ONTAPの証明書トラストストアとは何ですか？
環境
- ONTAP 9
- AutoSupport
回答
証明書トラストストアとは何ですか？
- ONTAP 9.2以降、信頼されたルートCA証明書のセットがONTAPの証明書管理に導入されました。
- 管理SVMは、ONTAP で実行されているアプリケーションが外部エンティティとのTLS接続をシームレスに確立できるようにします。
- 各証明書には有効期限が設定されています。
信頼ストア証明書はいつインストールされますか
- 信頼ストア証明書は、ONTAP バージョン9.2以降のインストール時、またはONTAP 9.2以降へのアップグレード時にのみ管理SVMにインストールされます。
- 信頼ストア証明書バンドルも、新しいバージョンのONTAPで更新されます。
インストールされているTruststore証明書を表示するにはどうすればよいですか？
- 管理者SVMにインストールされているトラストストア証明書は、
security certificate show-type server-caコマンドを使用して表示できます。 -
security certificate show -vserver * -type server-caは、ユーザーがインストールした証明書とトラストストア証明書の両方を表示します。 - ONTAP 9.4以降では 、
security certificate show-truststoreを使用してデフォルトのトラストストア証明書のみを表示できます：- デフォルトのTruststore証明書を表示: security certificate show-truststore
- ユーザがインストールした証明書を表示: security certificate show-user-installed
信頼ストア証明書の有効期限が切れた場合はどうなりますか？
- トラストストア証明書の有効期限が切れた場合、削除するか、そのままインストールしたままにしておくかを選択できます。
- トラストストア証明書は、各ONTAPリリースで必要に応じて自動的に更新されます。
- これについては、次のBUGでも説明されています。 CONTAP-41469：30日以内に有効期限が切れるトラストストア証明書に対してEMS有効期限切れ警告が送信される
ONTAP Event Management System（EMS）は次の内容を報告します。
- 有効期限の30日前から:
Tue Jul 09 00:00:01 CEST [node1: mgwd: mgmtgwd.certificate.expiring:error]: A digital certificate with Fully Qualified Domain Name (FQDN) UTN-USERFirst-Hardware, Serial Number 44BE0C8B500024B411D3362AFE650AFD, Certificate Authority 'UTN-USERFirst-Hardware' and type server-ca for Vserver ADMIN-SVM will expire in the next 10 day(s).
- 2019年7月現在、有効期限が切れている証明書が3つあります。
- これらのTruststore CertificatesはNetAppによって確認されており、安全に削除できます。
Name of Vserver Netapp1
FQDN or Custom Common Name Class2PrimaryCA
Serial Number of Certificate 85BD4BF3D8DAE369F694D75FC3A54423
Certificate Authority Class 2 Primary CA
Type of Certificate server-ca
Certificate Expiration Date Sat Jul 06 18:59:59 2019
Protocol SSL
Hashing Function SHA1
Name of Vserver Netapp1
FQDN or Custom Common Name DeutscheTelekomRootCA2
Serial Number of Certificate 26
Certificate Authority Deutsche Telekom Root CA 2
Type of Certificate server-ca
Certificate Expiration Date Tue Jul 09 18:59:00 2019
Protocol SSL
Hashing Function SHA1
Name of Vserver Netapp1
FQDN or Custom Common Name UTN-USERFirst-Hardware
Serial Number of Certificate 44BE0C8B500024B411D3362AFE650AFD
Certificate Authority UTN-USERFirst-Hardware
Type of Certificate server-ca
Certificate Expiration Date Tue Jul 09 13:19:22 2019
Protocol SSL
Hashing Function SHA1
- バグの回避策に従い、コマンドを使用して証明書を削除します
security certificate delete
::> set advanced
::*> security certificate delete -vserver
注記： <TAB>は-serialを自動補完します。また、-ca 名は二重引用符で囲む必要があります
信頼ストア証明書を削除するとどうなりますか？
- ほとんどの場合、期限切れの証明書は未使用のままになります。
- 信頼ストア証明書を削除すると、一部のONTAPアプリケーション（AutoSupportやSystem Managerなど）が想定どおりに機能しなくなる可能性があります。
新しい有効期限でTruststore Certificateを作成できますか?
- いいえ、新しい証明書は認証局によって再発行され、その後再インストールする必要があります。
- 上記のとおり、Truststore Certificatesは各ONTAPリリースごとに必要に応じて自動的に更新されます。
デフォルトのAutoSupport証明書とは何ですか？（HTTPSに影響）
- 2020年5月30日まで有効
- 認証局：AddTrust External CA Root
- 共通名：AddTrustExternalCARoot
- 新しい証明書 May 31, 2020
- 認証局：AAA Certificate Services
- 共通名：AAACertificateServices
- 詳細については、 次を参照してください： Autosupport Certificateの有効期限が切れるとどうなりますか？