Dell VxRail bijwerken met aangepaste certificaten (op te lossen door klant)

vSphere gebruikt certificaten om:

• Versleutel de communicatie tussen twee knooppunten, zoals vCenter Server en een ESXi-host.
• VSphere-services verifiëren.
• Voer interne acties uit, zoals het ondertekenen van tokens.

De interne certificaatautoriteit van vSphere, VMware Certificate Authority (VMCA), biedt alle certificaten die nodig zijn voor vCenter Server en ESXi. VMCA wordt geïnstalleerd op elke Platform Services Controller, waardoor de oplossing onmiddellijk wordt beveiligd zonder enige andere wijziging. Het behouden van deze standaardconfiguratie biedt de laagste operationele overhead voor certificaatbeheer. vSphere biedt een mechanisme om deze certificaten te vernieuwen in het geval dat ze verlopen.

vSphere biedt ook een mechanisme om bepaalde certificaten te vervangen door uw eigen certificaten. Het wordt echter aangeraden om alleen het SSL-certificaat te vervangen dat versleuteling tussen knooppunten biedt, om de overhead voor certificaatbeheer laag te houden.

Aangepaste certificaatintegratie

De vSphere-omgeving is flexibel om klanten de mogelijkheid te bieden om te werken met aangepaste SSL-certificaten, omdat hun bedrijfsbeleid dat soms verplicht. De volgende stappen begeleiden u bij het wijzigen van certificaten voor verschillende componenten in een VxRail-omgeving.

1. Het zelfondertekende certificaat van VxRail Manager vervangen
   • Deze procedure is toegankelijk via de SolVe online portal. Ga naar Procedures > 'How To' (Procedures) om andere VxRail clusterinstellingen te wijzigen > Kies uw huidige VxRail Manager versie > Vervang het SSL-certificaat van VxRail Manager en genereer de procedure. Als u geen toegang hebt tot die portal, neemt u contact op met Dell Support. Zie kb-artikel VxRail voor richtlijnen voor het maken van de aanvraag voor certificaatondertekening en het wijzigen van de ontvangen certificeringsbestanden: Een nieuw certificaat aanvragen voor VxRail Manager.
2. VCenter Server-certificaten vervangen met behulp van een ondertekend certificaat van de Custom Certificate Authority (CA)
   • Volg de handleiding die beschikbaar is bij VMware: Genereer aanvragen voor certificaatondertekening met vSphere Certificate Manager (aangepaste certificaten).
   • Voor een beter overzicht van het proces van certificaatvervanging met Certificate Manager, zie VMware KB Een vSphere 6.x/7.x Machine SSL-certificaat vervangen door een custom certificate authority signed certificate (2112277).
   • Zie KB-artikelen Dell VxRail voor informatie over het genereren van een aangepast ondertekend certificaat met psc: Csr's genereren (aanvraag voor certificeringsondertekening) en persoonlijke sleutels op PSC en VxRail: Genereer een aangepast ondertekend certificaat van PSC.
3. De vertrouwensrelatie tussen VxRail Manager en vCenter Server handmatig herstellen na aangepaste certificaatintegratie
   • Na vervanging van vCenter Server-certificaten moeten de nieuwe certificaten handmatig worden bijgewerkt op de VxRail Manager VM om herstel van vertrouwen tussen beide entiteiten mogelijk te maken. Volg het KB-artikel VxRail om dit te bereiken: Het vCenter SSL-certificaat handmatig importeren in VxRail Manager.
4. SSL-certificaten voor ESXi-host vervangen
   • Vereisten voor ESXi-certificaatondertekeningsaanvragen zijn beschikbaar op VMware op https://docs.vmware.com/en/VMware-vSphere/6.7/com.vmware.vsphere.security.doc/GUID-0AE0B563-59D6-45A5-BF46-6FE68607687B.html.
   • Als u wilt overschakelen naar het gebruik van aangepaste certificaten op de ESXi-hosts in een vSAN-omgeving, volgt u VMware KB Aangepast certificaat toevoegen op ESXi-hosts via CLI (56441). Het is altijd de voorkeur om een back-up te maken van de oude ESXi-certificaten buiten de host (met behulp van clients zoals WinSCP bijvoorbeeld) om terug te kunnen keren in het geval er zich problemen voordoen binnen het vervangingsproces.
5. VRealize Log Insight-certificaten vervangen
   • Volg de handleiding die beschikbaar is op https://docs.vmware.com/en/vRealize-Log-Insight/4.5/com.vmware.log-insight.administration.doc/GUID-93E0A9FA-9C72-47AE-9E54-9982F4604FE1.html.

Als u problemen ondervindt tijdens het vervangen van het certificaat, neem dan contact op met Dell Support voor hulp.

• Dell EMC VxRail: Vereisten voor VxRail Manager SSL-certificaat in cluster met mTLS
• Dell EMC VxRail: Kan zich niet aanmelden bij vCenter met fout 500 SSO. PSC- en VC-certificaten zijn verlopen en kunnen niet worden verlengd.