Microsoft 以外の CA 証明書を生成してインストールする場合は、証明書署名リクエスト (CSR) を SDDC Manager ダッシュボード からダウンロードして、サードパーティ CA によって手動で署名しておく必要があります。その後、SDDC Manager ダッシュボード のコントロールを使用して証明書をインストールできます。

前提条件

認証局の構成ファイルを構成し、 .tar.gz ファイル形式でパッケージ化していることを確認します。このアーカイブの内容は、次の構造に従う必要があります。
  • トップレベルのディレクトリの名前は、[Inventory (インベントリ)] > [Workload Domains (ワークロード ドメイン)] 画面のリストに表示されるドメインの名前と完全に一致する必要があります。例：MGMT。
  • PEM でエンコードされたルート CA 証明書チェーン ファイル (rootca.crt) は、このトップレベルのディレクトリ内に存在する必要があります。
  • このディレクトリには、コンポーネント リソースごとに 1 つのサブディレクトリが含まれている必要があります。

    各サブディレクトリの名前は、[Workload Domains (ワークロード ドメイン)] > [Security (セキュリティ)] タブの [Resource Hostname (リソース ホスト名)] 列に表示される、対応するコンポーネントのリソース ホスト名と完全に一致する必要があります。

    たとえば、nsxManager.vrack.vsphere.local、vcenter-1.vrack.vsphere.local などです。

  • 各サブディレクトリには対応する .csr ファイルが含まれている必要があります。このファイルの名前は、[Workload Domains (ワークロード ドメイン)] > [Security (セキュリティ)] タブの [Resource Type (リソースのタイプ)] 列に表示されるリソースと完全に一致する必要があります。

    たとえば、nsxManager.vrack.vsphere.local サブディレクトリには、nsxManager.vrack.vsphere.local.csr ファイルが含まれます。

  • 各サブディレクトリには対応する .crt ファイルが含まれている必要があります。このファイルの名前は、[Workload Domains (ワークロード ドメイン)] > [Security (セキュリティ)] タブの [Resource Type (リソースのタイプ)] 列に表示されるリソースと完全に一致する必要があります。

    たとえば、nsxManager.vrack.vsphere.local サブディレクトリには、nsxManager.vrack.vsphere.local.crt ファイルが含まれます。

注: : すべてのリソースとホスト名の値は、 [Inventory (インベントリ)] > [Workload Domains (ワークロード ドメイン)] > [Security (セキュリティ)] タブのリストにあります。

手順

  1. SDDC Manager ダッシュボード で、[Inventory (インベントリ)] > [Workload Domains (ワークロード ドメイン)] に移動します。
    [Workload Domains（ワークロード ドメイン）] 画面には、すべてのワークロード ドメインの情報が表示されます。
  2. ドメインのリストで、ワークロード ドメインの名前をクリックして、そのドメインの詳細画面を開きます。
    ワークロード ドメインの詳細画面には、ドメインに割り当てられている CPU、メモリ、およびストレージが表示されます。
  3. [Security (セキュリティ)] タブを選択します。
    このタブには、Cloud Foundation のリソース コンポーネントのデフォルトの証明書などの詳細が一覧表示されます。また、証明書を使用するためのコントロールも提供されます。
    注: : 名前の横にある下矢印アイコンをクリックすると、コンポーネントの現在の証明書とキー情報を表示できます。
  4. CSR を生成します。
    1. チェック ボックスを使用して、CSR を生成するリソース コンポーネントを選択します。
    2. [Generate CSR (CSR の生成)] をクリックします。
      [Generate CSRs (CSR の生成)] ダイアログ ボックスが開きます。
    3. CSR に次の設定を行います。
      オプション 説明
      Algorithm (アルゴリズム) 証明書のキー タイプを選択します。通常、RSA (デフォルト) が使用されます。キー タイプは、ホスト間の通信のための暗号化アルゴリズムを定義します。
      Key Size (キーのサイズ) ドロップダウン リストからキー サイズ（2048、3072、または 4096 ビット）を選択します。
      E メール 必要に応じて、連絡先のメール アドレスを入力します。
      Organization Unit (組織単位) このフィールドを使用して、この証明書が関連付けられている組織内の部門を区別します。
      Organization (組織) 法的に登記されている会社名を入力します。リストされた組織は、証明書要求のドメイン名の法定登録者である必要があります。
      Locality (市区町村) 会社が法的に登記されている市区町村名を入力します。
      State or Province Name (都道府県) 会社が法的に登記されている都道府県名を省略せずに入力します。
      Country (国) 会社が法的に登記されている国の名前を入力します。この値には ISO 3166 国コードを使用する必要があります。
    4. [Generate CSR (CSR の生成)] をクリックします。
    [Generate CSRs (CSR の生成)] ダイアログ ボックスが閉じます。[Security (セキュリティ)] タブに、 CSR Generation is in progress (CSR の生成が進行中) というステータスが表示されます。CSR の生成が完了すると、 [Download CSR (CSR のダウンロード)] ボタンがアクティブになります。
  5. [Download CSR (CSR のダウンロード)] をクリックして CSR ファイルをダウンロードし、上記の「前提条件」のセクションに記載されているディレクトリ構造に保存します。
  6. SDDC Manager ダッシュボード の外部で、次のタスクを実行します。
    1. 異なる .csr ファイルが正常に生成され、必要なファイル構造に割り当てられていることを確認します。
    2. 署名された証明書要求を取得します。
      これにより、対応する .crt ファイルが作成されます。
    3. 新しく取得した .crt ファイルの名前が正しく、必要なファイル構造に割り当てられていることを確認します。
    4. ファイル構造を <domain name>.tar.gz としてパッケージ化します。
  7. [Upload and Install (アップロードしてインストール)] をクリックします。
  8. [Upload and Install Certificates (証明書のアップロードとインストール)] ダイアログ ボックスで、[Browse (参照)] をクリックし、新しく作成した <domain name>.tar.gz ファイルを見つけて選択します。
    ファイルを選択すると、 [Upload (アップロード)] ボタンがアクティブになります。
  9. [Upload（アップロード）] をクリックします。
    アップロードが完了すると、 [Install Certificate (証明書のインストール)] ボタンがアクティブになります。
  10. [Install Certificate (証明書のインストール)] をクリックします。
    [Security (セキュリティ)] タブに、 Certificates Installation is in progress (証明書のインストールが進行中) というステータスが表示されます。
    注: : インストールが完了すると、リスト内の影響を受けるコンポーネントの [Certificates Installation Status (証明書のインストール ステータス)] 列が Successful (成功) に変更され、緑色のチェック マークが表示されます。
    重要: : リソース コンポーネントの 1 つとして SDDC Manager を選択した場合は、 SDDC Manager サービスを手動で再起動して新しい証明書を反映し、管理ドメイン内の Cloud Foundation サービスとその他のリソースとの正常な接続を確立する必要があります。
    重要: : リソース コンポーネントの 1 つとして vRealize Automation を選択した場合は、環境内のすべての vRealize Automation 仮想マシンによって vRealize Automation リソースのルート証明書が信頼されていることを確認する必要があります。
  11. 指定された sddcmanager_restart_services.sh スクリプトを使用して、すべてのサービスを再起動します。
    サービスを再起動するには：
    1. SSH を使用し、次の認証情報を使用して SDDC Manager 仮想マシン にログインします。
      ユーザー名： vcf

      パスワード： 展開パラメータ シートで指定したパスワードを使用

    2. root ユーザーに切り替えるには、su と入力します。
    3. 次のコマンドを実行します。 
      sh /opt/vmware/vcf/operationsmanager/scripts/cli/sddcmanager_restart_services.sh

次のタスク

vRealize Operations Manager リソース コンポーネントの証明書を置き換えた場合は、ロード バランサ ノードを再構成する必要があります。vRealize Operations Manager の SSL パススルーの構成 を参照してください。