Skip to main content
  • Place orders quickly and easily
  • View orders and track your shipping status
  • Enjoy members-only rewards and discounts
  • Create and access a list of your products

VxRail: Anmeldung bei vCenter aufgrund abgelaufener Zertifikate nicht möglich

Summary: VxRail 4.5 und 4.7: Anmeldung bei vCenter aufgrund abgelaufener Zertifikate nicht möglich. Zertifikate müssen neu ausgestellt werden. VxRail 7.0.480 oder höher: Eine Warnung wird angezeigt, wenn das Zertifikat in weniger als 60 Tagen abläuft. Es wird empfohlen, das Zertifikat im Voraus zu erneuern. ...

This article applies to This article does not apply to This article is not tied to any specific product. Not all product versions are identified in this article.

Symptoms

Szenario 1: Das vCenter-Zertifikat ist bereits abgelaufen. (Für alle VxRail-Versionen)

  • Anmeldung bei der vCenter-Benutzeroberfläche nicht möglich.
  • Jeder Anmeldeversuch, wenn die Webnutzeroberfläche verfügbar ist, schlägt selbst bei korrekten Anmeldeinformationen fehl.
    VCSA Web Login zeigt nach dem Anmeldeversuch
  • Der Neustart der vCenter Server Appliance (VCSA)-Services schlägt fehl.
  • Beim Neustart von Services werden nicht alle Services angezeigt.

 

Beobachtete Fehler:
/var/log/vmware/vpxd-svcs/vpxd-svcs.log:
2020-06-03T09:31:04.523Z [pool-8-thread-1  INFO  com.vmware.identity.token.impl.X509TrustChainKeySelector  opId=905f6864-c067-4db6-828c-1d59c4b43bf8] Failed to find trusted path to signing certificate <CN=ssoserverSign>
sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target
        at sun.security.provider.certpath.SunCertPathBuilder.build(SunCertPathBuilder.java:141)

 

Szenario 2: Das vCenter-Zertifikat läuft in weniger als 60 Tagen ab. (Für VxRail 7.0.480-Versionen und höher)

  • Die Anmeldung bei der vCenter-Benutzeroberfläche ist abgeschlossen, aber VxRail 7.0.480 und spätere Versionen zeigen eine Warnung auf der Seite VxRail-Cluster >>> konfigurieren >Alle Truststore-Zertifikate an, die besagt, dass das Zertifikat in weniger als 60 Tagen abläuft.
    Warnung zum Ablaufen des Zertifikats in der VCSA-Benutzeroberfläche

Cause

vCenter-Zertifikate sind abgelaufen oder laufen in Kürze ab.
VxRail-Versionen, die ursprünglich vor 4.7 erstellt wurden, verfügen möglicherweise über Zertifikate, die mit einer Lebensdauer von zwei Jahren ab Installationsdatum ausgestellt wurden. Zum Zeitpunkt der Erstellung dieses Artikels verfügt ein VxRail-Build auf 4.7.410 über alle Zertifikate mit einer Lebensdauer von 10 Jahren.

Kleinere Versionsupgrades haben keine Auswirkungen auf die Zertifikate!
Für ein VxRail-System, das anfänglich auf 4.5.210 und höheren Versionen erstellt wurde, haben die Zertifikate eine Gültigkeitsdauer von zwei Jahren. Lesen Sie den VMware-Artikel für VMware Security Token Service (STS) Checking Expiration of STS Certificate on vCenter Server (79248),Dieser Hyperlink führt Sie zu einer Website außerhalb von Dell Technologies. um die detaillierte Beschreibung zu bestätigen.

Verwenden Sie die Option zum Anzeigen des Zertifikats im Browser auf der Anmeldeseite der VCSA, um zu bestätigen, dass das Zertifikat abgelaufen ist. Oder listen Sie die Zertifikate in der CLI des Platform Services Controller (PSC) (VCSA) auf. Siehe Befehle im VMware-Artikel Fehler "Signing certificate is not valid" in VCSA 6.5.x,6.7.x oder vCenter Server 7.0.x, 8.0.x. (76719) Dieser Hyperlink führt Sie zu einer Website außerhalb von Dell Technologies.

for i in $(/usr/lib/vmware-vmafd/bin/vecs-cli store list); do echo STORE $i; /usr/lib/vmware-vmafd/bin/vecs-cli entry list --store $i --text | egrep "Alias|Not After"; done

Resolution

Wenn das vCenter-Zertifikat für Szenario 1 bereits abgelaufen ist, führen Sie das folgende Verfahren aus, um neue selbstsignierte Zertifikate auf PSC und VCSA zu erzeugen.

Hinweis: Dieses Verfahren ist für einzelne PSC- oder VCSA-VMs vorgesehen, die über VxRail LifeCycle Manager (LCM) verwaltet werden. Eröffnen Sie für HA-, ELM- oder vom Kunden bereitgestellte VCSAs ein VMware-Ticket!
Hinweis: Erstellen Sie OFFLINE-Snapshots von VxRail Manager (VRM), PSC und VCSA!
Hinweis: Überprüfen Sie, ob der Snapshot-Erstellungsprozess ohne Fehler abgeschlossen wurde. Fahren Sie NICHT ohne gültige Snapshots fort!
Hinweis: Wenn Probleme auftreten, versuchen Sie es nicht erneut, ohne auf Snapshots zurückzugreifen!
  1. PSC korrigieren:
    Alle Zertifikate zurücksetzen (Dies schlägt fehl, ist aber zu erwarten.)

    • Starten Sie den Zertifikat-Manager:
      /usr/lib/vmware-vmca/bin/certificate-manager
    • Option 8 > Alle Zertifikate zurücksetzen auswählen
      • Bestätigen
        "Do you wish to generate all certificates using configuration file : Option[Y/N] ?"
      • Anmeldeinformationen eingeben
        Hauptmenü des CLI Certificate Manager
      • Werte eingeben
        • Lassen Sie das Feld "IP-Adresse" leer.
        • Geben Sie den Hostnamen als vollständig qualifizierten Domänennamen (FQDN) von PSC ein.
        • Das Feld VMware Certificate Authority (VMCA) Name ist der Name einer neuen Stammzertifizierungsstelle, die erstellt wird, z. B. VxRail CA.
      • Bestätigen
        "Continue operation : Option[Y/N] ?"
      • Bestätigen
        "Continue operation : Option[Y/N] ?"
        • Dieser Vorgang schlägt fehl mit:
          Get site nameCompleted [Reset Machine SSL Cert...]
          g3node-site
          Lookup all services
          Get service xxxxxx-site:xxxxxxx-d202-4d8f-9282-xxxxxx317b8f
          Update service xxxxxx-site:xxxxxxxx-d202-4d8f-9282-xxxxxx317b8f; spec: /tmp/svcspec_a1hipoqq
          
          Status : 0% Completed [Reset operation failed]
          
          please see /var/log/vmware/vmcad/certificate-manager.log for more information.
          root@xxxxc [ ~ ]#
          CLI-Zertifikatsmanager schlägt fehl
      • Beheben Sie das STS-Problem
        . Laden Sie das Skript aus dem VMware-Artikel herunter und führen Sie es aus. Fehler "Signaturzertifikat ist ungültig" in VCSA 6.5.x,6.7.x oder vCenter Server 7.0.x, 8.0.x. (76719) Dieser Hyperlink führt Sie zu einer Website außerhalb von Dell Technologies.
        Screenshot der Ausführung des Skripts

        • Beenden der Services
          service-control --all --stop
        • Starten von Services (Dies schlägt fehl, ist aber zu erwarten)
          service-control --all --start
          Beenden und Starten von Services über die CLI
        • Warten Sie, bis der Prozess eine Zeitüberschreitung aufweist, oder stoppen Sie ihn, wenn der Service "vmware-vmon" erreicht wird
          /usr/lib/vmware-vmca/bin/certificate-manager
        • Wählen Sie Option 6 > "Replace Solution user certificates with VMCA certificates" aus.
        • Bestätigen
          "Do you wish to generate all certificates using configuration file : Option[Y/N] ?"
        • Anmeldeinformationen eingeben
        • Verweigern (geben Sie "N" ein) für die Neukonfiguration, da alle Optionen oben konfiguriert wurden
          "certool.cfg file exists, Do you wish to reconfigure : Option[Y/N] ?"
        • Bestätigen
          "You are going to regenerate Solution User Certificates using VMCA, Continue operation : Option[Y/N] ?"
        • Warten Sie, bis das Verfahren beendet ist. Dieses Verfahren:
          • Erzeugt alle Zertifikate
          • Beendet die Services
          • Starten der Services
            CLI-Zertifikatmanager erfolgreich.
        • Überprüfen , ob alle Services ausgeführt werden
          service-control --all --status
          Überprüfen Sie den Status aller Services.
      • Zertifikate auf VCSA
        reparieren Beenden und starten Sie alle Services. Dies MUSS durchgeführt werden , NACHDEM alle PSC-Services ausgeführt wurden!

        • Beenden
          service-control --all --stop
        • Start
          service-control --all --start
          Starten und Beenden von Services.
        • Warten Sie, bis der Prozess ein Timeout aufweist, oder stoppen Sie ihn, wenn er den vmware-vmon-Service erreicht.
          /usr/lib/vmware-vmca/bin/certificate-manager
        • Option 8 > Alle Zertifikate zurücksetzen auswählen
        • Starten des Zertifikat-Managers
        • Bestätigen
          "Do you wish to generate all certificates using configuration file : Option[Y/N] ?"
        • Anmeldeinformationen eingeben
          CLI Certificate Manager Anmeldeinformationen eingeben
        • PSC-IP eingeben
        • Werte eingeben
          • Das Feld "IPAddress" leer lassen
          • Geben Sie den Hostnamen als FQDN der VCSA ein.
          • Das Feld VMCA-Name ist der Name der neuen Stammzertifizierungsstelle, die erstellt wird, z. B. VxRail-Zertifizierungsstelle.
        • Bestätigen
          "Continue operation : Option[Y/N] ?"
        • Bestätigen
          "Continue operation : Option[Y/N] ?"
          CLI-Zertifikatmanager Umgebungsinformationen eingeben
        • Warten Sie, bis alle Zertifikate erzeugt wurden und eine Meldung über den erfolgreichen Abschluss angezeigt wird.
          "Reset status : 100% Completed [Reset completed successfully]"
          Zertifikataustausch gestartet
           
          Der Zertifikataustausch wurde erfolgreich abgeschlossen.
        • Überprüfen Sie, ob alle Services ausgeführt werden
          service-control --all --status
          Alle Services werden ausgeführt
        • Zugriff auf die vCenter-Benutzeroberfläche
        • Der Zugriff über den DNS-Eintrag (Domain Name System) schlägt in Chrome aufgrund von HTTP Strict Transport Security (HSTS) fehl. Öffnen Sie die VCSA-IP oder verwenden Sie einen anderen unterstützten Browser, z. B. FireFox.
          Zertifikatwarnung
          Aufgrund von HSTS ist ein Zugriff über IP erforderlich.

 

Wenn das vCenter-Zertifikat in weniger als 60 Tagen abläuft, befolgen Sie für Szenario 2 das folgende Verfahren, um das Zertifikat im Voraus zu erneuern und zu vermeiden, dass VxRail Manager von vCenter getrennt wird.

  1. Melden Sie sich über SSH als root-Nutzer bei vCenter an

  2. Services neu starten

    • Ausführen Stoppen
      "service-control --stop --all"
    • Start ausführen
      "service-control --start --all"
  3. Alle Zertifikate zurücksetzen

    • Führen Sie folgenden Befehl aus:
      "/usr/lib/vmware-vmca/bin/certificate-manager"
    • Option 8 > Alle Zertifikate zurücksetzen auswählen
      Alle Zertifikate zurücksetzen (Option 8)
    • Geben Sie den vSphere-Nutzernamen und das vSphere-Kennwort ein
      Geben Sie den vSphere-Nutzer und das vSphere-Kennwort ein
    • Geben Sie die Zertifikateigenschaften ein
      CLI-Zertifikatmanager, Informationen eingeben
    • Bestätigen Sie den Vorgang und dann werden die vCenter-Root- oder Maschinenzertifikate erneuert
      Bestätigen, dass Zertifikate erneuert wurden
  4. Folgen Sie dem Artikel Dell VxRail: Manuelles Importieren des vCenter SSL-Zertifikats auf VxRail Manager zum Importieren der aktualisierten vCenter- und CA-Zertifikate in den VxRail Manager-Vertrauensspeicher.

Additional Information

  • Erstellen Sie IMMER Snapshots von System-VMs (PSC, VCSA und VRM), bevor Sie diesem Artikel folgen.
  • Dieses Verfahren ist für PSC VCSA-VMs vorgesehen, die über VxRail LCM verwaltet werden.
HINWEIS: Einige Produkte von Drittanbietern müssen erneut registriert oder die neue VMCA-Stammzertifizierungsstelle hinzugefügt werden, damit sie vertrauenswürdig sind (produktspezifisch – siehe Produktdokumentation). Dies geschieht, da die Kommunikation aufgrund einer Änderung des Root- oder VCSA-Zertifikats unterbrochen ist.

Affected Products

VxRail Appliance Family, VxRail Appliance Series
Article Properties
Article Number: 000082108
Article Type: Solution
Last Modified: 21 Sept 2024
Version:  9
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.