VMware Cloud Director 環境内の NSX Data Center for vSphere ソフトウェアは、Edge ゲートウェイに設定した SSL VPN-Plus および IPsec VPN トンネルで Secure Sockets Layer (SSL) 証明書を使用する機能を提供します。
VMware Cloud Director 環境の Edge ゲートウェイでは、自己署名証明書、認証局 (CA) 署名付き証明書、および CA によって生成、署名された証明書がサポートされます。証明書署名リクエスト (CSR) の生成、証明書のインポート、インポートした証明書の管理、証明書失効リスト (CRL) の作成を実行できます。
組織仮想データセンターでの証明書の使用について
VMware Cloud Director 組織仮想データセンターの以下のネットワーク領域について、証明書を管理できます。
- 組織仮想データセンター ネットワークとリモート ネットワークの間の IPsec VPN トンネル
- プライベート ネットワークのリモート ユーザーと組織仮想データセンター内の Web リソースの間の SSL VPN-Plus 接続
- 2 つの NSX Data Center for vSphere Edge ゲートウェイの間の L2 VPN トンネル
- 組織仮想データセンターでロード バランシングが構成されている仮想サーバおよびプール サーバ
クライアント証明書の使用方法
CAI コマンドまたは REST 呼び出しを通じてクライアント証明書を作成できます。その後、この証明書をリモート ユーザーに配布し、リモート ユーザーが証明書を各自の Web ブラウザにインストールできます。
クライアント証明書の導入の主なメリットは、各リモート ユーザーに関するリファレンス クライアント証明書を保存し、リモート ユーザーが提示するクライアント証明書に照らして確認できるという点にあります。特定のユーザーからの今後の接続を防ぐために、セキュリティ サーバのクライアント証明書のリストからリファレンス証明書を削除することができます。証明書を削除すると、そのユーザーからの接続が拒否されます。
VMware Cloud Director Tenant Portal を使用した Edge Gateway の証明書署名リクエストの生成
認証局 (CA) に署名付き証明書を要求するか、自己署名証明書を作成するには、Edge Gateway の証明書署名リクエスト (CSR) を生成しておく必要があります。
CSR は、SSL 証明書を必要とする NSX Edge Gateway で生成する必要があるエンコードされたファイルです。CSR を使用すると、会社名とドメイン名を識別する情報とともにパブリック キーを送信する方法が標準化されます。
Edge Gateway に保存しておく必要がある、一致するプライベート キーのファイルを使用して CSR を生成します。CSR には、一致するパブリック キーと他の情報（組織の名前、場所、ドメイン名など）が含まれます。
手順
結果
次のタスク
CSR を使用してサービス証明書を作成するには、次の 2 つのオプションのいずれかを使用します。
- CSR を CA に送信して、CA 署名付き証明書を取得します。認証局 (CA) から署名付き証明書を受け取ったら、署名付き証明書をシステムにインポートします。VMware Cloud Director Tenant Portal を使用して Edge Gateway 用に生成された CSR に対応する CA 署名付き証明書をインポートを参照してください。
- CSR を使用して、自己署名証明書を作成します。VMware Cloud Director Tenant Portal を使用した自己署名サービス証明書の構成 を参照してください。
VMware Cloud Director Tenant Portal を使用して Edge Gateway 用に生成された CSR に対応する CA 署名付き証明書をインポート
証明書署名リクエスト (CSR) を生成し、その CSR に基づく CA 署名付き証明書を取得した後、CA 署名付き証明書をインポートして VMware Cloud Director の Edge Gateway で使用できます。
前提条件
手順
- Edge Gateway サービスを開きます。
- プライマリの左側ナビゲーション パネルで [ネットワーク] を選択し、画面上部のナビゲーション バーで [Edge Gateway] を選択します。
- 編集する Edge Gateway を選択し、[サービス] をクリックします。
- [証明書] タブをクリックします。
- 画面上のテーブルで、インポートする CA 署名付き証明書の対象の CSR を選択します。
- 署名付き証明書をインポートします。
- [CSR 用に生成された署名付き証明書] をクリックします。
- CA 署名証明書の PEM データを指定します。
- 参照可能なシステム上の PEM ファイルにデータがある場合は、[アップロード] ボタンをクリックしてそのファイルを参照し、選択します。
- PEM データをコピーして貼り付けることができる場合、[署名付き証明書 (PEM 形式)] フィールドに PEM データを貼り付けます。
-----BEGIN CERTIFICATE----- と -----END CERTIFICATE----- の行を含めます。
- （オプション） 説明を入力します。
- [保持] をクリックします。
注： CA 署名付き証明書内のプライベート キーが、[証明書] 画面で選択した CSR のプライベート キーと一致しない場合、インポート プロセスは失敗します。
結果
次のタスク
必要に応じて、SSL VPN-Plus トンネルまたは IPsec VPN トンネルに CA 署名付き証明書を接続します。VMware Cloud Director Tenant Portal を使用した NSX Data Center for vSphere Edge Gateway の SSL VPN サーバ設定の構成および VMware Cloud Director Tenant Portal での NSX Edge Gateway に対するグローバル IPsec VPN 設定の指定 を参照してください。
VMware Cloud Director Tenant Portal を使用した自己署名サービス証明書の構成
Edge Gateway の VPN 関連の機能で使用するために、Edge Gateway に自己署名サービス証明書を構成できます。また、自己署名証明書を作成、インストール、および管理できます。
サービス証明書が [証明書] 画面で使用可能な場合は、Edge Gateway の VPN 関連の設定を行うときにそのサービスの証明書を指定できます。VPN は、その VPN にアクセスするクライアントに指定されたサービス証明書を提示します。
前提条件
1 つ以上の CSR が Edge Gateway の [証明書] 画面で使用可能になっていること。VMware Cloud Director Tenant Portal を使用した Edge Gateway の証明書署名リクエストの生成を参照してください。
手順
結果
VMware Cloud Director Tenant Portal を使用して SSL 証明書の信頼性検証のための CA 証明書を Edge Gateway に追加
VMware Cloud Director で Edge Gateway に CA 証明書を追加すると、認証のために Edge Gateway に提示された SSL 証明書（通常は Edge Gateway への VPN 接続で使用されるクライアント証明書）の信頼性を検証できます。
通常は、会社または組織のルート証明書を CA 証明書として追加します。一般的な用途は、証明書を使用して VPN クライアントを認証する際の SSL VPN です。クライアント証明書は VPN クライアントに配布でき、VPN クライアントからの接続時にそのクライアント証明書が CA 証明書に対して検証されます。
前提条件
PEM 形式の CA 証明書のデータがあることを確認します。ユーザー インターフェイスで、CA 証明書の PEM データを貼り付けるか、そのデータが格納されている、ネットワークで利用可能なファイルをローカル システム内で参照することができます。
手順
- Edge Gateway サービスを開きます。
- プライマリの左側ナビゲーション パネルで [ネットワーク] を選択し、画面上部のナビゲーション バーで [Edge Gateway] を選択します。
- 編集する Edge Gateway を選択し、[サービス] をクリックします。
- [証明書] タブをクリックします。
- [CA 証明書] をクリックします。
- CA 証明書のデータを提供します。
- 参照可能なシステム上の PEM ファイルにデータがある場合は、[アップロード] ボタンをクリックしてそのファイルを参照し、選択します。
- PEM データのコピーと貼り付けが可能な場合は、[CA 証明書 (PEM 形式)] フィールドに貼り付けます。
-----BEGIN CERTIFICATE----- と -----END CERTIFICATE----- の行を含めます。
- （オプション） 説明を入力します。
- [保持] をクリックします。
結果
VMware Cloud Director Tenant Portal を使用した Edge Gateway への証明書失効リストの追加
証明書失効リスト (CRL) は、発行元の認証局 (CA) から失効と主張されているデジタル証明書のリストです。これを使用すると、失効した証明書を VMware Cloud Director に提示するユーザーを信頼しないように、システムを更新できます。Edge Gateway に CRL を追加できます。
『NSX 管理ガイド』の説明のように、CRL には次の項目が含まれます。
- 失効した証明書と失効の理由
- 証明書の発行日
- 証明書を発行した機関
- 次のリリースの提案日
ある潜在的ユーザーがサーバへのアクセスを試みた場合、サーバは、その特定のユーザーに関する CRL エントリに基づいてアクセスの許可または拒否を行います。
手順
- Edge Gateway サービスを開きます。
- プライマリの左側ナビゲーション パネルで [ネットワーク] を選択し、画面上部のナビゲーション バーで [Edge Gateway] を選択します。
- 編集する Edge Gateway を選択し、[サービス] をクリックします。
- [証明書] タブをクリックします。
- [CRL] をクリックします。
- CRL のデータを提供します。
- 参照可能なシステム上の PEM ファイルにデータがある場合は、[アップロード] ボタンをクリックしてそのファイルを参照し、選択します。
- PEM データのコピーと貼り付けが可能な場合は、[CRL (PEM 形式)] フィールドに貼り付けます。
-----BEGIN X509 CRL----- と -----END X509 CRL----- の行を含めます。
- （オプション） 説明を入力します。
- [保持] をクリックします。
結果
VMware Cloud Director Tenant Portal を使用した Edge Gateway へのサービス証明書の追加
Edge Gateway にサービス証明書を追加すると、これらの証明書が Edge Gateway の VPN 関連設定で使用できるようになります。[証明書] 画面にサービス証明書を追加できます。
前提条件
手順
結果
[サービス証明書] タイプの証明書が画面上のリストに表示されます。Edge Gateway の VPN 関連の設定を行うときに、このサービス証明書を選択できるようになりました。
