カスタム証明書を使用したDell VxRailのアップデート（お客様による修正が可能）

vSphereでは、次の目的で証明書を使用します。

• vCenter ServerとESXiホストなど、2つのノード間の通信を暗号化する
• vSphereサービスを認証する
• トークンの署名などの内部アクションを実行する

vSphereの内部認証局であるVMware Certificate Authority (VMCA)は、vCenter ServerとESXiに必要なすべての証明書を提供します。VMCAはすべてのPlatform Services Controllerにインストールされ、他の変更を行わずにソリューションをただちに保護します。このデフォルト構成を維持すると、証明書管理の運用オーバーヘッドが最小限に抑えられます。vSphereは、これらの証明書の有効期限が切れた場合に更新するメカニズムを提供します。

vSphereには、特定の証明書を独自の証明書に置き換えるメカニズムも用意されています。ただし、証明書管理のオーバーヘッドを低く抑えるために、ノード間の暗号化を提供するSSL証明書のみを置き換えることをお勧めします。

カスタム証明書の統合

vSphere環境は柔軟性に優れており、お客様は、会社のポリシーによって義務付けられることのある、カスタムSSL証明書を使用することができます。次の手順では、VxRail環境内のさまざまなコンポーネントの証明書を変更する手順について説明します。

1. VxRail Managerの自己署名証明書の置き換え
   • この手順には、SolVeオンラインポータルからアクセスできます。［'How To' Procedures］>［'How To' Change other VxRail Cluster settings］>［ Choose your current VxRail Manager version］>［Replace the VxRail Manager SSL Certificate］に移動して、手順を生成します。ポータルにアクセスできない場合は、Dellサポートにお問い合わせください。証明書署名リクエストの作成および受信した証明書ファイルの変更に関するガイダンスについては、KB記事「VxRail：VxRail Managerの新しい証明書を申請する方法（英語）」を参照してください。
2. カスタム認証局(CA)署名済み証明書を使用したvCenter Server証明書の置き換え
   • VMwareで入手可能なガイド：「Generate Certificate Signing Requests with vSphere Certificate Manager (Custom Certificates)」に従ってください。
   • 証明書マネージャーを使用した証明書の交換プロセスの概要については、VMware KB「Replacing a vSphere 6.x /7.x Machine SSL certificate with a Custom Certificate Authority Signed Certificate (2112277)」を参照してください。
   • PSCを使用してカスタム署名付き証明書を生成する方法については、KB記事「Dell VxRail：PSCでCSR（証明書署名リクエスト）と秘密キーを生成する方法」を参照してください。
3. カスタム証明書の統合後のVxRail ManagerとvCenter Server間の信頼の手動再確立
   • vCenter Server証明書を置き換える場合は、両方のエンティティ間の信頼を再確立できるように、VxRail Manager VMで新しい証明書を手動で更新する必要があります。これを実現するには、KB記事「VxRail：VxRail ManagerでvCenter SSL証明書を手動でインポートする方法」に従ってください。
4. ESXiホストのSSL証明書を置き換える
   • ESXi証明書署名リクエストの要件は、VMwareで参照できます(https://docs.vmware.com/en/VMware-vSphere/6.7/com.vmware.vsphere.security.doc/GUID-0AE0B563-59D6-45A5-BF46-6FE68607687B.html)。
   • vSAN環境のESXiホストでカスタム証明書を使用するように切り替えるには、VMware KB「Adding Custom Certificate on ESXi hosts through CLI (56441)」に従ってください。交換プロセスで問題が発生した場合に元に戻せるように、古いESXi証明書のバックアップをホストの外部で（たとえばWinSCPなどのクライアントを使用して）作成することをお勧めします。
5. vRealize Log Insight証明書の置き換え
   • https://docs.vmware.com/en/vRealize-Log-Insight/4.5/com.vmware.log-insight.administration.doc/GUID-93E0A9FA-9C72-47AE-9E54-9982F4604FE1.htmlで入手可能なガイドに従ってください。

証明書の交換中に問題が発生した場合は、Dellサポートにお問い合わせください。

• Dell EMC VxRail：mTLS対応クラスターでのVxRail Manger SSL証明書の要件（英語）
• Dell EMC VxRail：エラー500 SSOでvCenterにログインできません。PSC&VC 証明書の有効期限が切れ、更新に失敗しました。」