SQL Server に SSL 接続を使用すると、 ePolicy Orchestrator 5.9.x または 5.3.3 へのインストールまたはアップグレードが失敗する

技術的な記事 ID: KB87731
最終更新: 2022-03-21 20:44:33 Etc/GMT

環境

McAfee ePolicy Orchestrator (ePO) 5.9.x, 5.3.3 (on-premises)
McAfee Web Gateway (MWG) 7.7, 7.6

問題 1

SSL 接続を介して SQL に接続する ePO 5.9.x または 5.3.3 の新規インストールまたはアップグレードが失敗し、 core-install.log または core- upgrade.log の次のようなエラーが発生します。

BUILD FAILED
この行の実行中に次のエラーが発生しました :
java.sql.SQLException: Network error IOException: Error creating premaster secret.

エラーメッセージの正確な表現は、使用される証明書の種類によって異なる場合があります。

さらに、次のポップアップエラーが表示されます。

セットアップは、セキュリティで保護された接続を介して "" に接続できません。

問題 2

ePO 5.9.x または 5.3.3 へのアップグレード後、 SSL 証明書を使用する登録済みサーバーの一部は接続できなくなります。たとえば、 SSL 接続を使用する登録済み LDAP サーバーがある場合、その接続は失敗する可能性があります。

原因

ePO 5.9.x および 5.3.3 には、公開されたセキュリティ脆弱性に対処するために必要な更新された RSA BSAFE ライブラリが同梱されています。これらの更新されたライブラリは、セキュリティ要件が高まり、 SQL サーバ（または他のリモートサーバ）によって使用されるサーバ証明書、または SSL ハンドシェイク中にサーバによって選択された暗号スイートによって特定の SSL 接続を拒否します。

これは、 Windows オペレーティングシステムが最新のサービスパックやホットフィックスで最新版になっていないことが原因です。サーバー証明書の公開鍵サイズが RSA BSAFE ライブラリによって保護されていないと判断された場合にも発生します。

解決策 1

サードパーティのツール IISCrypto を使用して、SQLサーバー上の暗号スイートを手動で並べ替えます。

お客様はこのツールをダウンロードすることができます。www.nartac.com/Products/IISCryptoそして、 ePO データベースをホストする SQL サーバ上で実行します。それはインストールを必要としないスタンドアロンのツールです。ベストプラクティステンプレートを使用して暗号スイートを並べ替えるか、手動で暗号スイートの順序を選択する 2 つのアクションのいずれかを選択できます。

IISCrypto ベストプラクティステンプレートを使用して暗号スイートの順序を設定するには、次の手順を実行します。

ツールを起動し、使用許諾契約に同意します。
On the left side, select the Cipher Suites section.
Click the Best Practices button.
メッセージが表示されたら、[OK]をクリックしてから[適用]をクリックします。

再起動が必要であることを示すダイアログが表示されます。
システムを再起動します。

IISCrypto で暗号スイートの順序を手動で設定するには :

ツールを起動し、使用許諾契約に同意します。
左側で、 Cipher Suites セクションを選択します。

使用可能な暗号スイートのリストが表示されます。

注:暗号スイートのチェックボックスがグレー表示になっている可能性があります。これは、デフォルト注文が使用中であることを示します。
同じ注文リストに従ってください。https://support.microsoft.com/en-us/help/3161639これらのバージョンの Windows の既定の順序の新しい既定の優先順位のセクションを参照してください。
暗号スイートのチェックボックスがグレーの場合は、それらのいずれかをクリックしてアクティブにします。すべてのチェックボックスが白くなります。
必要に応じて暗号スイートの順序を変更します。上下のボタンを使用し、「適用」をクリックします。

ダイアログが表示されます。再起動が必要であることが示されます。
システムを再起動します。

解決策 2

IICrypto などのサードパーティのツールが環境内で使用できない場合は、 Windows グループポリシーを使用してこの変更を手動で行うこともできます。詳細な手順については、以下を参照してください。

https://msdn.microsoft.com/en-us/library/windows/desktop/bb870930(v=vs.85).aspx

暗号スイートリストの優先順位については、次の記事で、これらのバージョンの Windows の新しい既定の優先順位のセクションの順序リストを参照してください。

https://support.microsoft.com/en-us/help/3161639

解決策 3

SQL サーバーまたは他の登録済みサーバーによって使用される証明書をインストールまたは更新します。 SQL サーバーへのセキュリティで保護された接続を使用する方法の詳細については、次を参照して下さい。KB84628

注 : SSL を使用している場合は、他の登録済みサーバーの種類にも影響する可能性があります。たとえば、登録済みの LDAP サーバーがあり、セキュリティ保護された接続を使用している場合、 LDAP サーバーによって提供された証明書が RSA 1024 ビットの公開キーを使用する場合、接続は失敗します。このシナリオの解決策は、 1024 ビットの RSA 公開鍵を使用しないように LDAP サーバー上の証明書を更新することです。

免責事項

この記事の内容のオリジナルは英語です。英語の内容と翻訳に相違がある場合、常に英語の内容が正確です。一部の内容は Microsoft の機械翻訳による訳文となっています。

影響を受ける製品

言語:

この記事は、次の言語で表示可能です:

Knowledge Center

SQL Server に SSL 接続を使用すると、 ePolicy Orchestrator 5.9.x または 5.3.3 へのインストールまたはアップグレードが失敗する

環境

問題 1

問題 2

原因

解決策 1

解決策 2

解決策 3

関連情報

免責事項

影響を受ける製品

言語:

Title

Title

Knowledge Center

SQL Server に SSL 接続を使用すると、 ePolicy Orchestrator 5.9.x または 5.3.3 へのインストールまたはアップグレードが失敗する

環境

問題 1

問題 2

原因

解決策 1

解決策 2

解決策 3

関連情報

免責事項

影響を受ける製品

言語:

地域を選択してください

Title

Title