VMware Certificate Authority (VMCA) 預設會使用將 VMCA 做為根憑證授權機構的已簽署憑證佈建每台新的 ESXi 主機。當主機明確新增至 vCenter Server,或在安裝或升級至 ESXi 的過程中新增時,會執行佈建。

可以透過 vSphere Client 及使用 vSphere Web Services SDK 中的 vim.CertificateManager API 來檢視和管理 ESXi 憑證。您無法透過用於管理 vCenter Server 憑證的憑證管理 CLI 來檢視或管理 ESXi 憑證。

vSphere 中的憑證

ESXivCenter Server 通訊時,會將 TLS 用於幾乎所有管理流量。

vCenter Server 支援 ESXi 主機的以下憑證模式。
表 1. ESXi 主機的憑證模式
憑證模式 說明
VMware Certificate Authority (預設) 如果 VMCA 做為頂層 CA 或中繼 CA 佈建所有 ESXi 主機,則使用此模式。

依預設,VMCA 會使用憑證佈建 ESXi 主機。

在此模式下,您可以透過 vSphere Client 重新整理和更新憑證。

自訂憑證授權機構 若要僅使用由第三方或企業 CA 簽署的自訂憑證,請使用此模式。
在此模式下,您負責管理憑證。無法透過 vSphere Client 重新整理和更新憑證。
備註: 除非您將憑證模式變更為自訂憑證授權機構,否則 VMCA 可能會取代自訂憑證,例如,當您在 vSphere Client 中選取 更新時。
指紋模式 vSphere 5.5 使用的是指紋模式,此模式仍以 vSphere 6.x 之後援選項的形式提供。在此模式中,vCenter Server 會檢查憑證是否已正確格式化,但不會檢查憑證的有效性。即使憑證已到期亦可接受。

除非您使用其他兩種模式時遇到無法解決的問題,否則請勿使用此模式。在指紋模式下,vCenter Server 6.x 及更新版本的某些服務可能無法正常運作。

ESXi 憑證到期

您可以在 vSphere Client 中檢視由 VMCA 或第三方 CA 簽署之憑證的憑證到期相關資訊。您可以檢視 vCenter Server 管理之所有主機或個別主機的資訊。如果憑證處於即將到期狀態 (少於 8 個月),則會引發黃色警示。如果憑證處於即將到期狀態 (少於 2 個月),則會引發紅色警示。

ESXi 佈建和憑證

當您從安裝媒體將 ESXi 主機開機時,該主機一開始會有自動產生的憑證。將主機新增至 vCenter Server 系統後,會使用由 VMCA 簽署做為根 CA 的憑證進行佈建。

您還可以將第三方或企業 CA 簽署的自訂憑證用於 ESXi 主機。

Auto Deploy 中的 ESXi 佈建和憑證

此程序類似於使用 Auto Deploy 佈建的主機。但是,由於這些主機並未儲存任何狀態,因此,已簽署憑證由 Auto Deploy 伺服器儲存在本機憑證存放區中。後續將 ESXi 主機開機時,會重複使用該憑證。Auto Deploy 伺服器是任何內嵌式部署或 vCenter Server 系統的一部分。

如果 VMCA 在 Auto Deploy 主機首次開機時不可用,則主機會先嘗試連線。如果主機無法連線,則會循環關閉和重新開機,直到 VMCA 變為可用且能夠透過已簽署憑證佈建主機為止。

您可以將 Auto Deploy 設為第三方憑證授權機構的下層憑證授權機構。在此情況下,產生的憑證會使用 Auto Deploy SSL 金鑰進行簽署。請參閱將 Auto Deploy 設為下層憑證授權機構

從 8.0 開始,您可以將自訂憑證 (憑證授權機構簽署的憑證) 與 Auto Deploy 搭配使用。主機啟動時,Auto Deploy 會將自訂憑證與 ESXi 主機的 MAC 位址或 BIOS UUID 相關聯。請參閱透過 Auto Deploy 使用自訂憑證

ESXi 憑證管理所需的權限

使用者需要擁有 憑證.管理憑證 權限才能管理 ESXi 主機憑證。

ESXi 主機名稱和 IP 位址變更

ESXi 主機名稱或 IP 位址變更可能會影響 vCenter Server 是否將主機憑證視為有效。將 ESXi 主機新增至 vCenter Server 的方式會影響是否需要手動介入。手動介入是指重新連線主機,或將主機從 vCenter Server 移除然後再次新增。

表 2. 主機名稱或 IP 位址變更何時需要手動介入
透過下列方式將 ESXi 主機新增至 vCenter Server... ESXi 主機名稱變更 ESXi IP 位址變更
主機名稱 vCenter Server 連線問題。需要手動介入。 不需要介入。
IP 位址 不需要介入。 vCenter Server 連線問題。需要手動介入。