vSphere 인증서 교체

구성하는 시스템에 대한 요구 사항과 회사 정책에 따라 다양한 유형의 인증서 교체를 수행할 수 있습니다. vSphere Certificate Manager 유틸리티를 사용하거나 설치에 포함된 CLI를 사용하여 수동으로 vSphere Client에서 인증서 교체를 수행할 수 있습니다.

VMCA(VMware Certificate Authority)는 각 vCenter Server 배포에 포함됩니다. VMCA는 각 노드, 각 vCenter Server 솔루션 사용자 및 각 ESXi 호스트를 인증 기관인 VMCA에서 서명한 인증서로 프로비저닝합니다.

기본 인증서를 교체할 수 있습니다. vCenter Server 구성 요소의 경우 설치에 포함된 명령줄 도구 집합을 사용할 수 있습니다. 여러 옵션이 있습니다.

참고: vCenter Server가 NSX-T Manager에 연결되어 있고 vCenter Server 인증서를 교체하는 경우 vCenter Server 계산 관리자의 지문을 업데이트해야 합니다. " NSX-T Data Center 마이그레이션 조정기 가이드" 에서 "계산 관리자 추가" 항목을 참조하십시오.

인증서를 VMCA 서명 인증서로 교체

VMCA 인증서가 만료되거나 다른 이유로 인증서를 교체하려는 경우 인증서 관리 CLI를 사용하여 해당 프로세스를 수행할 수 있습니다. 기본적으로 VMCA 루트 인증서는 10년 후에 만료되고 VMCA에서 서명한 모든 인증서는 루트 인증서가 만료될 때, 즉 최대 10년 후에 만료됩니다.

그림 1. VMCA에서 서명한 인증서가 VECS에 저장됨

다음과 같은 vSphere Certificate Manager 옵션을 사용할 수 있습니다.

• VMCA 인증서로 시스템 SSL 인증서 교체
• VMCA 인증서로 솔루션 사용자 인증서 교체

수동 인증서 교체는 CLI를 사용하여 기존 VMCA 서명 인증서를 VMCA 서명 인증서로 교체 항목을 참조하십시오.

VMCA를 중간 CA(인증 기관)로 만들기

VMCA 루트 인증서를 엔터프라이즈 CA(인증 기관) 또는 타사 CA에서 서명한 인증서로 교체할 수 있습니다. VMCA는 인증서를 프로비저닝하고 VMCA를 중간 CA로 만들 때마다 사용자 지정 루트 인증서에 서명합니다.

참고: vCenter Server를 사용하여 새로 설치를 수행하는 경우 ESXi 호스트를 추가하기 전에 VMCA 루트 인증서를 교체합니다. 이렇게 VMCA가 체인 전체에 서명하므로 새 인증서를 생성하지 않아도 됩니다.

그림 2. 타사 또는 엔터프라이즈 CA에서 서명한 인증서가 VMCA를 중간 CA로 사용

다음과 같은 vSphere Certificate Manager 옵션을 사용할 수 있습니다.

• 사용자 지정 서명 인증서로 VMCA 루트 인증서 교체 및 모든 인증서 교체
• VMCA 인증서로 시스템 SSL 인증서 교체(다중 노드 고급 연결 모드 배포)
• VMCA 인증서로 솔루션 사용자 인증서 교체(다중 노드 고급 연결 모드 배포)

수동 인증서 교체는 CLI를 사용하여 VMCA를 중간 CA(인증 기관)로 만들기 항목을 참조하십시오.

VMCA 서명 인증서를 사용자 지정 인증서로 교체

사용자 지정 인증서로 기존 VMCA 서명된 인증서를 교체할 수 있습니다. 해당 접근 방식을 사용하는 경우 모든 인증서 프로비저닝 및 모니터링에 대한 책임이 있습니다.

그림 3. 외부 인증서가 VECS에 직접 저장됨

다음과 같은 vSphere Certificate Manager 옵션을 사용할 수 있습니다.

• 시스템 SSL 인증서를 사용자 지정 인증서로 교체
• 솔루션 사용자 인증서를 사용자 지정 인증서로 교체

수동 인증서 교체는 CLI를 사용하여 인증서를 사용자 지정 인증서로 교체 항목을 참조하십시오.

vSphere Client를 사용하여 시스템 SSL 인증서에 대한 CSR을 생성하고(사용자 지정) CA에서 인증서를 반환한 후 인증서를 교체할 수 있습니다. vSphere Client를 사용하여 시스템 SSL 인증서에 대한 인증서 서명 요청 생성(사용자 지정 인증서)의 내용을 참조하십시오.

인증서 배포에 하이브리드 방식 사용

하이브리드 방식에서는 VMCA가 인증서 중 일부를 제공하도록 하면서 인프라의 다른 부분에 사용자 지정 인증서를 사용할 수 있습니다. 예를 들어 솔루션 사용자 인증서는 vCenter Single Sign-On에 인증하는 데에만 사용되므로 VMCA를 통해 이러한 인증서를 프로비저닝하는 것을 고려합니다. 모든 SSL 트래픽을 보호하려면 사용자 지정 인증서로 시스템 SSL 인증서를 교체합니다.

회사 정책에서는 대개 중간 CA를 허용하지 않습니다. 이런 경우에는 하이브리드 배포가 솔루션으로 적합합니다. 하이브리드 배포는 교체할 인증서 수를 최소화하고 모든 트래픽을 보호합니다. 하이브리드 배포를 사용할 경우 내부 트래픽, 즉 솔루션 사용자 트래픽만 기본 VMCA 서명 인증서를 사용합니다.

자세한 내용은 http://vmware.com/go/hybridvmca에서 블로그 게시글 "New Product Walkthrough - Hybrid vSphere SSL Certificate Replacement(신제품 둘러보기 - 하이브리드 vSphere SSL 인증서 교체)" 를 참조하십시오.

ESXi 인증서 교체

ESXi 호스트의 경우 vSphere Client에서 인증서 프로비저닝 동작을 변경할 수 있습니다. 자세한 내용은 "vSphere 보안" 설명서를 참조하십시오.

표 1. ESXi 인증서 교체 옵션

옵션	설명
VMware Certificate Authority 모드(기본값)	vSphere Client에서 인증서를 갱신하는 경우 VMCA는 해당 호스트에 대한 인증서를 발급합니다. 인증서 체인을 포함하도록 VMCA 루트 인증서를 변경한 경우 호스트 인증서에는 전체 체인이 포함됩니다.
사용자 지정 인증 기관 모드	VMCA에서 서명하거나 발급하지 않은 인증서를 수동으로 업데이트하고 사용할 수 있습니다.
지문 모드	새로 고침 동안 5.5 인증서를 유지하는 데 사용할 수 있습니다. 디버깅 상황에서만 일시적으로 이 모드를 사용합니다.