Wenn mehrere virtuelle VMware Identity Manager-Appliances in einem Cluster eingesetzt werden, stellen Sie sicher, dass die folgenden Anforderungen erfüllt sind.

Richtlinien zum Erstellen eines Zertifikats für VMware Identity Manager 3.3.4 und höher

  • Generieren Sie eine Zertifikatssignieranforderung (Certificate Signing Request, CSR) und beziehen Sie ein gültiges, signiertes SSL-Zertifikat von einer Zertifizierungsstelle (CA). Das Zertifikat kann entweder eine PEM- oder eine PFX-Datei sein.
  • Verwenden Sie für den Common Name-Teil des Antragsteller-DN den vollqualifizierten Domänennamen (FQDN), mit dem die Benutzer auf den VMware Identity Manager-Dienst zugreifen. Wenn sich die VMware Identity Manager-Appliance hinter einem Lastausgleichsdienst befindet, ist dieser FQDN-Name der Name des Lastausgleichsdiensts.
  • Wenn SSL nicht am Lastausgleichsdienst endet, muss das von dem Dienst verwendete SSL-Zertifikat die alternativen Antragstellernamen (Subject Alternative Names, SANs) für alle vollqualifizierten Domänennamen (FQDN) im VMware Identity Manager-Cluster enthalten. Durch die Einbeziehung des SAN können die Knoten innerhalb des Clusters Anforderungen untereinander stellen. Enthält auch ein SAN für den FQDN-Hostnamen, den Benutzer für den Zugriff auf den VMware Identity Manager-Dienst neben der Verwendung für den allgemeinen Namen verwenden, da dies bei einigen Browsern erforderlich ist.

Die zu verwendenden Attribute bei der Verwendung von Zertifikaten mit VMware Identity Manager 3.3.4 und höher

Clustertyp Empfehlungen und Support
Cluster mit Einzelmandantenmodus
Empfohlen
  • Wildcard-CA-Zertifikat, das zum Lastausgleichsdienst und der Knotendomäne passt
Unterstützt
  • Selbstsigniertes Wildcard-Zertifikat, das zum Lastausgleichsdienst und zum Domänenknoten passt
  • Selbstsigniertes Zertifikat mit Hinzufügung von Lastenausgleichsdienst und Knoten-FQDN des Host-SANs
Cluster mit aktivierter Multi-Tenancy
Empfohlen
  • Wildcard-CA-Zertifikat, das zum Lastausgleichsdienst und der Knotendomäne passt
Unterstützt
  • Selbstsigniertes Wildcard-Zertifikat, das zum Lastausgleichsdienst und zum Domänenknoten passt
  • Selbstsigniertes Zertifikat mit Hinzufügung von Lastausgleichsdienst, Knoten und allen Mandanten-Alias-Hostnamen SANs