可以使用 vSphere 证书管理器生成 CSR 并将该 CSR 发送到企业或第三方 CA 进行签名。然后,可以将 VMCA root 证书替换为自定义签名证书,并将所有现有证书替换为自定义 CA 签名的证书。

关于此任务

在嵌入式安装或外部 Platform Services Controller 中运行 vSphere 证书管理器以将 VMCA root 证书替换为自定义签名证书。

先决条件

  • 生成证书链。

  • 收集所需的信息。

    • administrator@vsphere.local 的密码。

    • Root 的有效自定义证书(.crt 文件)。

    • 有效的自定义 root 密钥(.key 文件)。

过程

  1. 在嵌入式安装或外部 Platform Services Controller 上启动 vSphere 证书管理器,然后选择选项 2。
  2. 再次选择选项 2,开始证书替换并根据提示提供信息。
    1. 出现提示后指定 root 证书的完整路径。
    2. 如果是首次替换证书,则系统将提示您输入用于计算机 SSL 证书的信息。

      此信息包括计算机所需的 FQDN 并存储在 certool.cfg 文件中。

  3. 如果在多节点部署中替换 Platform Services Controller 上的 root 证书,则针对每个 vCenter Server 节点执行以下步骤。
    1. vCenter Server 节点上重新启动服务。
    2. 通过使用选项 3 (Replace Machine SSL certificate with VMCA Certificate) 和选项 6 (Replace Solution user certificates with VMCA certificates) 在 vCenter Server 实例上重新生成所有证书。

    替换证书时,VMCA 会通过整个链进行签名。

下一步做什么

如果从 vSphere 5.x 环境升级,可能必须替换 vmdir 中的 vCenter Single Sign-On 证书。请参见在混合模式环境中替换 VMware Directory Service 证书