会社のポリシーで中間 CA が許可されていない場合、VMCA で証明書を生成することはできません。エンタープライズまたはサードパーティ CA からのカスタム証明書を使用します。

始める前に

証明書は次の要件を満たす必要があります。

  • キー サイズ:2,048 ビット以上(PEM エンコード)

  • PEM 形式。VMware では、PKCS8 および PKCS1(RSA キー)がサポートされます。VECS に追加されたキーは、PKCS8 に変換されます。

  • x509 バージョン 3

  • ルート証明書の場合、認証局の拡張を true に設定する必要があり、証明書の署名を要件の一覧に含める必要があります。

  • SubjectAltName には DNS Name=<machine_FQDN> が含まれている必要があります。

  • CRT 形式

  • キー使用法として、デジタル署名、非否認、キー暗号化が含まれている必要があります。

  • 現在時刻の 1 日前の開始時刻

  • vCenter Server インベントリにある、ESXi ホストのホスト名(または IP アドレス)に設定された CN (および SubjectAltName)

手順

  1. 以下の証明書の CSR をエンタープライズまたはサードパーティ証明書プロバイダに送信します。
    • 各マシンのマシン SSL 証明書。マシン SSL 証明書の場合、SubjectAltName フィールドには、完全修飾ドメイン名 (DNS NAME=machine_FQDN) が含まれている必要があります。

    • (オプション)組み込みシステムまたは管理ノードごとに 4 つのソリューション ユーザー証明書。ソリューション ユーザー証明書には IP アドレス、ホスト名、電子メール アドレスを含めることはできません。証明書の Subject は、各証明書で異なっている必要があります。

    通常、その結果は信頼されたチェーンの PEM ファイルで、Platform Services Controller または管理ノードごとの署名付き SSL 証明書も追加されます。

  2. TRUSTED_ROOTS およびマシン SSL ストアをリストします。
    vecs-cli store list 
    
    1. 現在のルート証明書とすべてのマシン SSL 証明書が VMCA によって署名されていることを確認します。
    2. シリアル番号、発行者、Subject の CN フィールドを書き留めておきます。
    3. (オプション) : Web ブラウザを使用して、証明書を置き換えるノードへの HTTPS 接続を開き、証明書情報を参照して、マシン SSL 証明書と一致していることを確認します。
  3. すべてのサービスを停止し、証明書の作成、伝達、およびストレージを処理するサービスを開始します。

    サービス名は、Windows 上と vCenter Server Appliance 上で異なります。

    Windows

    service-control --stop --all
    service-control --start VMWareAfdService
    service-control --start VMWareDirectoryService
    service-control --start VMWareCertificateService
    

    vCenter Server Appliance

    service-control --stop --all
    service-control --start vmafdd
    service-control --start vmdird
    service-control --start vmcad
    
  4. サードパーティ CA からの署名証明書であるカスタム ルート証明書を公開します。
    dir-cli trustedcert publish --cert <my_custom_root>

    コマンド ラインでユーザー名とパスワードを指定しないと、指定するように求められます。

  5. すべてのサービスを再開します。
    service-control --start --all
    

次のタスク

元の VMCA ルート証明書は証明書ストアから削除できます(会社のポリシーで求められている場合)。削除する場合は、次の内部証明書を更新する必要があります。