Risoluzione dei problemi della catena di certificati necessaria per la migrazione a OpenManage Enterprise

• Certificato = certificato firmato dalla CA (standalone)
• Catena di certificati = certificato firmato dalla CA + certificato CA intermedio (se presente) + certificato CA radice

Requisiti della catena di certificati per la migrazione 

1. Corrispondenza della chiave della richiesta di firma del certificato: durante l'upload del certificato, la chiave CSR (richiesta di firma del certificato) è selezionata. OpenManage Enterprise supporta solo l'upload dei certificati richiesti utilizzando la CSR dall'appliance. Questo controllo di convalida viene eseguito durante un upload sia per un singolo certificato server che per una catena di certificati.
2. Codifica del certificato: il file di certificato richiede la codifica Base 64. Quando si salva il certificato esportato dalla CA, assicurarsi che venga utilizzata la codifica Base 64; in caso contrario, il file di certificato viene considerato non valido.
3. Convalida del criterio EKU (Enhanced Key Usage) del certificato: verificare che il criterio EKU sia abilitato sia per l'autenticazione server che per l'autenticazione client. Ciò è dovuto al fatto che la migrazione è una comunicazione bidirezionale tra l'origine e la destinazione, in cui entrambe possono fungere da server e client durante lo scambio di informazioni. Per i certificati server singoli, è richiesta solo l'autenticazione server.
4. Il certificato è abilitato per la crittografia delle chiavi: il modello di certificato utilizzato per generare il certificato deve includere la crittografia delle chiavi. In questo modo, le chiavi nel certificato possono essere utilizzate per crittografare la comunicazione.
5. Catena di certificati con certificato radice: il certificato contiene la catena completa che include il certificato radice. Questa operazione è necessaria per l'origine e la destinazione per garantire che entrambe possano essere considerate affidabili. Il certificato radice viene aggiunto all'archivio radice attendibile di ogni appliance. IMPORTANTE: OpenManage Enterprise supporta un massimo di 10 certificati foglia all'interno della catena di certificati.
6. Issued To e Issued By: il certificato radice viene utilizzato come trust anchor e quindi utilizzato per convalidare tutti i certificati nella catena rispetto a tale trust anchor. Assicurarsi che la catena di certificati includa il certificato radice.

Operazione di upload della catena di certificati

• CGEN1008 - Unable to process the request because an error occurred
• CSEC9002 - Unable to upload the certificate because the certificate file provided is invalid.

CGEN1008 - Unable to process the request because an error occurred.

CGEN1008 - Unable to process the request because an error occurred.
Retry the operation. If the issue persists, contact your system administrator.

• Chiave CSR non valida per la catena di certificati
  • Assicurarsi che il certificato sia stato generato utilizzando la CSR dall'interfaccia utente web di OpenManage Enterprise. OpenManage Enterprise non supporta l'upload di un certificato che non sia stato generato utilizzando la CSR dello stesso appliance.
  • Il seguente errore viene visualizzato nel registro dell'applicazione Tomcat che si trova nel pacchetto di registri della console:

./tomcat/application.log

[ERROR] 2024-01-25 11:10:34.735 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-10] SSLController - uploadNewCertificateChain():
 Error uploading certificate chain: {"error":{"code":"Base.1.0.GeneralError",
"message":"A general error has occurred. See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CGEN1008","RelatedProperties":[],
"Message":"Unable to process the request because an error occurred.",
"MessageArgs":["Invalid CSR key."],
"Severity":"Critical","Resolution":"Retry the operation. If the issue persists, contact your system administrator."}]}}

• Catena di certificati non valida
  • I certificati delle CA intermedie e radice devono essere inclusi nel certificato.
  • Il seguente errore viene visualizzato nel registro dell'applicazione Tomcat che si trova nel pacchetto di registri della console:

./tomcat/application.log

[ERROR] 2024-01-25 11:04:56.396 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-1] SSLController - uploadNewCertificateChain():
 Error uploading certificate chain: {"error":{"code":"Base.1.0.GeneralError",
"message":"A general error has occurred. See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CGEN1008","RelatedProperties":[],
"Message":"Unable to process the request because an error occurred.",
"MessageArgs":["Invalid certificate chain provided."],
"Severity":"Critical","Resolution":"Retry the operation. If the issue persists, contact your system administrator."}]}}

• Nessun nome comune individuato nel certificato foglia: tutti i certificati devono includere i nomi comuni e non contenere caratteri jolly (*).

CGEN6002 - Unable to complete the request because the input value for DistinguishedName is missing or an invalid value is entered.

 

• Nel certificato foglia non è presente alcun EKU (Extended Key Usage) per l'autenticazione client e server
  • Il certificato deve includere l'autenticazione server e client per il criterio EKU.
  • Il seguente errore viene visualizzato nel registro dell'applicazione Tomcat che si trova nel pacchetto di registri della console:

./tomcat/application.log

[ERROR] 2024-01-25 10:56:54.175 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-17] SSLController - uploadNewCertificateChain():
 Error uploading certificate chain: {"error":{"code":"Base.1.0.GeneralError",
"message":"A general error has occurred. See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CGEN1008","RelatedProperties":[],
"Message":"Unable to process the request because an error occurred.",
"MessageArgs":["No Client/Server authentication EKU present in leaf certificate."],
"Severity":"Critical","Resolution":"Retry the operation. If the issue persists, contact your system administrator."}]}}

• Esaminare i dettagli del certificato per il criterio EKU. Se una delle due non è presente, assicurarsi che il modello utilizzato per generare il certificato sia abilitato per entrambe.

 

• Crittografia delle chiavi mancante per l'utilizzo delle chiavi
  • Il certificato sottoposto ad upload deve avere la crittografia delle chiavi elencata per l'utilizzo delle chiavi.
  • Il seguente errore viene visualizzato nel registro dell'applicazione Tomcat che si trova nel pacchetto di registri della console:

./tomcat/application.log

[ERROR] 2024-01-25 11:01:01.475 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-3] SSLController - uploadNewCertificateChain():
 Error uploading certificate chain: {"error":{"code":"Base.1.0.GeneralError","message":"A general error has occurred.
 See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CGEN1008","RelatedProperties":[],
"Message":"Unable to process the request because an error occurred.",
"MessageArgs":["User Certificate is not a web server certificate."],
"Severity":"Critical","Resolution":"Retry the operation. If the issue persists, contact your system administrator."}]}}

• Esaminare i dettagli del certificato per l'utilizzo delle chiavi. Verificare che nel modello utilizzato per generare il certificato sia abilitata la crittografia delle chiavi.

 
 

CSEC9002 - Unable to upload the certificate because the certificate file provided is invalid.

CSEC9002 - Unable to upload the certificate because the certificate file provided is invalid.
Make sure the CA certificate and private key are correct and retry the operation.

• Crittografia delle chiavi mancante nel certificato del server
  • Verificare che nel modello utilizzato per generare il certificato sia abilitata la crittografia delle chiavi. Quando si utilizza un certificato per la migrazione, assicurarsi che venga eseguito l'upload dell'intera catena di certificati anziché il singolo certificato del server.
  • Il seguente errore viene visualizzato nel registro dell'applicazione Tomcat che si trova nel pacchetto di registri della console:

./tomcat/application.log

[ERROR] 2024-01-29 08:03:05.200 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-3] SSLController - {"error":{"code":"Base.1.0.GeneralError",
"message":"A general error has occurred. See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CSEC9002","RelatedProperties":[],
"Message":"Unable to upload the certificate because the certificate file provided is invalid.",
"MessageArgs":[],"Severity":"Critical","Resolution":"Make sure the CA certificate and private key are correct and retry the operation."}]}}

• Il file di certificato contiene una codifica errata
  • Accertarsi che il file di certificato sia stato salvato utilizzando la codifica Base 64.
  • Il seguente errore viene visualizzato nel registro dell'applicazione Tomcat che si trova nel pacchetto di registri della console:

./tomcat/application.log

[ERROR] 2024-01-29 08:03:05.200 [ajp-nio-0:0:0:0:0:0:0:1-8009-exec-3] SSLController - {"error":{"code":"Base.1.0.GeneralError",
"message":"A general error has occurred. See ExtendedInfo for more information.","@Message.ExtendedInfo":[{"MessageId":"CSEC9002","RelatedProperties":[],
"Message":"Unable to upload the certificate because the certificate file provided is invalid.",
"MessageArgs":[],"Severity":"Critical","Resolution":"Make sure the CA certificate and private key are correct and retry the operation."}]}}

Operazione di verifica della connessione di migrazione

• Issued To e Issued By: i nomi delle CA nella catena tra i singoli certificati di origine e di destinazione hanno gli stessi valori di "Issued To" e "Issued By". Se questi nomi non corrispondono, l'origine o la destinazione non può verificare che le stesse autorità di firma abbiano emesso i certificati. Questo aspetto è fondamentale per aderire al framework di sicurezza Zero Trust.

• Validity period: controlla il periodo di validità del certificato con la data e l'ora dell'appliance.
• Maximum depth: verificare che la catena di certificati non superi la profondità massima di 10 certificati foglia.

Unable to mutually authenticate and connect to the remote appliance.
Please check the source and target appliances has valid certificate chain uploaded which are signed by the same CA.

Requisito di esclusione della catena di certificati

In caso di problemi continui durante l'upload della catena di certificati richiesta, è supportato un metodo che può essere utilizzato per sfruttare il certificato autofirmato.

Procedere con l'utilizzo della funzione di backup e ripristino come descritto nel seguente articolo:
https://www.dell.com/support/kbdoc/000223239/openmanage-enterprise-administrators-may-run-across-several-errors-during-the-certificate-chain-upload-cgen1008-and-csec9002-report-challenges-in-procuring-a-certificate-chain-required-by-openmanage-enterprise-ome-4-0-x-for-the-migration-featur