Mithilfe von vSphere Certificate Manager können Zertifikatssignieranforderungen (Certificate Signing Requests, CSRs) generiert werden. Übermitteln Sie diese CSRs zur Unterzeichnung an Ihre Unternehmenszertifizierungsstelle oder an eine externe Zertifizierungsstelle. Sie können die signierten Zertifikate mit den unterschiedlichen unterstützten Zertifikatsersetzungsvorgängen verwenden.

Vorbereitungen

vSphere Certificate Manager fordert Sie zur Eingabe von Informationen auf. Die Eingabeaufforderungen sind abhängig von Ihrer Umgebung und vom Zertifikatstyp, den Sie ersetzen möchten.

Beim Generieren von Zertifikatssignieranforderungen werden Sie generell aufgefordert, das Kennwort für den Benutzer „administrator@vsphere.local“ bzw. den Administrator für die vCenter Single Sign On-Domäne, mit der Sie eine Verbindung herstellen, einzugeben.

Warum und wann dieser Vorgang ausgeführt wird

  • Sie können vSphere Certificate Manager zum Generieren der CSR verwenden.

  • Wenn Sie die CSR manuell erstellen möchten, muss das Zertifikat, das Sie zum Signieren senden, die folgenden Anforderungen erfüllen.

    • Schlüsselgröße: mindestens 2.048 Bit

    • PEM-Format. VMware unterstützt PKCS8 und PKCS1 (RSA-Schlüssel). Wenn Schlüssel zu VECS hinzugefügt werden, werden sie in PKCS8 konvertiert.

    • x509 Version 3

    • Wenn Sie benutzerdefinierte Zertifikate verwenden, muss die Zertifizierungsstellenerweiterung für Stammzertifikate auf „true“ festgelegt werden, und „cert sign“ muss in der Liste der Anforderungen vorhanden sein.

    • CRL-Signatur muss aktiviert sein.

    • „Erweiterte Schlüsselverwendung“ darf keine Clientauthentifizierung oder Serverauthentifizierung enthalten.

    • Keine explizite Beschränkung der Zertifikatskettenlänge. VMCA verwendet den OpenSSL-Standardwert von 10 Zertifikaten.

    • Zertifikate mit Platzhalterzeichen oder mehr als einem DNS-Namen werden nicht unterstützt.

    • Untergeordnete Zertifizierungsstellen von VMCA können nicht erstellt werden.

      Im VMware Knowledge Base-Artikel 2112009, „Creating a Microsoft Certificate Authority Template for SSL certificate creation in vSphere 6.0“, finden Sie ein Beispiel für die Verwendung der Microsoft-Zertifizierungsstelle.

Prozedur

  1. Starten Sie vSphere Certificate Manager und wählen Sie Option 2 aus.

    Anfänglich verwenden Sie diese Option zum Generieren der CSR, nicht zum Ersetzen von Zertifikaten.

  2. Geben Sie, wenn Sie dazu aufgefordert werden, das Kennwort sowie die IP-Adresse oder den Hostnamen für den Platform Services Controller ein.
  3. Wählen Sie Option 1 aus, um die Zertifikatssignieranforderung zu generieren, und befolgen Sie die Anweisungen.

    Im Rahmen dieses Vorgangs müssen Sie ein Verzeichnis angeben. Certificate Manager fügt das zu signierende Zertifikat (*.csr-Datei) und die entsprechende Schlüsseldatei (*.key-Datei) in das Verzeichnis ein.

  4. Senden Sie das Zertifikat zur Unterzeichnung an die Unternehmenszertifizierungsstelle oder die externe Zertifizierungsstelle und legen Sie für die Datei folgenden Namen fest: root_signing_cert.cer.
  5. Kombinieren Sie in einem Texteditor die Zertifikate wie folgt.
    -----BEGIN CERTIFICATE-----
    Signed VMCA root certificate
    -----END CERTIFICATE-----
    -----BEGIN CERTIFICATE-----
    CA intermediate certificates
    -----END CERTIFICATE-----
    -----BEGIN CERTIFICATE-----
    Root certificate of enterprise or external CA
    -----END CERTIFICATE-----
  6. Speichern Sie die Datei unter dem Namen root_signing_chain.cer.

Nächste Maßnahme

Ersetzen Sie das vorhandene Rootzertifikat durch das verkettete Rootzertifikat. Weitere Informationen hierzu finden Sie unter Ersetzen des VMCA-Rootzertifikats durch benutzerdefiniertes Signierungszertifikat und Ersetzen aller Zertifikate.