モード"。

      設定ファイル

    {
  "ontap": {
    "certificates": {
      "reject-unauthorized": true,
      "ca-bundle": "/config/ontap.crt"
    }
  }
}

  4. NetApp Backup and Recovery を再起動します。以下を実行します。

    docker restart cloudmanager_cbs_catalog

ONTAPとStorageGRIDの両方の証明書を作成する

ONTAPとStorageGRID の両方で証明書を有効にする必要がある場合、設定ファイルは次のようになります。

  • ONTAPとStorageGRIDの両方の設定ファイル*

{
  "protocols": {
    "sgws": {
      "certificates": {
        "reject-unauthorized": true,
        "ca-bundle": "/config/sgws.crt"
      }
    }
  },
  "ontap": {
    "certificates": {
      "reject-unauthorized": true,
      "ca-bundle": "/config/ontap.crt"
    }
  }
}