Freigeben über

Verwalten von Zertifikaten für UNIX- und Linux-Computer

Mit System Center Operations Manager können Sie Agents auf UNIX- oder Linux-Computern bereitstellen. Die Kerberos-Authentifizierung ist nicht möglich. Daher werden Zertifikate zwischen dem Verwaltungsserver und den UNIX- oder Linux-Computern verwendet. In diesem Szenario fungiert der Verwaltungsserver als eigenständige Zertifizierungsstelle. (Obwohl es möglich ist, Zertifikate von Drittanbietern zu verwenden, sind sie nicht erforderlich.)

Vor Operations Manager 2016 wurde der Linux-Agent verwendet, um Zertifikate zu generieren und sie mit SHA1 zu verschlüsseln. Ab 2016 generiert der Linux-Agent ein SHA1-Zertifikat, das dann im Rahmen des Ermittlungsprozesses mit SHA256 verschlüsselt wird.

Es gibt zwei Methoden, mit denen Sie Agents bereitstellen können. Sie können den Ermittlungsassistenten verwenden oder einen Agenten manuell installieren. Von diesen beiden Methoden ist die manuelle Installation eines Agents die sicherere Option. Wenn Sie den Ermittlungs-Assistenten verwenden, um Agents auf UNIX- oder Linux-Computern zu installieren, vergewissern Sie sich, dass der Computer, auf dem Sie die Agents installieren, tatsächlich der Computer ist, für den Sie ihn halten. Wenn Sie den Ermittlungs-Assistenten zum Bereitstellen von Agents verwenden, ist dies ein größeres Risiko als bei der Bereitstellung auf Computern im öffentlichen Netzwerk oder in einem Umkreisnetzwerk.

Wenn Sie den Ermittlungs-Assistenten zum Bereitstellen eines Agents verwenden, führt der Ermittlungs-Assistent die folgenden Funktionen aus:

  • Bereitstellung: Der Ermittlungs-Assistent kopiert das Agent-Paket auf den UNIX- oder Linux-Computer und startet dann den Installationsprozess.

  • Zertifikatsignatur: Operations Manager ruft das Zertifikat vom Agent ab, signiert das Zertifikat, stellt das Zertifikat wieder im Agent bereit und startet dann den Agent neu.

  • Ermittlung: Der Ermittlungs-Assistent ermittelt den Computer und testet, um festzustellen, dass das Zertifikat gültig ist. Wenn der Ermittlungs-Assistent überprüft, ob der Computer erkannt werden kann und dass das Zertifikat gültig ist, fügt der Ermittlungs-Assistent den neu ermittelten Computer der Operations Manager-Datenbank hinzu.

Wenn Sie einen Agenten manuell bereitstellen, führen Sie die ersten beiden Schritte aus, die normalerweise vom Discovery Wizard übernommen werden: Bereitstellung und Zertifikatsunterzeichnung. Anschließend verwenden Sie den Discovery-Assistenten, um den Computer zur Operations Manager-Datenbank hinzuzufügen.

Wenn im System Zertifikate vorhanden sind, werden sie während der Agentinstallation wiederverwendet. Neue Zertifikate werden nicht erstellt. Zertifikate werden nicht automatisch gelöscht, wenn Sie einen Agent deinstallieren. Sie müssen die Zertifikate, die im Ordner /etc/opt/microsoft/scx/ssl aufgeführt sind, manuell löschen. Um die Zertifikate während der Installation neu zu generieren, müssen Sie diesen Ordner vor der Agentinstallation entfernen.

Weitere Informationen zur manuellen Bereitstellung eines Agents finden Sie unter Installieren des Agents und des Zertifikats auf UNIX- und Linux-Computern über die Befehlszeile, und verwenden Sie dann die folgende Prozedur zur Installation der Zertifikate.

Überlegungen zur UNIX- und Linux-Firewall

Wenn Sie eine Firewall auf Ihrem UNIX- oder Linux-Computer haben, müssen Sie Port 1270 (eingehend) öffnen. Diese Portnummer kann nicht konfiguriert werden. Wenn Sie Agents in einer Umgebung mit niedriger Sicherheit einsetzen und den Discovery Wizard zum Bereitstellen und Signieren der Zertifikate verwenden, müssen Sie den SSH-Port öffnen. Die SSH-Portnummer kann konfiguriert werden. SSH verwendet standardmäßig den eingehenden TCP-Port 22. Weitere Informationen zur Firewallkonfiguration für Operations Manager finden Sie unter Konfigurieren einer Firewall für Operations Manager.

Nächste Schritte