Vous pouvez modifier les fichiers de configuration de l'agent VMware Aria Operations for Logs afin de modifier la configuration SSL, d'ajouter un chemin d'accès aux certificats racines approuvés et de décider si l'agent accepte les certificats.

Cette procédure s'applique aux agents VMware Aria Operations for Logs pour Windows et Linux.

Conditions préalables

Pour l'agent VMware Aria Operations for Logs Linux :
  • Connectez-vous en tant que root ou utilisez sudo pour exécuter des commandes de console.
  • Connectez-vous à la machine Linux sur laquelle vous avez installé l'agent VMware Aria Operations for Logs Linux, ouvrez une console et exécutez pgrep liagent pour vérifier que l'agent VMware Aria Operations for Logs Linux est installé et fonctionne.
Pour l'agent VMware Aria Operations for Logs Windows :

  • Connectez-vous à la machine Windows sur laquelle vous avez installé VMware Aria Operations for Logs Windows Agent et démarrez le gestionnaire de services pour vérifier que le service VMware Aria Operations for Logs Agent est installé.

Procédure

  1. Accédez au dossier contenant le fichier liagent.ini.
    Système d'exploitation Chemin
    Linux /var/lib/loginsight-agent/
    Windows %ProgramData%\VMware\Log Insight Agent
  2. Ouvrez le fichier liagent.ini dans un éditeur de texte quelconque.
  3. Ajoutez les clés suivantes à la section [server]du fichier liagent.ini.
    Clé Description
    ssl_ca_path

    Remplace le chemin de stockage par défaut des certificats signés par une autorité de certification racine, qui sont utilisés pour vérifier les certificats d'homologue de connexion.

    Lorsque vous fournissez un chemin d'accès pour ssl_ca_path, vous remplacez les valeurs par défaut des agents Linux et Windows. Vous pouvez utiliser un fichier dans lequel plusieurs certificats au format PEM sont concaténés ou un répertoire qui contient des certificats au format PEM et portant des noms au format hash.0. (Reportez-vous à l'option -hash de l'utilitaire x509.)

    Linux : si aucune valeur n'est spécifiée, l'agent utilise la valeur attribuée à la variable d'environnement LI_AGENT_SSL_CA_PATH. Si cette valeur n'est pas présente, l'agent tente de charger des certificats approuvés à partir du fichier /etc/pki/tls/certs/ca-bundle.crt ou /etc/ssl/certs/ca-certificates.crt.

    Windows : si aucune valeur n'est spécifiée, l'agent utilise la valeur spécifiée par la variable d'environnement LI_AGENT_SSL_CA_PATH. Si cette valeur n'est pas présente, l'agent VMware Aria Operations for Logs Windows charge des certificats à partir du magasin de certificats racine de Windows.

    ssl_accept_any Indique si des certificats sont acceptés par l'agent VMware Aria Operations for Logs. Les valeurs possibles sont yes, 1, no ou 0. Lorsque la valeur est définie sur yes ou 1, l'agent accepte n'importe quel certificat du serveur et établit une connexion sécurisée pour l'envoi des données. La valeur par défaut est no.
    ssl_accept_any_trusted Les valeurs possibles sont yes, 1, no ou 0. Si l'agent VMware Aria Operations for Logs dispose d'un certificat signé approuvé par une autorité de certification stocké localement et reçoit un certificat valide différent signé par une autre autorité de certification approuvée, il vérifie l'option de configuration. Si la valeur est définie sur yes ou 1, l'agent accepte le nouveau certificat valide. Si la valeur est définie sur no ou sur 0, il rejette le certificat et met fin à la connexion. La valeur par défaut est no.
    ssl_cn Common Name du certificat auto-signé.

    La valeur par défaut est VMware vCenter Log Insight. Vous pouvez définir un Common Name personnalisé devant être vérifié par rapport au champ Common Name du certificat. L'agent VMware Aria Operations for Logs compare le champ Common Name du certificat reçu avec le nom d'hôte spécifié pour la clé hostname dans la section [server]. En l'absence de correspondance, l'agent vérifie la zone de texte Common Name par rapport à la clé ssl_cn dans le fichier liagent.ini. Si les valeurs correspondent, l'agent VMware Aria Operations for Logs accepte le certificat.

    Note : Ces clés sont ignorées si SSL est désactivé.
  4. Enregistrez et fermez le fichier liagent.ini.

Exemple : Configuration

Vous trouverez ci-dessous un exemple de la configuration SSL pour les certificats signés par une autorité de certification. 

proto=cfapi
port=9543
ssl=yes
ssl_ca_path=/var/lib/loginsight-agent/cert
ssl_accept_any=no
ssl_accept_any_trusted=yes
ssl_cn=LOGINSIGHT

Voici un exemple de configuration SSL pour l'acceptation de tout type de certificats, y compris les certificats auto-signés.

proto=cfapi
port=9543
ssl=yes
ssl_accept_any=yes