AIQUM 使用哪些证书，过期时会产生什么影响以及如何重新生成？

最后更新
另存为PDF

Views:: 357

Visibility:: Public

Votes:: 0

Category:: active-iq-unified-manager

Specialty:: om

Last Updated:

适用于

Active IQ Unified Manager (AIQUM)
ONTAP 9

回答

SSL (HTTPS) 证书

类型	server-ca
生成者	AIQUM
储存在	AIQUM/ONTAP
目的	通过浏览器对 HTTP/HTTPS 连接中的 AIQUM 服务器进行身份验证注： AIQUM 在添加集群时将此证书安装到 ONTAP
过期影响	AIQUM未能添加ONTAP集群，如 AIQUM HTTPS证书过期时无法通过HTTPS添加ONTAP集群访问AIQUM可能会被警告或阻止，具体取决于浏览器及其设置 ONTAP 报告 `mgmtgwd.certificate.expired`
如何重新生成	生成 HTTPS 安全证书选择重置服务器证书在维护控制台
有效期	默认为 397 天，另请参阅生成 HTTPS 安全证书
激活新证书	生成 HTTPS 证书后，重新启动 AIQUM 以使其生效。尝试从集群设置页面重新添加集群。
CLI 示例	`cluster2::> cert show -vserver cluster2 -type server-ca -organization NetApp` `(security certificate show)` `Vserver Serial Number Certificate Name Type` `---------- --------------- -------------------------------------- ------------` `cluster2 40CF33F77B77864D hshovaum server-ca` `Certificate Authority: hshovaum` `Expiration Date: Tue Dec 15 11:58:43 2026` -备注：将组织指定为 NetApp 将过滤掉不相关的证书证书名称将是 UM 服务器的主机名。

EMS 证书

类型	client
生成者	AIQUM
储存在	AIQUM/ONTAP
目的	对从 ONTAP 收到的用于订阅 ONTAP EMS 事件的 EMS 通知进行身份验证注： AIQUM 在添加集群时将此证书安装到 ONTAP
过期影响	AIQUM 无法添加 ONTAP 集群，如由于客户端证书过期导致无法添加集群或 AIQUM 上现有集群的获取失败错误 mgmtgwd.certificate.expired 由 AIQUM 客户端证书过期导致
如何重新生成	在 Unified Manager 9.18 及更高版本中，您可以通过维护控制台，使用选项‘`Regenerate Client Certificate`’重新生成客户端证书(EMS 证书) 。对于 9.18 之前的版本，请按照CAIQUM-5308 从 AIQUM CLI 手动重新生成客户端证书（EMS 证书）
有效期	5 年
激活新证书	不适用
CLI 示例	`cluster2::> cert show -vserver cluster2 -type client -organization NetApp` `(security certificate show)` `Vserver Serial Number Certificate Name Type` `---------- --------------- -------------------------------------- ------------` `cluster2 2D5B5CF5 3416f93a-d90b-4aed-a0b2-71205700fe29 client` `Certificate Authority: 3416f93a-d90b-4aed-a0b2-71205700fe29` `Expiration Date: Sun Jun 23 16:22:10 2030` -备注：将组织指定为 NetApp 将过滤掉不相关的证书证书名称将是 UM 服务器的 systemid。

用于相互 TLS 通信的证书

类型	client-ca
生成者	AIQUM
储存在	AIQUM/ONTAP
目的	在 AIQUM 数据采集期间通过基于证书的身份验证对 ONTAP 集群进行身份验证。注： AIQUM 在添加集群时将此证书安装到 ONTAP
过期影响	AIQUM 无法监控 ONTAP 集群，如 AIQUM 中的集群采集失败中所述，原因是双向 TLS 通信的 CA 证书过期 ONTAP 报告 Active IQ Unified Manager client-ca 证书的 mgmtgwd.certificate.expiring
如何重新生成	请按照 How to renew a client-ca certificate for Active IQ Unified Manager中的步骤操作
有效期	1 年，另见 CAIQUM-5794
激活新证书	不适用
CLI 示例	`cluster2::> cert show -vserver cluster2 -type client-ca -organization NetApp` `(security certificate show)` `Vserver Serial Number Certificate Name Type` `---------- --------------- -------------------------------------- ------------` `cluster2 777A377BE8F59D77 admin client-ca` `Certificate Authority: admin` `Expiration Date: Tue Jan 19 12:12:29 2027` -备注：将组织指定为 NetApp 将过滤掉不相关的证书证书名称将是 UM 服务器用于监视集群的帐户。

集群证书

类型	服务器
生成者	ONTAP
储存在	ONTAP
目的	添加 ONTAP 集群时对 ONTAP 集群进行身份验证
过期影响	AIQUM 无法添加或编辑 ONTAP 集群，如 AIQUM 无法添加具有自签名 SSL 证书过期错误的集群事件日志中出现 "mgmtgwd.certificate.expired" 错误消息性能数据收集可能失败，如 Unified Manager 性能收集失败，因为集群证书已过期注意：另请参阅用于 Vserver 的过期数字证书对 ONTAP 集群的影响
如何重新生成	如何在 ONTAP 9 中续订自签名 SSL 证书
有效期	默认为1年，另请参见在 ONTAP 9 中续订 TLS/SSL 证书 - 解决方案指南
激活新证书	验证自签名 SSL 证书为最新证书后，请尝试在集群设置页面上重新添加集群。
CLI 示例	`cluster2::> cert show -vserver cluster2 -type server` `(security certificate show)` `Vserver Serial Number Certificate Name Type` `---------- --------------- -------------------------------------- ------------` `cluster2 186EAB83D68813CC cluster2_186EAB83D68813CC server` `Certificate Authority: cluster2` `Expiration Date: Thu Oct 15 08:58:07 2026` 注意：如果有多个，您可以运行 '`ssl show -vserver <cluster name>`' 来确认正在使用哪一个。

注:

可以通过使用 ONTAP security certificate show 命令的 -type 参数找到证书类型

::> security certificate show -type server-ca

Vserver Serial Number Certificate Name Type ---------- --------------- -------------------------------------- ------------ cluster1 85589F65349650BE aiqum.demo.netapp.com_85589F65349650BE server-ca Certificate Authority: demo.netapp.com Expiration Date: Fri Nov 01 21:06:11 2058

适用于

回答

追加信息