可以为 vRealize Orchestrator Appliance 设置自定义 TLS 证书。

vRealize Orchestrator Appliance 包含一个基于设备的网络设置自动生成的受信任层安全性 (TLS) 证书。

可以将 vRealize Orchestrator Appliance 配置为使用现有的自定义 TLS 证书。可以通过将相关的 PEM 文件从本地计算机导入到 vRealize Orchestrator Appliance 来设置证书。也可以通过将证书链直接复制到 vRealize Orchestrator Appliance 来设置自定义 TLS 证书。这两个过程都要求运行 ./deploy.sh 脚本，然后才能在 vRealize Orchestrator 部署中使用新的 TLS 证书。

有关生成新的自定义 TLS 证书的信息，请参见为 vRealize Orchestrator 生成自定义 TLS 证书。

前提条件

  • 确认已为 vRealize Orchestrator Appliance 启用 SSH 访问。请参见激活或停用对 vRealize Orchestrator Appliance 的 SSH 访问。
  • 确认包含 TLS 证书的 PEM 文件按设定的顺序包含以下组件：
    1. 证书的私钥。
    2. 主证书。
    3. 一个或多个证书颁发机构 (CA) 中间证书（如果适用）。
    4. 根 CA 证书。
    例如，TLS 证书可以具有以下结构： 
     -----BEGIN RSA PRIVATE KEY-----
<Private Key>
-----END RSA PRIVATE KEY-----
-----BEGIN CERTIFICATE-----
<Primary TLS certificate>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<Intermediate certificate>
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
<Root CA certificate>
-----END CERTIFICATE-----

过程

  1. 通过将 PEM 文件导入到 vRealize Orchestrator Appliance 来设置证书。
    1. 通过从 SSH shell 运行安全复制 (SCP) 命令，从本地计算机导入证书 PEM。
      对于 Linux，可以使用终端 SCP 命令： 
      scp ~/PEM_local_filepath/your_cert_file.PEM root@orchestrator_FQDN_or_IP:/PEM_orchestrator_filepath/your_cert_file.PEM
      对于 Windows，可以使用 PuTTY 客户端 PSCP 命令： 
      pscp C:\PEM_local_filepath\your_cert_file.PEM root@<orchestrator_FQDN_or_IP>:/PEM_orchestrator_filepath/your_cert_file.PEM
    2. 通过 SSH 以 root 用户身份登录到 vRealize Orchestrator Appliance 命令行。
    3. 运行 vracli certificate ingress --set your_cert_file.PEM 命令。
  2. （可选） 通过将证书链直接复制到设备来设置证书。
    1. 通过 SSH 以 root 用户身份登录到 vRealize Orchestrator Appliance 命令行。
    2. 运行 vracli certificate ingress --set stdin 命令。
    3. 复制并粘贴证书链，然后按 Ctrl+D。
  3. 要应用新的 TLS 证书，请运行部署脚本。
    1. 导航到 /opt/scripts/ 目录。 
      cd /opt/scripts/
    2. 运行 ./deploy.sh 脚本。
    重要说明： 请勿中断部署脚本。脚本运行完成后，您会收到以下消息： 
    Prelude has been deployed successfully.To access, go to https://your_orchestrator_FQDN

结果

您已为 vRealize Orchestrator Appliance 设置自定义 TLS 证书。

下一步做什么

要确认应用了新证书链，请运行 vracli certificate ingress --list 命令。