Pour remplacer le certificat de signature STS par défaut, vous devez d'abord générer un nouveau certificat et l'ajouter au keystore Java. Cette procédure explique les étapes dans une installation Windows.

Pourquoi et quand exécuter cette tâche

Remarque :

Ce certificat est valable dix ans et n'est pas un certificat externe. Ne remplacez pas ce certificat à moins que la stratégie de sécurité de votre entreprise ne l'exige.

Si vous utilisez un dispositif virtuel, consultez Générer un nouveau certificat de signature STS sur le dispositif.

Procédure

  1. Créez un répertoire pour contenir le nouveau certificat.
    cd C:\ProgramData\VMware\vCenterServer\cfg\sso\keys\
    mkdir newsts
    cd newsts
  2. Copiez le fichier certool.cfg et placez-le dans ce nouveau répertoire.
    copy "C:\Program Files\VMware\vCenter Server\vmcad\certool.cfg" .
  3. Ouvrez votre copie du fichier certool.cfg et modifiez-la afin d'utiliser l'adresse IP locale et le nom d'hôte de Platform Services Controller.

    La saisie d'un pays est obligatoire. Le nom de ce pays doit comporter deux caractères. Inspirez-vous de l'exemple suivant.

    #
    # Template file for a CSR request
    #
    
    # Country is needed and has to be 2 characters
    Country = US
    Name = STS
    Organization = ExampleInc
    OrgUnit = ExampleInc Dev
    State = Indiana
    Locality = Indianapolis
    IPAddress = 10.0.1.32
    Email = chen@exampleinc.com
    Hostname = homecenter.exampleinc.local
  4. Générez la clé.
    "C:\Program Files\VMware\vCenter Server\vmcad\certool.exe" --server localhost --genkey --privkey=sts.key --pubkey=sts.pub
  5. Générez le certificat.
    "C:\Program Files\VMware\vCenter Server\vmcad\certool.exe" --gencert --cert=newsts.cer --privkey=sts.key --config=certool.cfg
  6. Convertissez le certificat au format PK12.
    "C:\Program Files\VMware\vCenter Server\openSSL\openssl.exe" pkcs12 -export -in newsts.cer -inkey sts.key -certfile ..\ssoserverRoot.crt -name "newstssigning" -passout pass:changeme -out newsts.p12
    
  7. Ajoutez le certificat au magasin de clés Java (JKS).
    "C:\Program Files\VMware\vCenter Server\jre\bin\keytool.exe" -v -importkeystore -srckeystore newsts.p12 -srcstoretype pkcs12 -srcstorepass changeme -srcalias newstssigning -destkeystore root-trust.jks -deststoretype JKS -deststorepass testpassword -destkeypass testpassword
    "C:\Program Files\VMware\vCenter Server\jre\bin\keytool.exe" -v -importcert -keystore root-trust.jks -deststoretype JKS -storepass testpassword -keypass testpassword -file ..\ssoserverRoot.crt -alias root-ca

Que faire ensuite

Vous pouvez à présent importer le nouveau certificat. Reportez-vous à Actualiser le certificat STS.