Обновление Dell VxRail с пользовательскими сертификатами (исправляется пользователем)

vSphere использует сертификаты для следующих целей:

• Шифрование обмена данными между двумя узлами, такими как vCenter Server и хост ESXi.
• Аутентификация служб vSphere.
• Выполнение внутренних действий, таких как подпись токенов.

Внутренний источник сертификатов vSphere, VMware Certificate Authority (VMCA), предоставляет все сертификаты, необходимые для vCenter Server и ESXi. VMCA установлен на каждом Platform Services Controller, обеспечивая немедленную защиту решения без каких-либо других изменений. Сохранение конфигурации по умолчанию обеспечивает минимальные эксплуатационные издержки для управления сертификатами. vSphere предоставляет механизм обновления этих сертификатов в случае истечения срока их действия.

vSphere также предоставляет механизм замены определенных сертификатов собственными сертификатами. Однако рекомендуется заменить только сертификат SSL, который обеспечивает шифрование между узлами, чтобы свести к минимуму издержки на управление сертификатами.

Интеграция пользовательского сертификата

Среда vSphere является гибкой и дает заказчикам возможность работать с пользовательскими сертификатами SSL, поскольку политики их компаний иногда требуют этого. Ниже приведены инструкции по замене сертификатов для различных компонентов в среде VxRail.

1. Замена самозаверяющего сертификата VxRail Manager
   • Эта процедура доступна на портале SolVe Online. Перейдите в раздел Инструкции > Изменение других параметров кластера VxRail > Выберите текущую версию VxRail Manager > Замена SSL-сертификата VxRail Manager, затем создайте процедуру. Если у вас нет доступа к этому порталу, обратитесь в службу поддержки Dell. Инструкции по созданию запроса на подписание сертификата и изменению полученных файлов сертификатов см. в статье базы знаний VxRail. Как подать заявку на получение нового сертификата для VxRail Manager.
2. Замена сертификатов vCenter Server на сертификат, подписанный пользовательским источником сертификатов (CA)
   • Следуйте руководству, доступному на сайте VMware: Создание запросов на подписание сертификата с помощью vSphere Certificate Manager (пользовательские сертификаты).
   • Более подробный обзор процесса замены сертификата с помощью Certificate Manager см. в статье базы знаний VMware Replacing a vSphere 6.x /7.x Machine SSL certificate with a Custom Certificate Authority Signed Certificate (2112277).
   • Чтобы проиллюстрировать создание пользовательского подписанного сертификата с помощью PSC, см. статью базы знаний Dell VxRail. Как создать запрос на подписание сертификата (CSR) и закрытые ключи в PSC.
3. Восстановление доверия между VxRail Manager и vCenter Server вручную после интеграции пользовательского сертификата
   • После замены сертификатов vCenter Server новые необходимо вручную обновить на виртуальной машине VxRail Manager, чтобы восстановить доверие между объектами. Для этого следуйте инструкциям в статье базы знаний VxRail. Импорт SSL-сертификата vCenter в VxRail Manager вручную.
4. Замена SSL-сертификатов хоста ESXi
   • Требования к запросам на подписание сертификатов ESXi можно найти на сайте VMware https://docs.vmware.com/en/VMware-vSphere/6.7/com.vmware.vsphere.security.doc/GUID-0AE0B563-59D6-45A5-BF46-6FE68607687B.html.
   • Чтобы переключиться на использование пользовательских сертификатов на хостах ESXi в среде vSAN, следуйте инструкциям в статье базы знаний VMware Adding Custom Certificate on ESXi hosts through CLI (56441). Всегда рекомендуется сохранять резервную копию старых сертификатов ESXi за пределами хоста (например, с помощью таких клиентов, как WinSCP), чтобы иметь возможность вернуться к исходному состоянию в случае возникновения проблем в процессе замены.
5. Замена сертификатов vRealize Log Insight
   • Следуйте руководству, доступному по адресу https://docs.vmware.com/en/vRealize-Log-Insight/4.5/com.vmware.log-insight.administration.doc/GUID-93E0A9FA-9C72-47AE-9E54-9982F4604FE1.html.

Если при замене сертификата возникли какие-либо проблемы, обратитесь за помощью в службу поддержки Dell.

• Dell EMC VxRail. Требования к SSL-сертификату VxRail Manager в кластере с поддержкой mTLS
• Dell EMC VxRail. Не удается войти в vCenter с ошибкой 500 SSO. Срок действия сертификатов PSC&VC закончился и их не удалось обновить.