Erros de migração e soluções de recuperação

Erros e Recuperação de Erros

Os seguintes indicadores alertam-no para erros que podem ocorrer durante a migração:

 

/QIBM/USERDATA/HTTPSVR/KEYRING/KEYMREQ.CRT

A presença deste indicador depois de ter instalado com êxito a opção 34 e o 5722-DG1 significa que a tentativa de migração de conjuntos de chaves mistas do 5722-DG1 não teve êxito. Poderá ter de executar a migração do conjunto de chaves mistas para o arquivo de certificados *SYSTEM.

 

/QIBM/USERDATA/OS400/DIRSRV/QDIRSRV.CRT

A presença deste indicador depois de ter instalado com êxito as opções 32 e 34 significa que a tentativa de migração de conjuntos de chaves mistas da opção 32 não teve êxito.

Para além dos erros indicados, existem possíveis erros de migração que o sistema pode não indicar.  Por exemplo, quando o sistema encontra conjuntos de chaves mistas que tem de migrar para o arquivo de certificados *SYSTEM, também pode encontrar conflitos com arquivos de dados de utilizador do sistema de arquivos integrado existentes.  Nesse caso, o sistema poderá não completar a migração de conjuntos de chaves mistas, mesmo que a instalação tenha sido concluída com êxito.

Acontece raramente, mas é possível proceder à migração de conjuntos de chaves mistas com atribuição parcial de certificados de sistema antes de um erro impedir a conclusão da migração.  Isto pode resultar em erros quando inicia a instância *ADMIN do IBM HTTP Server se SSLMODE estiver ON (ATIVO). As explicações possíveis são:

• Um conjunto de chaves mistas migrado tinha um certificado de sistema incorreto predefinido.
• O DCM terminou a migração para preservar os dados do utilizador já existentes num nome de arquivo crítico.
• Ocorreu um erro imprevisível no código de migração.

Pode iniciar o IBM HTTP Server sem SSLMODE ON definindo temporariamente SSLMODE como OFF para a instância *ADMIN antes de a iniciar.  Isto permite-lhe investigar os arquivos de certificados com o DCM e resolver o problema antes de terminar a instância *ADMIN.  Após terminar a instância *ADMIN, poderá LIGAR de novo SSLMODE e iniciar a instância *ADMIN para inicializar corretamente o SSL.

Após a migração da opção 34, podem ocorrer erros durante os pedidos de DCM normais que utilizam os arquivos de certificados.  Estes erros ocorrem no browser. Seguem-se exemplos desses erros:

Erro de base de dados
Erro de Leitura da base de dados
Erro de Escrita da base de dados
Base de dados danificada
Tabela da base de dados danificada

Além disso, o sistema pode ter um arquivo que não seja um arquivo de certificados válido denominado default.kdb no mesmo diretório que /QIBM/USERDATA/ICSS/CERT/CERTAUTH/DEFAULT.KYR ou /QIBM/USERDATA/ICSS/CERT/SERVER/DEFAULT.KYR.  Neste caso, tem de completar a seguinte migração manual antes de utilizar o DCM para criar novos certificados:

• Se pretende instalar o 5722_SS1, opção 32, e o 5722-DG1, instale-os agora antes de continuar.

  Notas:

   

  1.     O código de instalação do 5722-SS1 opção 34, não tenta repetir a migração depois de instalar a opção 34.  A simples reinstalação da opção 34 não ajuda.

      

  2.     Os arquivos apropriados estão localizados nos diretórios de dados do utilizador criados com a autoridade PUBLIC *EXCLUDE. Certifique-se de que tem a autoridade adequada para os utilizar.
• Verifique se os seguintes arquivos existem:
  • /QIBM/USERDATA/ICSS/CERT/CERTAUTH/DEFAULT.KDB
  • /QIBM/USERDATA/ICSS/CERT/SERVER/DEFAULT.KDB
  Se existirem, utilize o comando WRKLNK para mudar o nome e criar cópias de segurança.
• Usando um perfil de utilizador que tenha a autoridade *ALLOBJ, chame o programa QICSS/QYEPMGRT numa linha de comandos, do seguinte modo:

  CALL QICSS/QYEPMGRT
  

  Se conseguir, certifique-se de que nenhum dos seguintes arquivos existe no sistema:
  • /QIBM/USERDATA/HTTPSVR/KEYRING/KEYMREQ.CRT
  • /QIBM/USERDATA/OS400/DIRSRV/QDIRSRV.CRT

O DCM normalmente mantém uma cópia de segurança dos dados do utilizador guardados em arquivos cujos nomes entram em conflito com os dos arquivos utilizados pelo DCM.  Se os seguintes arquivos não existirem:

• /QIBM/USERDATA/ICSS/CERT/CERTAUTH/DEFAULT.KYR
• /QIBM/USERDATA/ICSS/CERT/SERVER/DEFAULT.KYR

Mas os seguintes arquivos existirem:

• /QIBM/USERDATA/ICSS/CERT/CERTAUTH/DEFAULT.STH
• /QIBM/USERDATA/ICSS/CERT/SERVER/DEFAULT.STH

O sistema tentará mudar os nomes dos arquivos acrescentando-lhes uma extensão .OLD.  Se esses arquivos também já existirem, o sistema não cria cópias de segurança.  Pelo contrário, limita-se a substituir os arquivos .STH existentes.

Diversos

Se as suas tentativas para criar uma CA e um certificado de sistema continuarem a falhar devido a conflitos de nomes de arquivo, talvez esteja a ocorrer uma das seguintes situações:

• Conflito de nomes de arquivos diferentes - O DCM tenta proteger os dados do utilizador nos diretórios que cria, mesmo que esses arquivos o impeçam de criar com êxito os arquivos quando for necessário.  Resolva este problema copiando todos os arquivos em conflito para um diretório diferente e, se possível, utilize as funções do DCM para eliminar os arquivos correspondentes.  Se não conseguir utilizar o DCM para o fazer, elimine manualmente os arquivos do diretório de sistema de arquivos integrados original onde estavam em conflito com o DCM. Certifique-se de que anota exatamente que arquivos moveu e para onde os moveu.  As cópias permitem-lhe recuperar os arquivos se considerar que ainda são necessários.  Tem de criar uma nova CA depois de mover os seguintes arquivos:

  /QIBM/USERDATA/ICSS/CERT/CERTAUTH/DEFAULT.KDB
  /QIBM/USERDATA/ICSS/CERT/CERTAUTH/DEFAULT.TEMP.KDB
  /QIBM/USERDATA/ICSS/CERT/CERTAUTH/DEFAULT.RDB
  /QIBM/USERDATA/ICSS/CERT/CERTAUTH/DEFAULT.STH
  /QIBM/USERDATA/ICSS/CERT/CERTAUTH/DEFAULT.STH .OLD
  /QIBM/USERDATA/ICSS/CERT/CERTAUTH/DEFAULT.KYR
  /QIBM/USERDATA/ICSS/CERT/CERTAUTH/DEFAULT.POL
  /QIBM/USERDATA/ICSS/CERT/CERTAUTH/DEFAULT.BAK
  /QIBM/USERDATA/ICSS/CERT/CERTAUTH/DEFAULT.TEMP
  /QIBM/USERDATA/ICSS/CERT/CERTAUTH/DEFAULT.STHBAK
  /QIBM/USERDATA/ICSS/CERT/CERTAUTH/DEFAULT.TEMP.STH
  /QIBM/USERDATA/ICSS/CERT/CERTAUTH/CA.TXT
  /QIBM/USERDATA/ICSS/CERT/CERTAUTH/CA.BAK
  /QIBM/USERDATA/ICSS/CERT/CERTAUTH/CA.TMP
  /QIBM/USERDATA/ICSS/CERT/CERTAUTH/DEFAULT.POLTMP
  /QIBM/USERDATA/ICSS/CERT/CERTAUTH/DEFAULT.POLBAK
  /QIBM/USERDATA/ICSS/CERT/DOWNLOAD/CERTAUTH/CA.CACRT
  /QIBM/USERDATA/ICSS/CERT/DOWNLOAD/CERTAUTH/CA.CATMP
  /QIBM/USERDATA/ICSS/CERT/DOWNLOAD/CERTAUTH/CA.CABAK
  /QIBM/USERDATA/ICSS/CERT/DOWNLOAD/CLIENT/*.USRCRT
  

  Tem de criar um novo arquivo de certificados *SYSTEM e um certificado de sistema depois de mover os seguintes arquivos:

  /QIBM/USERDATA/ICSS/CERT/SERVER/DEFAULT.KDB
  /QIBM/USERDATA/ICSS/CERT/SERVER/DEFAULT.BAK
  /QIBM/USERDATA/ICSS/CERT/SERVER/DEFAULT.RDB
  /QIBM/USERDATA/ICSS/CERT/SERVER/DEFAULT.STH
  /QIBM/USERDATA/ICSS/CERT/SERVER/DEFAULT.STH.OLD
  /QIBM/USERDATA/ICSS/CERT/SERVER/DEFAULT.STHBAK
  /QIBM/USERDATA/ICSS/CERT/SERVER/DEFAULT.TMP
  /QIBM/USERDATA/ICSS/CERT/SERVER/DEFAULT.TEMP.STH
  /QIBM/USERDATA/ICSS/CERT/SERVER/SRV.TMP
  /QIBM/USERDATA/ICSS/CERT/SERVER/SRV.BAK
  /QIBM/USERDATA/ICSS/CERT/SERVER/SRV.TXT
  /QIBM/USERDATA/ICSS/CERT/SERVER/SRV.SGN
  /QIBM/USERDATA/ICSS/CERT/SERVER/SGN.TMP
  /QIBM/USERDATA/ICSS/CERT/SERVER/SGN.BAK
  /QIBM/USERDATA/ICSS/CERT/SERVER/EXPSRV.TMP
  /QIBM/USERDATA/ICSS/CERT/SERVER/EXPSGN.TMP
  

• Pré-requisitos inexistentes - Certifique-se de que instalou corretamente os programas licenciados (LPPs) de pré-requisito.
• Problemas de código - Contacte o técnico dos serviços de assistência.