Avant de suivre les étapes ci-dessous, lisez les informations de la section « Informations supplémentaires».
Il existe deux options pour mettre à jour le certificat SSL PTAgent:
- Mettez à jour le certificat SSL PTAgent avec le certificat SSL ESXi avec l’article KB157784 ci-dessous.
- Mettez à jour le certificat SSL PTAgent avec un certificat SSL personnalisé.
Le certificat SSL personnalisé inclut les fichiers ci-dessous:
server.crt (il doit s’agir d’un fichier de certificat de serveur)
server.key (il doit s’agir d’un fichier de clé de serveur)
server-chain.crt (il doit s’agir d’un fichier de chaîne de certificats)
Remarque: il s’agit d’un exemple, et les noms de fichier peuvent être différents.
Étapes,
- Connectez-vous en SSH au nœud ESXi avec le compte « root ».
- Arrêtez le service DellPTAgent à l’aide de la commande ci-dessous:
/etc/init.d/DellPTAgent stop
3. Placez tous les fichiers de certificat personnalisés dans le chemin « /opt/dell/DellPTAgent/secure/ ». Mettez à jour l’autorisation des fichiers pour qu’elle soit identique aux certificats SSL PTAgent par défaut.
Vous trouverez ci-dessous un exemple d’autorisations de certificat SSL par défaut PTAgent:
[root@c4-esx01:/opt/dell/DellPTAgent/secure] ls -l
total 12
-r-------- 1 root root 424 Apr 7 01:30 pta_dhparm.pem
-r-------- 1 root root 1257 Apr 7 01:30 pta_server.crt
-r-------- 1 root root 1704 Apr 7 01:30 pta_server.key
4. Mettez à jour le paramètre de certificat PTAgent avec les certificats personnalisés dans PTAgent.config:
il existe deux options:
- (Non recommandé) Le certificat SSL personnalisé est auto-signé. Dans ce cas, il ne doit y avoir aucun fichier de chaîne de certificats. Le fichier de configuration PTAgent doit être mis à jour avec les valeurs ci-dessous.
"certificate_store_path": {
"description": "List of SSL certificates file path",
"value": "/opt/dell/DellPTAgent/secure/server.crt,/opt/dell/DellPTAgent/secure/server.key,/opt/dell/DellPTAgent/secure/pta_dhparm.pem
"defaultValue": "/opt/dell/DellPTAgent/secure/pta_server.crt,/opt/dell/DellPTAgent/secure/pta_server.key,/opt/dell/DellPTAgent/secure/pta_dhparm.pem
},
- Le client envoie la CSR à son entreprise ou à l’autorité de certification externe pour signature. Dans ce cas, il doit y avoir trois fichiers (server.crt, server.key, server-chain.crt) ou deux fichiers (server.crt, server.key).
- S’il existe trois fichiers, le fichier de certificat du serveur doit être séparé par un fichier de chaîne de certificats. Combinez-les pour obtenir un nouveau fichier de certificat de serveur (new_server.crt).
Remarque : Le certificat de serveur doit se trouver à la fin du nouveau fichier de certificat de serveur.
- Le fichier de configuration PTAgent doit être mis à jour avec la valeur ci-dessous.
"certificate_store_path": {
"description": "List of SSL certificates file path",
"value": "/opt/dell/DellPTAgent/secure/new_server.crt,/opt/dell/DellPTAgent/secure/server.key,/opt/dell/DellPTAgent/secure/pta_dhparm.pem
"defaultValue": "/opt/dell/DellPTAgent/secure/pta_server.crt,/opt/dell/DellPTAgent/secure/pta_server.key,/opt/dell/DellPTAgent/secure/pta_dhparm.pem
},
- Il existe deux fichiers. Le fichier de certificat de serveur doit inclure tous les certificats d’autorité de certification, qui sont stockés dans un fichier de chaîne de certificats. Le fichier de configuration PTAgent doit être mis à jour avec la valeur ci-dessous.
"certificate_store_path": {
"description": "List of SSL certificates file path",
"value": "/opt/dell/DellPTAgent/secure/server.crt,/opt/dell/DellPTAgent/secure/server.key,/opt/dell/DellPTAgent/secure/pta_dhparm.pem
"defaultValue": "/opt/dell/DellPTAgent/secure/pta_server.crt,/opt/dell/DellPTAgent/secure/pta_server.key,/opt/dell/DellPTAgent/secure/pta_dhparm.pem
},
5. Démarrez le service DellPTAgent à l’aide de la commande ci-dessous:
/etc/init.d/DellPTAgent start
6. Vérifiez l’état d’exécution de PTAgent à l’aide de la commande ci-dessous:
/etc/init.d/DellPTAgent status
esxcli network ip connection list | grep LISTEN | grep Dell
The expected results should be same with below,
DellPTAgent is running
tcp 0 0 {ESXi_host_ipv4_address}/{ESXi_host_ipv6_address}:8086 0.0.0.0:0 LISTEN 3992948 newreno DellPTAgent
7. Vérifiez que le certificat PTAgent est mis à jour avec la commande ci-dessous:
openssl s_client -connect {ESXi_host_ipv4_address}/{ESXi_host_ipv6_address}:8086
Remarque : Les certificats PTAgent doivent maintenant être mis à jour avec le certificat SSL personnalisé. Si le certificat n’est pas mis à jour, contactez le centre de support Dell Technologies ou votre représentant de service pour obtenir un support technique et indiquez cet ID de solution.
8. Répétez les étapes 1 à 7 pour les autres nœuds du même cluster VxRail.
Présentation succincte du fichier de configuration PTAgent:
Les configurations d’exécution de l’agent PowerTools sont stockées dans le fichier nommé PTAgent.config qui se trouve dans le dossier d’installation.
Les paramètres de configuration sont en lecture seule au démarrage.
Le chemin du fichier de configuration PTAgent sur l’hôte ESXi est le suivant:
/opt/dell/DellPTAgent/cfg/PTAgent.config
Paramètre du certificat de configuration PTAgent:
| certificate_store_path |
Chemin d’accès complet des fichiers de certificat utilisés dans SSL avec des clients REST, séparés par des virgules. |
Exemple de certificat PTAgent par défaut:
"certificate_store_path": {
"description": "List of SSL certificates file path",
"value": "/opt/dell/DellPTAgent/secure/pta_server.crt,/opt/dell/DellPTAgent/secure/pta_server.key,/opt/dell/DellPTAgent/secure/pta_dhparm.pem
"defaultValue": "/opt/dell/DellPTAgent/secure/pta_server.crt,/opt/dell/DellPTAgent/secure/pta_server.key,/opt/dell/DellPTAgent/secure/pta_dhparm.pem
},
[root@c1-esx01:/opt/dell/DellPTAgent/cfg] openssl s_client -connect {ESXi_IPv4|ESXi_IPv6}:8086
CONNECTED(00000003)
depth=0 C = US, ST = Texas, L = Round Rock, O = Dell EMC Inc, OU = Server Storage HCI, CN = dellemc.com
verify error:num=18:self signed certificate
verify return:1
depth=0 C = US, ST = Texas, L = Round Rock, O = Dell EMC Inc, OU = Server Storage HCI, CN = dellemc.com
verify return:1
---
Certificate chain
0 s:/C=US/ST=Texas/L=Round Rock/O=Dell EMC Inc/OU=Server Storage HCI/CN=dellemc.com
i:/C=US/ST=Texas/L=Round Rock/O=Dell EMC Inc/OU=Server Storage HCI/CN=dellemc.com
---