有关使用工作流和流程进行 ePolicy Orchestrator 证书迁移的概述

技术文章 ID: KB91288
上次修改时间: 2021/08/22

环境

McAfee ePolicy Orchestrator (ePO) 5.x

摘要

另外，此文章的内容还作为McAfee Enterprise YouTube 通道.

证书迁移过程的工作流：

证书重新生成

基于 SHA-2 的根证书和中间证书在ePO 服务器所有使用 SHA-2 的托管产品重新生成MFS ROOT_CA用于 TLS/SSL 通信。证书会放置在系统管理上的一个ePO 服务器。
成功重新生成新的 Sitelist.xml 后，代理包一个策略。在此阶段， ePO 会分发 Sitelist.xml 并检查证书的分发进度。

证书激活

该ePO 服务器会备份原始证书，并且将临时文件夹中新生成的证书移至活动密钥存储库文件夹。

完成或取消迁移

选择时完成迁移，则备份的旧证书（原始）会被删除。然后将新证书设置为活动状态。
选择时取消迁移, 备份的旧证书（原始）会移回密钥存储库文件夹。然后它们将被激活。
由于证书激活过程未激活，因此它会将用户界面恢复为SHA1WithRSA. 临时文件夹中的新证书将被删除，并且将旧 SHA-1 证书还原回工作状态。

详细步骤（在 ePO 控制台中的证书管理器页面上采取的操作）：

单击"重新生成证书"

默认情况下，SHA-1 为 MA 站点列表包含两组证书信息。而当您单击重新生成证书，则具有四组 SHA-2 的证书信息。
此外，它还在（ePO\server）下创建密钥存储库Temp 文件夹。它包含以下四个文件：
- AgentHandler.keystore
- Ca.keystore
- ClientAuth.keystore
- Server.keystore
您可以审核日志同一时间戳验证操作重新生成已完成，如果成功。
您可以在Sitelist.xml具有修改日期和时间戳的文件，可验证文件是否与keystoreTemp和审核日志项。
您可看到向 EPOServerCerts和 EPOServerCertsBackup. 包含两个旧条目，且在单击取消迁移时使用，以帮助恢复到SHA-1.
哈希算法SHA1withRSA表明从 SHA-1 转换为 SHA-2 的过程中未完成证书迁移过程。
站点列表的证书在客户端系统接收并更新CABUNDLE.cer文件。触发ASCI时，会使用 SHA-2 证书将更新后的 Sitelist 下载到客户端系统。
完成后，已完成的百分比指标会更改 ePO 控制台中的证书管理器。它状态证书是在客户端收到的，表明您已准备好单击激活.

单击"激活证书"

仅单击激活当状态为 100% 时。 100% 表示所有接收到新SHA-2通过 ASCI。
如果您单击Activate & Progress 当显示小于 100% 时，客户端不会收到 SHA-2 证书。因此，客户端无法与服务器ePO 服务器。
点击激活更改KeystoreTemp自KeystoreBackup，然后所有数据从密钥存储库文件夹移至备份文件夹。
要查看激活已完成，可查看同一时间戳的审核日志。或者查看文件夹名称的日期，KeystoreBackup已修改。

单击"完成迁移"

删除以下内容的这一点非常重要，因为已迁移至SHA-2:
- 备份内容server\KeystoreBackup文件夹
- 内容，来自EPOServercertificatesBackup 表.
在客户端系统验证更改已从 ePO 证书重新生成.actis 中应用：
1. 在客户端系统，查看cabundle.cer文件修改时间。此时，系统ASCI新的更新站点列表证书信息并更新cabundle.cer文件。
2. 验证文件更新时间SHA-2信息，然后再单击 ePO 控制台上的激活。如果要手动确认，请使用该方法，而不要依赖证书管理器页面中的百分比计数。
3. 编辑cabundle.cer通过文本编辑器编辑文件。例如，打开Notepad或Notepad++以查看两组证书：一个SHA-1和四组证书SHA-2.
  
  以上内容确认客户端已接收以下证书：SHA-2. 通过单击完成迁移在 ePO 中，它会将系统更改为SHA-2，并允许 ePO 成功连接到客户端。
4. 验证cabundle.cer文件与同一个文件Sitelist.xml ePO 服务器。
5. 当证书迁移根据时区显示错误结果后，使用以下查询来使用 SHA-2 证书跟踪系统：
  
  SELECT * FROM OrionCertStateManager WHERE ProductID = 'agentHandler.keystore'
6. 使用以下 SQL 脚本验证证书迁移的状态：
  - SQL 查询，以显示迁移过程的状态。例如：重新生成、激活、完成迁移。
    
    Select * from OrionCertStateManager
  - 显示 ePO SHA-1 和 SHA-2 证书的 SQL 查询：
    
    Select * from EPOServerCerts
  - SQL 查询，以在单击"重新生成"选项后显示备份证书，然后再完成迁移：
    
    Select * from EPOServerCertsbackup

免责声明

本文内容源于英文。如果英文内容与其翻译内容之间存在差异，应始终以英文内容为准。本文部分内容是使用 Microsoft 的机器翻译技术进行翻译的。

受影响的产品

ePolicy Orchestrator 5.9 (EOL)
ePolicy Orchestrator 5.10.x

语言:

此文章有以下语言版本：

English United States
Spanish Spain
French
Italian
Japanese
Portuguese Brasileiro
Chinese Simplified

Knowledge Center

有关使用工作流和流程进行 ePolicy Orchestrator 证书迁移的概述

环境

摘要

相关信息

免责声明

受影响的产品

语言:

Title

Title

Knowledge Center

有关使用工作流和流程进行 ePolicy Orchestrator 证书迁移的概述

环境

摘要

相关信息

免责声明

受影响的产品

语言:

选择您的区域

Title

Title