Azure에서 RHUI 인증서 문제 해결

  • 아티클

이 문서에서는 만료되었거나 누락된 TLS(전송 계층 보안) 또는 SSL(Secure Sockets Layer) 인증서로 인해 발생하는 RHUI(Red Hat Update Infrastructure)의 일반적인 문제에 대해 설명합니다.

필수 구성 요소

중요

RHUI는 종량제 이미지만을 위한 것입니다. 사용자 지정 또는 골든 이미지("BYOS(Bring-your-own-subscription)"라고도 함)를 대신 사용하고 있나요? 이 경우 업데이트를 받으려면 RHSM(Red Hat Subscription Manager) 또는 위성에 시스템을 연결해야 합니다. 자세한 내용은 RHSM을 사용하여 RHEL 시스템을 등록하고 Red Hat 고객 포털에 구독하는 방법을 참조하세요.

참고

  • 2023년 10월 12일부터 모든 PAYG(종량제) 클라이언트는 단계적으로 RHUI(Red Hat Update Infrastructure) 4 IP로 이동되었습니다. RHUI-3 IP는 계속 업데이트에 사용할 수 있지만 나중에 제거될 예정입니다. 패키지 및 업데이트에 대한 중단 없는 액세스를 보장하려면 RHUI-3 IP에 대한 액세스를 허용하는 기존 경로 및 규칙을 업데이트하여 RHUI-4 IP 주소를 포함해야 합니다. 그러나 이 전환 기간 동안 업데이트를 계속 받으려면 RHUI-3 IP를 제거하지 마세요.
  • 2020년 1월부터 새 Azure 미국 정부 이미지가 이전에 Azure Global 헤더 아래에 언급된 공용 IP 주소를 사용하기 시작했습니다.

원인 1: RHUI 클라이언트 인증서가 만료됨

Azure RHUI 인증서는 일반적으로 2년마다 만료됩니다. RHEL 버전 7.4(이미지 URN: RedHat:RHEL:7.4:7.4.2018010506)와 같은 이전 RHEL VM 이미지를 사용하는 경우 현재 만료된 TLS/SSL 클라이언트 인증서로 인해 RHUI에 대한 연결이 저하됩니다. 예를 들어 다음 오류 메시지 중 하나가 나타날 수 있습니다.

  • "SSL 피어가 인증서를 만료된 것으로 거부했습니다."

  • "오류: 리포지토리에 대한 리포지토리 메타데이터(repomd.xml)를 검색할 수 없습니다._... 경로를 확인하고 다시 시도하세요."

인증서 만료 날짜 직전에 만든 이전 이미지 또는 이미지에서 인증서 만료를 방지하기 위해 프로세스를 적용해야 합니다.

해결 방법 1: RHUI 클라이언트 패키지 업데이트

클라우드 환경의 종량제 시스템에서 RHEL 리포지토리에 액세스하려면 RHUI를 사용합니다. 클라우드 공급자로서 Azure는 다음 작업과 같이 언제든지 최신 클라이언트 구성 RPM 버전을 만들고 게시할 수 있습니다.

  • 새 리포지토리에 대한 액세스 제공
  • 인증서 갱신.
  • 다른 패키징 변경

이 경우 시스템에 새 RHUI 패키지를 설치해야 합니다. 이 패키지에는 갱신된 인증서가 있습니다. yum 명령을 실행하여 RHUI 패키지를 업데이트합니다.

sudo yum update -y --disablerepo='*' --enablerepo='*microsoft*'

명령은 sudo yum update RHEL 버전에 따라 클라이언트 인증서 패키지를 업데이트할 수도 있습니다. 명령 출력에 다른 리포지토리에 대해 표시되는 것과 동일한 만료된 SSL 인증서 오류가 포함된 경우에도 마찬가지입니다. 이 업데이트가 성공하면 두 번째로 성공적으로 실행할 sudo yum update 수 있도록 다른 RHUI 리포지토리에 대한 일반 연결을 복원해야 합니다.

를 실행할 yum update때 "404" 오류가 표시되는 경우 다음 명령을 실행하여 yum 캐시를 새로 고칩니다.

sudo yum clean all
sudo yum makecache

원인 2: RHUI 인증서가 없습니다.

Azure Red Hat Linux VM에는 RHUI Azure 패키지가 이미 설치되어 있습니다. 그러나 /etc/pki/rhui/product/ 디렉터리에서 인증서가 누락되었습니다.

RHUI 인증서가 실수로 VM에서 제거된 경우 패키지를 설치하거나 업데이트하려고 할 때 다음 오류 메시지가 표시됩니다.

sudo yum install <package-name>
Red Hat Enterprise Linux X for x86_64 - XXXX  0.0  B/s |   0  B     00:00  
Errors during downloading metadata for repository 'rhel-X-for-x86_64-XXXX-eus-rhui-rpms':  
  - Curl error (58): Problem with the local SSL certificate for https://rhui-3.microsoft.com/pulp/repos/content/eus/rhel8/rhui/X.X/x86_64/XXXXX/os/repodata/repomd.xml [could not load PEM client certificate, OpenSSL error error:02001002:system library:fopen:No such file or directory, (no key found, wrong pass phrase, or wrong file format?)]

해결 방법 2: EUS, 비 EUS 또는 SAP RHUI 패키지 다시 설치

해당 RHUI 패키지를 다시 설치하여 누락된 인증서를 올바른 위치에 다시 생성합니다.

다음 단계의 모든 명령은 루트 권한을 사용하거나 를 지정하여 sudo실행해야 합니다.

  1. rhui-azure 다음 명령을 사용하여 (EUS, non-EUS또는 SAP/E4S) 패키지가 설치되어 있는지 확인합니다.

    sudo rpm -qa | grep -i azure

    rhui-azure-rhelX-<>-X.X-XXX.noarch

    EUS(확장 업데이트 지원) 또는 비 EUS RHUI 패키지에 대한 자세한 내용은 다음 문서의 연결된 섹션을 참조하세요.

    패키지 유형 링크
    EUS RHUI 패키지 EUS 리포지토리에 연결된 Red Hat 이미지
    비 EUS RHUI 패키지 비 EUS 리포지토리에 연결된 Red Hat 이미지
    SAP/E4S(SAP 솔루션 구독) RHUI 패키지용 서비스 업데이트 SAP/E4S 리포지토리에 연결된 Red Hat 이미지

  2. 인증서가 있는지 확인합니다.

    sudo ls -l /etc/pki/rhui/product/

    참고

    이 시나리오에서는 파일이 누락된 것을 발견합니다.

  3. 명령을 실행하여 해당 rhui-azure 패키지를 다시 설치합니다.yum reinstall

    sudo yum reinstall $(rpm -qa | grep -i rhui-azure) --disablerepo=* --enablerepo="*microsoft*"

  4. EUS 또는 E4S 리포지토리가 설치된 경우 변수를 잠급합니다releasever.

    sudo echo $(. /etc/os-release && echo $VERSION_ID) > /etc/yum/vars/releasever

  5. 명령을 다시 실행하여 인증서가 ls 있는지 확인합니다. 인증서 파일은 지금 나열되어야 합니다.

    sudo ls -l /etc/pki/rhui/product/

원인 3: RHUI 패키지가 없습니다.

RHUI EUS, 비 EUS 또는 SAP/E4S 패키지가 Red Hat VM에서 누락되었지만 리포지토리 구성 파일은 여전히 /etc/yum.repos.d/ 디렉터리에 있습니다.

패키지를 설치하거나 업데이트하려고 하면 다음 오류 메시지가 표시됩니다.

sudo yum install <package-name>  
Red Hat Enterprise Linux X for x86_64 - XXXX  0.0  B/s |   0  B     00:00  
Errors during downloading metadata for repository 'rhel-X-for-x86_64-XXXX-XXX-rhui-rpms':  
  - Curl error (58): Problem with the local SSL certificate for https://rhui-3.microsoft.com/pulp/repos/content/eus/rhel8/rhui/X.X/x86_64/XXXXX/os/repodata/repomd.xml [could not load PEM client certificate, OpenSSL error error:02001002:system library:fopen:No such file or directory, (no key found, wrong pass phrase, or wrong file format?)]

해결 방법 3: EUS, 비 EUS 또는 SAP/E4S RHUI 패키지 설치

EUS, 비 EUS 또는 SAP/E4S에 대한 누락된 RHUI 패키지를 설치합니다.

루트 권한을 사용하거나 를 지정 sudo하여 다음 명령을 모두 실행해야 합니다.

EUS RHUI 패키지 설치

  1. yum install 명령을 실행하여 패키지를 설치합니다.rhui-azure-rhel7-eus

    sudo yum --config='https://rhelimage.blob.core.windows.net/repositories/rhui-microsoft-azure-rhel7-eus.config' install 'rhui-azure-rhel7-eus'

  2. 변수 잠금 releasever :

    sudo echo $(. /etc/os-release && echo $VERSION_ID) > /etc/yum/vars/releasever

  3. 해당 리포지토리를 사용할 수 있는지 확인하고 명령을 실행 yum repolist 하여 오류를 표시하지 않습니다.

    sudo yum repolist all

참고

/etc/yum.conf 또는 /etc/dnf.confyum --config='https://rhelimage.blob.core.windows.net/repositories/rhui-x-x-x-x install rhui-azure-rhel-X-X-X에서 프록시를 사용하는 경우 프록시 설정이 포함되지 않으므로 명령이 작동하지 않습니다. 이 경우 다음 명령을 사용합니다.

sudo wget https://rhelimage.blob.core.windows.net/repositories/rhui-microsoft-azure-rhelX-X-X-X.config
sudo mv rhui-microsoft-azure-rhelX-X-X-X.config /etc/yum.repos.d
sudo yum install rhui-azure-rhel-X-X-X

및 rhui-azure-rhel-X-X-X 를 적절하게 교체 rhui-microsoft-azure-rhelX-X-X-X 합니다.

비 EUS RHUI 패키지 설치

  1. 릴리스버 파일이 있는 경우 제거합니다.

    sudo rm /etc/yum/vars/releasever

  2. rhui-azure-rhel7 명령을 실행하여 패키지를 설치합니다.yum install

    sudo yum --config='https://rhelimage.blob.core.windows.net/repositories/rhui-microsoft-azure-rhel7.config' install 'rhui-azure-rhel7'

  3. 해당 리포지토리를 사용할 수 있는지 확인하고 명령을 실행 yum repolist 하여 오류를 표시하지 않습니다.

    sudo yum repolist all

참고

/etc/yum.conf 또는 /etc/dnf.confyum --config='https://rhelimage.blob.core.windows.net/repositories/rhui-x-x-x-x install rhui-azure-rhel-X-X-X에서 프록시를 사용하는 경우 프록시 설정이 포함되지 않으므로 명령이 작동하지 않습니다. 이 경우 다음 명령을 사용합니다.

sudo wget https://rhelimage.blob.core.windows.net/repositories/rhui-microsoft-azure-rhelX-X-X-X.config
sudo mv rhui-microsoft-azure-rhelX-X-X-X.config /etc/yum.repos.d
sudo yum install rhui-azure-rhel-X-X-X

및 rhui-azure-rhel-X-X-X 를 적절하게 교체 rhui-microsoft-azure-rhelX-X-X-X 합니다.

RHEL 7 SAP/E4S/HANA RHUI 패키지 설치

SAP 이미지 유형의 탭을 선택하여 해당 지침을 확인합니다.

OS 버전이 RHEL 7.9보다 이전 이고 제품 이미지를 사용하여 VM을 만든 경우 다음 단계가 RHEL-SAP-APPS 적용됩니다.

  1. rhui-azure-rhel7-sapapps 명령을 실행하여 패키지를 설치합니다.yum install

    sudo yum --config='https://rhelimage.blob.core.windows.net/repositories/rhui-microsoft-azure-rhel7-sapapps.config' install rhui-azure-rhel7-sapapps

  2. 변수 잠금 releasever :

    sudo echo $(. /etc/os-release && echo $VERSION_ID) > /etc/yum/vars/releasever

  3. 해당 리포지토리를 사용할 수 있는지 확인하고 명령을 실행 yum repolist 하여 오류를 표시하지 않습니다.

    sudo yum repolist all

참고

/etc/yum.conf 또는 /etc/dnf.confyum --config='https://rhelimage.blob.core.windows.net/repositories/rhui-x-x-x-x install rhui-azure-rhel-X-X-X에서 프록시를 사용하는 경우 프록시 설정이 포함되지 않으므로 명령이 작동하지 않습니다. 이 경우 다음 명령을 사용합니다.

sudo wget https://rhelimage.blob.core.windows.net/repositories/rhui-microsoft-azure-rhelX-X-X-X.config
sudo mv rhui-microsoft-azure-rhelX-X-X-X.config /etc/yum.repos.d
sudo yum install rhui-azure-rhel-X-X-X

및 rhui-azure-rhel-X-X-X 를 적절하게 교체 rhui-microsoft-azure-rhelX-X-X-X 합니다.

RHEL 8 SAP/E4S/HANA RHUI 패키지 설치

SAP 이미지 유형의 탭을 선택하여 해당 지침을 확인합니다.

다음 단계는 OS 버전이 SAP RHEL 8.X 에서 지원하는 최신 버전보다 이전이고 제품 이미지를 사용하여 VM을 RHEL-SAP-APPS 만든 경우에 적용됩니다.

  1. rhui-azure-rhel8-sapappsdnf 설치 명령을 실행하여 패키지를 설치합니다.

    sudo dnf --config='https://rhelimage.blob.core.windows.net/repositories/rhui-microsoft-azure-rhel8-sapapps.config' install rhui-azure-rhel8-sapapps

  2. 변수 잠금 releasever :

    sudo echo $(. /etc/os-release && echo $VERSION_ID) > /etc/dnf/vars/releasever

  3. 해당 리포지토리를 사용할 수 있는지 확인하고 명령을 실행 dnf repolist 하여 오류를 표시하지 않습니다.

    sudo dnf repolist all

참고

/etc/yum.conf 또는 /etc/dnf.confyum --config='https://rhelimage.blob.core.windows.net/repositories/rhui-x-x-x-x install rhui-azure-rhel-X-X-X에서 프록시를 사용하는 경우 프록시 설정이 포함되지 않으므로 명령이 작동하지 않습니다. 이 경우 다음 명령을 사용합니다.

sudo wget https://rhelimage.blob.core.windows.net/repositories/rhui-microsoft-azure-rhelX-X-X-X.config
sudo mv rhui-microsoft-azure-rhelX-X-X-X.config /etc/yum.repos.d
sudo yum install rhui-azure-rhel-X-X-X

및 rhui-azure-rhel-X-X-X 를 적절하게 교체 rhui-microsoft-azure-rhelX-X-X-X 합니다.

RHEL 9 SAP/HANA RHUI 패키지 설치

SAP 이미지 유형의 탭을 선택하여 해당 지침을 확인합니다.

다음 단계는 OS 버전이 에 대해 RHEL 9.0SAP에서 지원하는 사용 가능한 최신 버전보다 이전이고 제품 이미지를 사용하여 RHEL-SAP-APPS VM을 만든 경우에 적용됩니다.

  1. rhui-azure-rhel9-sapapps 명령을 실행하여 패키지를 설치합니다.dnf install

    sudo dnf --config='https://rhelimage.blob.core.windows.net/repositories/rhui-microsoft-azure-rhel9-sapapps.config' install rhui-azure-rhel9-sapapps

  2. 수준을 잠급 수 releasever 있습니다. 현재 9.0 또는 9.2여야 합니다.

    sudo sh -c 'echo 9.2 > /etc/dnf/vars/releasever'

  3. 해당 리포지토리를 사용할 수 있는지 확인하고 오류가 표시되지 않습니다. 이렇게 하려면 명령을 실행합니다.dnf repolist

    sudo dnf repolist all

참고

/etc/yum.conf 또는 /etc/dnf.confyum --config='https://rhelimage.blob.core.windows.net/repositories/rhui-x-x-x-x install rhui-azure-rhel-X-X-X에서 프록시를 사용하는 경우 프록시 설정이 포함되지 않으므로 명령이 작동하지 않습니다. 이 경우 다음 명령을 사용합니다.

sudo wget https://rhelimage.blob.core.windows.net/repositories/rhui-microsoft-azure-rhelX-X-X-X.config
sudo mv rhui-microsoft-azure-rhelX-X-X-X.config /etc/yum.repos.d
sudo yum install rhui-azure-rhel-X-X-X

및 rhui-azure-rhel-X-X-X 를 적절하게 교체 rhui-microsoft-azure-rhelX-X-X-X 합니다.

원인 4: SSL CA 인증서가 없습니다.

ca-bundle.crt 인증서 파일이 수동으로 삭제되었거나, 손상되었거나, 오래되었습니다.

명령을 실행 yum 하려고 할 때 다음 출력과 유사한 오류 메시지가 표시될 수 있습니다.

# yum repolist  
Loaded plugins: langpacks, product-id, search-disabled-repos  
rhui-rhel-X-server-dotnet-rhui FAILED  
https://rhui-3.microsoft.com/pulp/repos//content/dist/rhel/rhui/server/X/XServer/x86_64/dotnet/1/os/repodata/70b2edf9a115dffa42d4dd66ba77e77bc3cad45d1143ed02df72ea58c92b59b5-primary.sqlite.bz2: [Errno 14] curl#77 - "Problem with the SSL CA cert (path? access rights?)"
Trying other mirror.

해결 방법 4: CA 인증서 패키지 업데이트 또는 다시 설치

  1. 리포지토리 액세스 권한과 동일한 Red Hat 버전 및 릴리스가 있는 다른 VM에서 최신 ca-certificates-XXXX.X.XX-XX.elX_X.noarch.rpm 패키지를 다운로드합니다. 그런 다음, 영향을 받는 VM에 패키지를 복사합니다.

    sudo yumdownloader ca-certificates
sudo scp ca-certificates-XXXX.X.XX-XX.elX_X.noarch.rpm <user-name>@<affected-VM-IP-address>:/tmp

    참고

    해당 사용자 및 IP 주소 자리 표시자를 바꿔야 합니다. 또한 그에 따라 패키지 이름 ca-certificates-XXXX.X.XX-XX.elX_X.noarch.rpm을 바꿔야 합니다.

  2. 영향을 받는 VM에 복사한 ca-certificate 후 패키지를 업데이트, 설치 또는 다시 설치합니다.

    1. 패키지가 이미 설치되어 있는지 확인합니다.

      sudo rpm -qa | grep "ca-certificates"

      • 패키지가 누락된 경우 명령을 실행하여 설치합니다 yum install .

        sudo yum install ca-certificates-*.noarch.rpm --disablerepo=*

      • 패키지가 여전히 설치되어 있는 경우 명령을 실행 yum reinstall 하여 다시 설치합니다.

        sudo yum reinstall ca-certificates-*.noarch.rpm --disablerepo=*

    2. 해당 인증서를 다시 생성하거나 업데이트하려면 update-ca-trust 명령을 실행합니다.

      sudo update-ca-trust

원인 5: RHEL 버전 8 또는 9의 확인 오류("CA 인증서 키가 너무 약합니다")

시스템은 2048비트 RSA 키를 사용하여 서명된 인증서가 포함된 서버에 연결하려고 시도합니다. 그러나 시스템에는 해당 암호화 알고리즘을 FUTURE 금지하는 정책 설정이 있습니다. 다음 오류 메시지는 /var/log/messages 또는 /var/log/dnf.log 파일에 표시됩니다.

2023-03-13T19:07:55+0000 DEBUG error: Curl error (60): SSL peer certificate or SSH remote key was not OK for https://rhui4-1.microsoft.com/pulp/repos/content/dist/rhel9/rhui/9/x86_64/supplementary/os/repodata/repomd.xml [SSL certificate problem: CA certificate key too weak] (https://rhui4-1.microsoft.com/pulp/repos/content/dist/rhel9/rhui/9/x86_64/supplementary/os/repodata/repomd.xml).

 - Curl error (58): Problem with the local SSL certificate for https://rhui-2.microsoft.com/pulp/repos/content/e4s/rhel8/rhui/8.4/x86_64/sap/os/repodata/repomd.xml [could not load PEM client certificate, OpenSSL error error:140AB18F:SSL routines:SSL_CTX_use_certificate:ee key too small, (no key found, wrong pass phrase, or wrong file format?)]

기본 시스템 정책 설정은 입니다 DEFAULT. 이 시나리오에서는 기본 설정이 에서 DEFAULT 또는 CUSTOM로 FUTURE 변경되었습니다. 이 FUTURE 정책은 SHA-1, RSA 및 Diffie-Hellman과 같은 2048비트를 사용하는 일부 알고리즘을 사용하지 않도록 설정합니다. 정책은 CUSTOM 이러한 알고리즘을 사용하지 않도록 설정할 수도 있습니다. 현재 정책 설정 모드를 식별하려면 다음 update-crypto-policies 명령을 실행합니다.

sudo update-crypto-policies --show

DEFAULT:FUTURE

해결 방법 5: 기본 암호화 시스템 정책으로 되돌리기

다음 단계에 따라 암호화를 DEFAULT 시스템 정책 설정으로 되돌려 갑니다.

  1. 명령을 실행하여 시스템 정책 설정을 다시 로 DEFAULT 변경합니다.update-crypto-policies

    sudo update-crypto-policies --set DEFAULT

  2. 명령을 다시 실행하여 정책 변경이 update-crypto-policies 수행되었는지 확인합니다.

    sudo update-crypto-policies --show

  3. 다음 명령을 실행하여 오류가 수정되었는지 테스트합니다 dnf install .

    sudo dnf install <package-name>

암호화 정책에 대한 자세한 내용은 RHEL 8의 강력한 암호화 기본값 및 약한 암호화 알고리즘의 사용 중단을 참조하세요.

타사 정보 고지 사항

이 문서에 나와 있는 다른 공급업체 제품은 Microsoft와 무관한 회사에서 제조한 것입니다. Microsoft는 이들 제품의 성능이나 안정성에 관하여 명시적이든 묵시적이든 어떠한 보증도 하지 않습니다.

도움을 요청하십시오.

질문이 있거나 도움이 필요한 경우 지원 요청을 생성하거나Azure 커뮤니티 지원에 문의하세요. Azure 피드백 커뮤니티에 제품 피드백을 제출할 수도 있습니다.