シナリオ1:vCenter証明書の有効期限が切れています(すべてのVxRailバージョンの場合)。
- vCenter UIにログインできません。
- Web UIが使用可能な場合のログイン試行は、正しい認証情報を使用しても失敗します。
- VCSAサービスの再起動が失敗します。
- サービスを再起動しても、すべてのサービスが起動するわけではありません。
確認されたエラー:
/var/log/vmware/vpxd-svcs/vpxd-svcs.log:
2020-06-03T09:31:04.523Z [pool-8-thread-1 INFO com.vmware.identity.token.impl.X509TrustChainKeySelector opId=905f6864-c067-4db6-828c-1d59c4b43bf8] Failed to find trusted path to signing certificate <CN=ssoserverSign>
sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target
at sun.security.provider.certpath.SunCertPathBuilder.build(SunCertPathBuilder.java:141)
シナリオ2:vCenter証明書の有効期限が60日以内に切れます。(VxRail 7.0.480以降のバージョンの場合)
- vCenter UIへのログインが完了しても、VxRail 7.0.480以降のバージョンでは、VxRailクラスターの[>VxRail証明書>の構成>]>の[すべてのトラスト ストア証明書]ページに、証明書の有効期限が60日以内に切れることを示す警告が表示されます。
シナリオ1では、vCenter証明書の有効期限がすでに切れている場合は、次の手順に従って、PSCおよびVCSAで新しい自己署名証明書を生成します。
注:この手順は、VxRail LCMを通じて維持される単一のPSCまたはVCSA VMを対象としています。HA、ELM、またはお客様が導入したVCの場合は、VMwareチケットをオープンします。
注:VRM、PSC、VCSAの オフライン スナップショットを作成します。
注:スナップショット作成プロセスがエラーなしで終了したかどうかを確認します。有効なスナップショットがない状態で続行しないでください。
注:問題が発生した場合は、スナップショットに戻さずに再試行しないでください。
- PSCの修正:
すべての証明書をリセットします(これは失敗しますが、これは想定内です)。
/usr/lib/vmware-vmca/bin/certificate-manager
- オプション 8 > [Reset all Certificates] を選択します。
"Do you wish to generate all certificates using configuration file : Option[Y/N] ?"
- 値の入力
- [IPAddress]フィールドは空のままにします
- PSCのFQDNとしてホスト名を入力します
- [VMCA名]フィールドは 、作成される新しいルートCAの名前です(例:VxRail CA)。
- [Confirm]
"Continue operation : Option[Y/N] ?"
"Continue operation : Option[Y/N] ?"
Get site nameCompleted [Reset Machine SSL Cert...]
g3node-site
Lookup all services
Get service xxxxxx-site:xxxxxxx-d202-4d8f-9282-xxxxxx317b8f
Update service xxxxxx-site:xxxxxxxx-d202-4d8f-9282-xxxxxx317b8f; spec: /tmp/svcspec_a1hipoqq
Status : 0% Completed [Reset operation failed]
please see /var/log/vmware/vmcad/certificate-manager.log for more information.
root@xxxxc [ ~ ]#
- STSの問題を修正します
service-control --all --stop
- サービスを開始します (これは失敗しますが、想定どおりの動作です)
service-control --all --start
- プロセスがタイムアウトするまで待つか、 vmware-vmonサービスに到達したら停止します
/usr/lib/vmware-vmca/bin/certificate-manager
- オプション6>ソリューション ユーザー証明書をVMCA証明書に置き換えるを選択します
- [Confirm]
"Do you wish to generate all certificates using configuration file : Option[Y/N] ?"
- 資格情報の入力
- 拒否(「N」と入力)は、上記ですべてのオプションが構成されているため、再構成します
"certool.cfg file exists, Do you wish to reconfigure : Option[Y/N] ?"
"You are going to regenerate Solution User Certificates using VMCA, Continue operation : Option[Y/N] ?"
- プロシージャーが終了するまで待ちます。この手順では、次のことを行います。
- すべての証明書を生成します
- サービスを停止します
- サービスを開始します
- すべてのサービスが実行されているかどうかを確認します
service-control --all --status
- VCSAの証明書の修正
すべてのサービスを停止して開始します。これは、すべてのPSCサービスが実行された後に実行する必要があります。
service-control --all --stop
service-control --all --start
- プロセスがタイムアウトするまで待つか、 vmware-vmonサービスに到達したら停止します
/usr/lib/vmware-vmca/bin/certificate-manager
- オプション 8 > [Reset all Certificates] を選択します。
- Certificate Managerの起動
- [Confirm]
"Do you wish to generate all certificates using configuration file : Option[Y/N] ?"
- PSC IPの入力
- 値の入力
- [IPAddress]フィールドは空のままにします
- VCSAのFQDNとしてホスト名を入力します
- [VMCA名]フィールドは 、作成される新しいルートCAの名前です(例:VxRail CA)。
- [Confirm]
"Continue operation : Option[Y/N] ?"
"Continue operation : Option[Y/N] ?"
- すべての証明書が生成され、正常に完了したことを示すメッセージが表示されるまで待ちます
"Reset status : 100% Completed [Reset completed successfully]"
service-control --all --status
- vCenter UIへのアクセス
- HSTSが原因でChromeでDNSによるアクセスが失敗する。VCSA IPを開くか、FireFoxなどの別のサポートされているブラウザーを使用します。
シナリオ2では、vCenter証明書の有効期限が60日以内に切れる場合は、VxRail ManagerがvCenterから切断されるのを回避するために、次の手順に従って事前に証明書を更新します。
- rootユーザーとしてSSH経由でvCenterにログインします。
- サービスの再起動
"service-control --stop --all"
"service-control --start --all"
- すべての証明書をリセット
"/usr/lib/vmware-vmca/bin/certificate-manager"
- オプション 8 > [Reset all Certificates] を選択します。
- vSphereのユーザー名とパスワードを入力します
- 操作を確認すると、vCenterのrootまたはマシンの証明書が更新されます
![証明書が更新されたことを確認する](https://supportkb.dell.com/img/ka06P000000x7w2QAA/ka06P000000x7w2QAA_ja_4.jpeg)
- 記事に従う:「Dell VxRail: 更新されたvCenter証明書とCA証明書をVxRail Managerトラスト ストアにインポートするために、VxRail ManagerでvCenter SSL証明書を手動でインポートする方法。