Novell Doc: ZENworks 10 Configuration Management-Referenz für die Systemverwaltung

11.3 Neuerstellen von Zertifikaten

In den folgenden Szenarios müssen Sie Zertifikate neu erstellen:

Abschnitt 11.3.1, Umwandeln des internen Zertifikats auf einem Primärserver in ein externes Zertifikat
Abschnitt 11.3.2, Ändern der IP-Adresse des Primärservers nach der Installation von ZENworks 10 Configuration Management
Abschnitt 11.3.3, Ändern des DNS-Namens oder der IP-Adresse und des DNS-Namens des Primärservers nach der Installation von ZENworks 10 Configuration Management

WICHTIG:ZENworks 10 Configuration Management SP3 unterstützt auf Primärservern zurzeit noch nicht die Umwandlung eines externen Zertifikats in ein internes Zertifikat.

11.3.1 Umwandeln des internen Zertifikats auf einem Primärserver in ein externes Zertifikat

Wenn Sie das vorhandene interne Zertifikat auf einem Windows- oder Linux-Primärserver in ein externes Zertifikat umwandeln oder ein abgelaufenes Serverzertifikat durch ein neues externes Zertifikat ersetzen möchten, müssen Sie die folgenden Schritte ausführen, um ein neues externes Zertifikat zu erstellen:

Erstellen Sie vor der Umwandlung des internen Zertifikats in ein externes Zertifikat auf allen Primärservern der Verwaltungszone eine zuverlässige Sicherung der folgenden Komponenten:
- Verzeichnis „content-repo“: Das Verzeichnis content-repo befindet sich unter Windows standardmäßig im Verzeichnis ZENworks_Installationsverzeichnis\work bzw. unter Linux im Verzeichnis /var/opt/novell/zenworks/.
  
  Stellen Sie sicher, dass das Unterverzeichnis images des Verzeichnisses content-repo erfolgreich gesichert wurde.
- Zertifizierungsstelle: Detaillierte Informationen zur Erstellung einer Sicherung der Zertifizierungsstelle finden Sie unter Abschnitt 10.3, Sichern der Zertifizierungsstelle.
- Eingebettete Datenbank: Detaillierte Informationen zur Erstellung einer Sicherung der eingebetteten Datenbank finden Sie im Abschnitt Abschnitt 34.3, Sichern der eingebetteten Sybase SQL Anywhere-Datenbank.
Erstellen Sie eine Anforderung zum Signieren des Zertifikats (CSR) und geben Sie den Hostnamen des Primärservers als Betreff an.

Weitere Informationen zum Erstellen einer CSR finden Sie im ZENworks 10 Configuration Management-Installationshandbuch im Abschnitt Erstellen einer externen Zertifizierungsstelle.
Ersetzen Sie das vorhandene Zertifikat auf allen Geräten der Verwaltungszone in der unten angegebenen Reihenfolge durch das neu erstellte externe Zertifikat:

Ersetzen des vorhandenen Zertifikats auf Primärservern durch das neue externe Zertifikat

Führen Sie auf allen Primärservern der Verwaltungszone, deren Zertifikat Sie ändern möchten, die folgenden Tasks aus:

Konfigurieren Sie die Zertifikate auf dem Primärserver, dessen IP-Adresse und DNS-Namen Sie in Schritt 2 geändert haben, neu, indem Sie an der Eingabeaufforderung des Servers den folgenden Befehl eingeben:

novell-zenworks-configure -c SSL -Z

Befolgen Sie die Anweisungen.
Starten Sie alle ZENworks-Dienste neu, indem Sie den folgenden Befehl ausführen:

novell-zenworks-configure -c Start

Standardmäßig werden alle Dienste ausgewählt. Sie müssen Neu starten als Aktion auswählen.
Heben Sie die Registrierung des auf dem Primärserver installierten ZENworks Adaptive Agent in der Verwaltungszone auf, indem Sie folgenden Befehl an der Eingabeaufforderung des Servers eingeben:

zac unr -f

Weitere Informationen zu zac finden Sie auf dem Gerät auf der zac-man-Seite (man zac) bzw. im Handbuch ZENworks 10 Configuration Management: Referenz für Befehlszeilenprogramme im Abschnitt zac(1).
Löschen Sie den ZENworks-Cache.

Unter Windows: Führen Sie folgende Befehle aus:

zac cc

delete ZENworks_Installationsverzeichnis>\Novell\ZENworks\ cache\zmd\ /s

Unter Linux: Führen Sie die folgenden Befehle aus:

zac cc

rm -rf /var/opt/novell/zenworks/zmd/cache
Starten Sie den ZENworks Adaptive Agent Service neu.
Registrieren Sie den auf dem Primärserver installierten ZENworks Adaptive Agent auf dem richtigen Primärserver, indem Sie den folgenden Befehl an der Eingabeaufforderung des Geräts eingeben:

zac reg https://IP_Adresse_des_Primärservers:Port

Weitere Informationen zu zac finden Sie auf dem Gerät auf der zac-man-Seite (man zac) bzw. im Handbuch ZENworks 10 Configuration Management: Referenz für Befehlszeilenprogramme im Abschnitt zac(1).

Dadurch wird das Serverzertifikat im lokalen Cache ersetzt.
Ändern Sie die erste Zeile der Datei initial-web-service (unter Windows im Verzeichnis ZENworks_Installationsverzeichnis\Novell\ZENworks\conf bzw. unter Linux im Verzeichnis /etc/opt/novell/zenworks/) wie folgt:
```
https://localhost:port_number;https://127.0.0.1:port_number
```
Dabei ist Portnummer der Port, an dem der Server ausgeführt wird.
Löschen Sie den ZENworks-Cache mit dem Befehl zac cc.
Starten Sie den ZENworks Adaptive Agent Service neu.
Erstellen Sie alle standardmäßigen und benutzerdefinierten Bereitstellungspakete neu.

Standardbereitstellungspakete: Geben Sie an der Eingabeaufforderung des Servers den·folgenden Befehl ein:

novell-zenworks-configure -c CreateExtractorPacks -Z ein

Benutzerdefinierte Bereitstellungspakete: Geben Sie an der Eingabeaufforderung des Servers den·folgenden Befehl ein:

novell-zenworks- configure -c RebuildCustomPacks -Z

Ersetzen des vorhandenen Zertifikats auf Satelliten durch das neue externe Zertifikat

Führen Sie die folgenden Tasks an der Eingabeaufforderung aller Satelliten aus, die beim Primärserver registriert sind und deren Zertifikate Sie geändert haben:

Führen Sie den folgenden Befehl aus, um zu erzwingen, dass die Registrierung des Geräts lokal aufgehoben wird:

zac unr -f

Weitere Informationen zu zac finden Sie auf dem Gerät auf der zac-man-Seite (man zac) bzw. im Handbuch ZENworks 10 Configuration Management: Referenz für Befehlszeilenprogramme im Abschnitt zac(1).
Löschen Sie den ZENworks-Cache.

Unter Windows: Führen Sie folgende Befehle aus:

zac cc

delete c:\program files\novell\zenworks\cache\zmd /s

Unter Linux: Führen Sie die folgenden Befehle aus:

zac cc

rm -rf /var/opt/novell/zenworks/zmd/cache
Starten Sie den ZENworks Adaptive Agent Service neu.
Starten Sie die Proxy-DHCP-Dienste auf allen Satelliten neu.
Führen Sie den folgenden Befehl aus, um das Gerät in der Verwaltungszone zu registrieren:

zac reg https://ZENworks_Server_DNS_Name:Portnummer

Weitere Informationen zu zac finden Sie auf dem Gerät auf der zac-man-Seite (man zac) bzw. im Handbuch ZENworks 10 Configuration Management: Referenz für Befehlszeilenprogramme im Abschnitt zac(1).

Dadurch wird das Serverzertifikat im lokalen Cache ersetzt.
(Bedingt) Wenn ein Satellit in der Verwaltungszone mit der Rolle „Authentifizierung“ konfiguriert ist, führen Sie die folgenden Tasks aus:
1. Entfernen Sie die Authentifizierungsrolle vom Gerät.
  
  Informationen zum Entfernen der Authentifizierungsrolle von einem Gerät finden Sie im Abschnitt Abschnitt 7.3, Entfernen der Rollen von einem Satelliten.
2. Konfigurieren Sie den Satelliten mit den neuen externen Zertifikaten, indem Sie folgenden Befehl an der Eingabeaufforderung des Satelliten eingeben:
  
  zac import-authentication-cert(iac)[-pk <private-key.der>] [-c <signed-servercertificate.der>] [-ca <signing-authority-public-certificate.der>] [-ks<keystore.jks>] [-ksp <keystore-pass-phrase>] [-a <signed-cert-alias>] [-ks<signed-cert-passphrase>] [-u Benutzername] [-p Passwort]
  
  Weitere Informationen zu zac finden Sie auf dem Gerät auf der zac-man-Seite (man zac) bzw. im Handbuch ZENworks 10 Configuration Management: Referenz für Befehlszeilenprogramme im Abschnitt zac(1).
3. Fügen Sie dem Gerät die Authentifizierungsrolle hinzu.
  
  Informationen zum Hinzufügen der Authentifizierungsrolle zu einem Gerät finden Sie im Abschnitt Abschnitt 7.2.1, Rolle „Authentifizierung“.
4. (Bedingt) Wenn auf dem Satelliten nur die Authentifizierungsrolle konfiguriert ist und wenn das Gerät in der Regel für den nächstgelegenen Server eingeschlossen war, sollten Sie die Regel für den nächstgelegenen Server nun so konfigurieren, dass auch der Satellit in die Regel für den nächstgelegenen Server eingeschlossen ist.
  1. Stellen Sie in der standardmäßigen Regel für den nächstgelegenen Server sicher, dass das Gerät korrekt in die Liste der Authentifizierungsserver aufgenommen wurde. Ändern Sie gegebenenfalls die Position des Geräts innerhalb der Liste.
  2. (Optional) Fügen Sie das Gerät manuell zu anderen, nicht standardmäßigen Regeln für den nächstgelegenen Server hinzu.
  Weitere Informationen zur Bearbeitung der Regeln für den nächstgelegenen Server finden Sie im Abschnitt Abschnitt 9.0, Regeln für nächstgelegenen Server.

Ersetzen des vorhandenen Zertifikats auf verwalteten Geräten durch das neue externe Zertifikat

Führen Sie die folgenden Schritte an der Eingabeaufforderung aller verwalteten Geräte aus, die beim Primärserver registriert sind und deren Zertifikate Sie geändert haben:

Heben Sie die Registrierung aller verwalteten Geräte lokal auf, indem Sie folgenden Befehl an der Eingabeaufforderung der verwalteten Geräte eingeben:

zac unr -f

Weitere Informationen zu zac finden Sie auf dem Gerät auf der zac-man-Seite (man zac) bzw. im Handbuch ZENworks 10 Configuration Management: Referenz für Befehlszeilenprogramme im Abschnitt zac(1).
Löschen Sie den Cache und den Inhalt des Verzeichnisses ZENworks_Installationsverzeichnis\Novell\ZENworks\cache\zmd, indem Sie folgende Befehle an der Eingabeaufforderung der verwalteten Geräte eingeben.

zac cc

delete ZENworks_Installationsverzeichnis>\Novell\ZENworks\cache\zmd\ /s
Starten Sie den ZENworks Adaptive Agent Service neu.
Führen Sie den folgenden Befehl aus, um das Gerät in der Verwaltungszone zu registrieren:

zac reg https://ZENworks_Server_DNS_Name:Portnummer

Weitere Informationen zu zac finden Sie auf dem Gerät auf der zac-man-Seite (man zac) bzw. im Handbuch ZENworks 10 Configuration Management: Referenz für Befehlszeilenprogramme im Abschnitt zac(1).

Dadurch wird das Serverzertifikat im lokalen Cache ersetzt.

11.3.2 Ändern der IP-Adresse des Primärservers nach der Installation von ZENworks 10 Configuration Management

Wenn Sie nach der Installation von ZENworks 10 Configuration Management SP3 die IP-Adresse des Primärservers ändern möchten und die IP-Adresse nicht im CN des Zertifikats konfiguriert ist, führen Sie die folgenden Schritte aus:

HINWEIS:Das folgende Szenario wurde nur mit dem Primärserver unter Windows und nur mit der eingebetteten Sybase-Datenbank getestet. In diesem Setup sind der DNS- und der DHCP-Server auf dem gleichen Gerät konfiguriert.

Erstellen Sie vor der Änderung der IP-Adresse des Primärservers auf allen Primärservern der Verwaltungszone eine zuverlässige Sicherung der folgenden Komponenten:
- Verzeichnis „content-repo“: Das Verzeichnis content-repo befindet sich unter Windows standardmäßig im Verzeichnis ZENworks_Installationsverzeichnis\work bzw. unter Linux im Verzeichnis /var/opt/novell/zenworks/.
  
  Stellen Sie sicher, dass das Unterverzeichnis images des Verzeichnisses content-repo erfolgreich gesichert wurde.
- Zertifizierungsstelle: Detaillierte Informationen zur Erstellung einer Sicherung der Zertifizierungsstelle finden Sie unter Abschnitt 10.3, Sichern der Zertifizierungsstelle.
- Eingebettete Datenbank: Detaillierte Informationen zur Erstellung einer Sicherung der eingebetteten Datenbank finden Sie im Abschnitt Abschnitt 34.3, Sichern der eingebetteten Sybase SQL Anywhere-Datenbank.
Ändern Sie die IP-Adresse des Primärservers.

WICHTIG:Den DNS-Namen des Servers dürfen Sie nicht ändern.
Stellen Sie sicher, dass die neue IP-Adresse des Primärservers auf dem DNS-Server korrekt dem vorhandenen DNS-Namen des Primärservers zugeordnet ist.
Starten Sie alle ZENworks-Services neu, indem Sie folgenden Befehl an der Eingabeaufforderung des Servers eingeben:

novell-zenworks-configure -c Start

Standardmäßig werden alle Dienste ausgewählt. Sie müssen Neu starten als Aktion auswählen.
Erstellen Sie alle standardmäßigen und benutzerdefinierten Bereitstellungspakete neu.

Standardbereitstellungspakete: Geben Sie an der Eingabeaufforderung des Servers den·folgenden Befehl ein:

novell-zenworks-configure -c CreateExtractorPacks -Z ein

Benutzerdefinierte Bereitstellungspakete: Geben Sie an der Eingabeaufforderung des Servers den·folgenden Befehl ein:

novell-zenworks- configure -c RebuildCustomPacks -Z
Wenn sich die Datenbank auf dem Primärserver befindet, dessen IP-Adresse Sie in Schritt 2 geändert haben, müssen Sie die Datenbankserveradresse auf allen sekundären Primärservern ändern. Ändern Sie die Datenbankserveradresse in der Datei ZENworks_Installationsverzeichnis\Novell\ZENworks\conf\datamodel\zdm.xml auf allen sekundären Primärservern so, dass sie auf die neue IP-Adresse des ersten Primärservers verweist.
Starten Sie den ZENworks Adaptive Agent neu.
Starten Sie die Proxy-DHCP-Dienste auf allen Satelliten neu.

11.3.3 Ändern des DNS-Namens oder der IP-Adresse und des DNS-Namens des Primärservers nach der Installation von ZENworks 10 Configuration Management

Wenn Sie nach der Installation von ZENworks 10 Configuration Management SP3 nur den DNS-Namen oder sowohl die IP-Adresse und den DNS-Namen des Primärservers ändern möchten und für den CN des Zertifikats ein vollständig qualifizierter DNS-Name konfiguriert ist, führen Sie die folgenden Schritte aus:

Erstellen Sie vor der Änderung der IP-Adresse des Primärservers auf allen Primärservern der Verwaltungszone eine zuverlässige Sicherung der folgenden Komponenten:
- Verzeichnis „content-repo“: Das Verzeichnis content-repo befindet sich unter Windows standardmäßig im Verzeichnis ZENworks_Installationsverzeichnis\work bzw. unter Linux im Verzeichnis /var/opt/novell/zenworks/.
  
  Stellen Sie sicher, dass das Unterverzeichnis images des Verzeichnisses content-repo erfolgreich gesichert wurde.
- Zertifizierungsstelle: Detaillierte Informationen zur Erstellung einer Sicherung der Zertifizierungsstelle finden Sie unter Abschnitt 10.3, Sichern der Zertifizierungsstelle.
- Eingebettete Datenbank: Detaillierte Informationen zur Erstellung einer Sicherung der eingebetteten Datenbank finden Sie im Abschnitt Abschnitt 34.3, Sichern der eingebetteten Sybase SQL Anywhere-Datenbank.
Führen Sie einen der folgenden Vorgänge aus:
- Ändern Sie die IP-Adresse und den DNS-Namen des Primärservers.
- Ändern Sie den DNS-Namen nur für den Primärserver.
Starten Sie den Primärserver neu.
Vergewissern Sie sich, dass der Eintrag des Primärservers mit dem neuen DNS-Namen aktualisiert wurde.
Erstellen Sie eine Anforderung zum Signieren des Zertifikats (CSR) und geben Sie den Hostnamen des Primärservers als Betreff an.

Weitere Informationen zum Erstellen einer CSR finden Sie im ZENworks 10 Configuration Management-Installationshandbuch im Abschnitt Erstellen einer externen Zertifizierungsstelle.
(Bedingt) Wenn der Primärserver, dessen DNS-Name geändert wurde, die Datenbank enthält und wenn die IP-Adresse oder der DNS-Name des Datenbankservers geändert wurde, führen Sie auf allen Primärservern die folgenden Schritte aus:
1. Stellen Sie sicher, dass die IP-Adresse bzw. der DNS-Name des Datenbankservers korrekt in der Datei zdm.xml konfiguriert ist. Diese Datei befindet sich unter Windows im Verzeichnis ZENworks_Installationsverzeichnis\Novell\ZENworks\conf\datamodel\ bzw. unter Linux im Verzeichnis /etc/opt/novell/zenworks/datamodel/.
2. Starten Sie die folgenden Services neu:
  - Novell ZENworks Server
  - Novell ZENworks Loader
  - Novell ZENworks Agent Service
Ersetzen Sie das vorhandene Zertifikat auf allen Geräten der Verwaltungszone in der unten angegebenen Reihenfolge durch das neu erstellte externe Zertifikat: