大規模環境での vSphere 証明書の置き換え

多数の vCenter Server ホストが含まれている環境で証明書を置き換える場合は、vSphere 証明書管理ユーティリティを使用するか、CLI を使用して証明書を手動で置き換えることができます。どちらを選択するかは、いくつかのベスト プラクティスに基づいて決定します。

複数の vCenter Server システムが含まれる環境でのマシン SSL 証明書の置き換え

複数の vCenter Server システムが含まれる環境では、vSphere Client または vSphere Certificate Manager ユーティリティを使用してマシンの SSL 証明書を置き換えるか、CLI コマンドを使用して証明書を手動で置き換えることができます。

vSphere Certificate Manager を使用した複数の vCenter Server システムでのマシン SSL 証明書の置き換え

vSphere Certificate Manager を各マシンで実行します。実行するタスクによっては、証明書情報も求められます。詳細については、次のトピックを参照してください。

• Certificate Manager を使用した VMCA ルート証明書のカスタム署名証明書への置き換えと、すべての証明書の置き換え
• Certificate Manager を使用したマシン SSL 証明書の VMCA 証明書（中間 CA）への置き換え
• Certificate Manager を使用したソリューション ユーザー証明書の VMCA 証明書（中間 CA）への置き換え

CLI を使用した複数の vCenter Server システムでのマシン SSL 証明書の手動による置き換え

証明書を手動で置き換える場合、各マシンで証明書置き換え CLI コマンドを実行します。詳細については、次のトピックを参照してください。

• CLI を使用したマシン SSL 証明書の VMCA 署名証明書への置き換え
• CLI を使用したマシン SSL 証明書（中間 CA）の置き換え
• CLI を使用したマシン SSL 証明書のカスタム証明書への置き換え

拡張リンク モードの複数の vCenter Server システムがある環境でのソリューション ユーザー証明書の置き換え

拡張リンク モードの複数の vCenter Server システムが環境に含まれている場合は、次の手順を実行してソリューション ユーザー証明書を置き換えます。

注： 大規模なデプロイで、ソリューション ユーザー証明書をリストする場合は、 /usr/lib/vmware-vmafd/bin/dir-cli list の出力にすべてのノードのソリューション ユーザーが含まれます。 /usr/lib/vmware-vmafd/bin/vmafd-cli get-machine-id --server-name localhost を実行して、各ホストのローカル マシン ID を検索します。各ソリューション ユーザーの名前には、マシン ID が含まれています。

vSphere Certificate Manager を使用した ELM の vCenter Server システムでのマシン SSL 証明書の置き換え

vSphere Certificate Manager を各マシンで実行します。実行するタスクによっては、証明書情報も求められます。 vSphere Certificate Manager ユーティリティを使用した証明書の管理を参照してください。

CLI を使用した ELM の vCenter Server システムでのマシン SSL 証明書の手動による置き換え

ELM の vCenter Server でマシン SSL 証明書を手動で置き換える手順の概要は次のとおりです。

1. 証明書を生成または要求します。

   次の証明書が必要です。

   • 各 vCenter Server のマシン ソリューション ユーザーの証明書。
   • 各ノードの、次のソリューション ユーザーそれぞれの証明書。
     • vpxd ソリューション ユーザー
     • vpxd-extension ソリューション ユーザー
     • vsphere-webclient ソリューション ユーザー
     • wcp ソリューション ユーザー
2. CLI コマンドを使用して、各ノードの証明書を置き換えます。

   正確なプロセスは、実行している証明書置き換えのタイプに応じて異なります。詳細については、次のトピックを参照してください。

   • CLI を使用した新規 VMCA 署名付き証明書によるソリューション ユーザー証明書の置き換え
   • CLI を使用したソリューション ユーザー証明書（中間 CA）の置き換え
   • Certificate Manager を使用したソリューション ユーザー証明書のカスタム証明書への置き換え

外部ソリューションが含まれる VMware 環境での証明書の置き換え

一部のソリューション（VMware vCenter Site Recovery Manager や VMware vSphere Replication など）は、常に vCenter Server システムとは別のマシンにインストールされます。vCenter Server システム上のデフォルトのマシン SSL 証明書を置き換える場合、そのソリューションによって vCenter Server システムへの接続が試みられると、接続エラーが発生します。

この問題は、ls_update_certs スクリプトを実行して解決できます。VMware のナレッジベースの記事 (https://kb.vmware.com/s/article/2109074) を参照してください。