Actualización de Dell VxRail con certificados personalizados (corregibles por el cliente)

vSphere utiliza certificados para lo siguiente:

• Cifrar las comunicaciones entre dos nodos, como vCenter Server y un host ESXi.
• Autenticar los servicios de vSphere.
• Realizar acciones internas, como firmar tokens.

La autoridad de certificación interna de vSphere, VMware Certificate Authority (VMCA), proporciona todos los certificados necesarios para vCenter Server y ESXi. VMCA se instala en todas las controladoras de servicios de plataforma, lo que protege inmediatamente la solución sin ninguna otra modificación. Mantener esta configuración predeterminada proporciona la menor sobrecarga operativa para la administración de certificados. vSphere proporciona un mecanismo para renovar estos certificados en caso de que venzan.

vSphere también proporciona un mecanismo para reemplazar ciertos certificados con sus propios certificados. Sin embargo, se recomienda reemplazar solo el certificado SSL que proporciona cifrado entre nodos para mantener baja la sobrecarga de administración de certificados.

Integración de certificados personalizados

El entorno vSphere es flexible para dar a los clientes la oportunidad de trabajar con certificados SSL personalizados, ya que las políticas de su empresa a veces lo exigen. En los siguientes pasos, tendrá una orientación a través del cambio de certificados para varios componentes en un entorno de VxRail.

1. Reemplazo del certificado autofirmado de VxRail Manager
   • Se puede acceder a este procedimiento en el portal SolVe Online. Vaya a 'How To' Procedures > 'How To' Change other VxRail Cluster settings > Elija la versión actual de VxRail Manager > Replace the VxRail Manager SSL Certificate y, a continuación, genere el procedimiento. Si no tiene acceso a ese portal, comuníquese con el equipo de soporte de Dell. Para obtener orientación sobre cómo crear la solicitud de firma de certificado y modificar los archivos de certificado recibidos, consulte el artículo de la base de conocimientos VxRail: Cómo solicitar un nuevo certificado para VxRail Manager.
2. Reemplazo de certificados de vCenter Server mediante un certificado firmado por una autoridad de certificación (CA) personalizada
   • Siga la guía disponible en VMware: Generar solicitudes de firma de certificado con vSphere Certificate Manager (certificados personalizados).
   • Para obtener una visión general más detallada del proceso de reemplazo de certificados mediante el Administrador de certificados, consulte el artículo de la base de conocimientos de VMware Reemplazo de un certificado SSL de equipo de vSphere 6.x/7.x por un certificado firmado por una autoridad de certificación personalizada (2112277).
   • Para ilustrar cómo generar un certificado personalizado firmado mediante PSC, consulte el artículo de la base de conocimientos Dell VxRail: Cómo generar una CSR (solicitud de firma de certificado) y claves privadas en PSC.
3. Restablecimiento manual de la confianza entre VxRail Manager y vCenter Server después de la integración de certificados personalizados
   • Tras reemplazar los certificados de vCenter Server, los nuevos certificados se deben actualizar manualmente en la VM de VxRail Manager para permitir el restablecimiento de la confianza entre ambas entidades. Para lograrlo, siga el artículo de la base de conocimientos VxRail: cómo importar manualmente el certificado SSL de vCenter en VxRail Manager.
4. Reemplazo de certificados SSL de host ESXi
   • Los requisitos para las solicitudes de firma de certificados de ESXi están disponibles en VMware en https://docs.vmware.com/en/VMware-vSphere/6.7/com.vmware.vsphere.security.doc/GUID-0AE0B563-59D6-45A5-BF46-6FE68607687B.html.
   • Para cambiar al uso de certificados personalizados en los hosts ESXi en un entorno vSAN, siga el artículo de la base de conocimientos de VMware Agregar certificados personalizados en hosts ESXi a través de la CLI (56441). Siempre es preferible realizar un respaldo de los certificados ESXi antiguos fuera del host (mediante clientes como WinSCP, por ejemplo) para poder revertir en caso de que se produzcan problemas dentro del proceso de reemplazo.
5. Reemplazo de certificados de vRealize Log Insight
   • Siga la guía disponible en https://docs.vmware.com/en/vRealize-Log-Insight/4.5/com.vmware.log-insight.administration.doc/GUID-93E0A9FA-9C72-47AE-9E54-9982F4604FE1.html.

Si tiene algún problema durante el reemplazo del certificado, comuníquese con el equipo de soporte de Dell para obtener ayuda.

• Dell EMC VxRail: Requisitos para el certificado SSL de VxRail Manager en un clúster habilitado para mTLS
• Dell EMC VxRail: No se puede iniciar sesión en vCenter con el error 500 SSO. Los certificados de PSC&VC vencieron y no se renovaron.