如何使用 vSphere Certificate Manager 替换 SSL 证书 (2097936)
本文介绍何时以及如何使用 vSphere 6.x/7.x 版本的 Certificate Manager。
vSphere Certificate Manager 可用于：
- 实施默认证书（使用选项 4）
- 未计划实施由企业 CA (如 Microsoft Windows CA) 或商业 CA（Verisign、GoDaddy 等）签署的自定义 CA 证书时，可以使用此选项。
- 在此环境中，vSphere 证书由 VMCA 生成和颁发，并由 vSphere Endpoint Certificate Store (VECS) 存储。
- 默认情况下，在 vSphere 之外这些证书不被信任。
- 将 VMCA 证书替换为自定义 CA 证书（使用选项 2）
- 在此环境中，将默认的 VMCA 证书和密钥替换为来自企业 CA (如 Microsoft Windows CA) 或商业 CA（Verisign、GoDaddy 等）的自定义 CA 证书和密钥。
- 然后 VMCA 将用于生成新 vSphere 证书，这些证书将由以前导入的自定义 CA 证书和密钥签署。
- 在 vSphere 之外，这些由 VMCA 颁发的证书是被信任的。
- 将所有 vSphere 证书和密钥替换为自定义 CA 证书和密钥（使用选项 5）
- 在此环境中，将计算机证书和所有的解决方案用户证书替换为由企业 CA (如 Microsoft Windows CA) 或商业 CA（Verisign、GoDaddy 等）签署的自定义 CA 证书。
- VMCA 不负责颁发这些证书。
请注意：在 vSphere 7.x 中，可以在 vCenter 用户界面中执行步骤 1 和 2。
Resolution
注意：对于 vSphere vCenter 7.x，可以在用户界面中通过如下路径更新证书或生成证书签名请求：菜单 > 管理 > 证书 > 证书管理。在 计算机 SSL 证书 部分，选择操作 下拉菜单。
注意：在 Windows 上，如果启用了用户访问控制，请务必以管理员身份登录或“以管理员身份运行”
要启动 vSphere Certificate Manager，请运行如下命令：
- vCenter Server（Windows 版本）：C:\Program Files\VMware\vCenter Server\vmcad\certificate-manager
- vCenter Server Appliance：/usr/lib/vmware-vmca/bin/certificate-manager
运行 certificate-manager 命令时，将为您提供 8 个选项，如屏幕截图中所示。
- 将计算机 SSL 证书替换为自定义 CA 证书。
计算机 SSL 证书提供了一个子选项，用于为计算机 SSL 证书生成证书签名请求和密钥。
所需信息：
- administrator@vsphere.local 密码。
- 指向计算机证书的自定义证书和密钥的路径。
- 指向 VMCA Root 的自定义证书的路径
-
将 VMCA Root 证书替换为自定义 CA 签名证书，并替换所有证书。
提供了一个子选项，用于为 VMCA 根签名证书生成证书签名请求和密钥。
所需信息：- administrator@vsphere.local 密码
- 配置 certool.cfg 文件（VMCA 生成证书时使用）
- 根签名证书
- 根签名密钥
可选信息：
- 是否要将所有的解决方案用户证书替换为自定义 CA？
- 是：指向解决方案用户（vpxd、vpxd-extension、vsphere-webclient、machine）的自定义证书和密钥的路径。
注意：稍后也可以使用选项 5 执行此步骤。- 否：VMCA 将使用提供的自定义 CA 签名证书为解决方案用户生成新的证书/密钥。
注意：稍后也可以使用选项 6 执行此步骤。
- 是否要将计算机 SSL 证书替换为自定义 CA？
- 是：指向计算机证书的自定义证书和密钥的路径。
注意：稍后也可以使用选项 1 执行此步骤。- 否：VMCA 将使用提供的自定义 CA 签名证书为计算机生成新的证书/密钥。
注意：稍后也可以使用选项 3 执行此步骤。
-
将计算机 SSL 证书替换为 VMCA 生成的证书。
所需信息：
- administrator@vsphere.local 密码
- 配置 certool.cfg 文件（VMCA 生成证书时使用）
- 重新生成新的默认 VMCA Root 证书，并替换所有证书。
所需信息：
- administrator@vsphere.local 密码
- 配置 certool.cfg 文件（VMCA 生成证书时使用）
-
将解决方案用户证书替换为自定义 CA 证书。
所需信息：- administrator@vsphere.local 密码
- 指向自定义根 CA 证书的路径
- 指向 vpxd 解决方案用户的自定义证书和密钥的路径
- 指向 vpxd-extension 解决方案用户的自定义证书和密钥的路径
- 指向 vSphere-webclient 解决方案用户的自定义证书和密钥的路径
- 指向 machine 解决方案用户的自定义证书和密钥的路径
- 将计算机 SSL 证书和解决方案用户证书替换为 VMCA 生成的证书。
所需信息：
administrator@vsphere.local 密码
- 通过重新发布旧证书恢复上次执行的操作。
- 重置所有证书。
所需信息：
- administrator@vsphere.local 密码
- 配置 certool.cfg 文件（VMCA 生成证书时使用）
Related Information
- 有关实施 CA 签名证书的详细信息，请参见 Replacing default certificates with CA signed SSL certificates in vSphere 6.x 。
- Using certool to generate CSRs that include multiple DNS names for one host
注意： 当前，vCenter Server 仅与 VMCA 集成在一起。vSphere Certificate Manager 和 VMCA 当前不能用于向任何其他产品颁发证书。
日志文件位置：
- vSphere Certificate Manager 将 certificate-manager.log 文件存储在 se 位置中：
- Windows vCenter Server 6.x: C:\ProgramData\VMware\vCenterServer\logs\vmca\certificate-manager.log
- vCenter Server Appliance 6.x/7.x: /var/log/vmware/vmcad/certificate-manager.log
- certool.cfg 文件的位置： C:\Program Files\VMware\vCenter Server\vmcad\certool.cfg.:
- vCenter Server Appliance 和 Platform Services Controller 设备中的配置文件位置：
- vCenter Server Appliance: /usr/lib/vmware-vmca/share/config/certool.cfg
- Platform Service Controller Appliance: /usr/lib/vmware-vmca/share/config/certool.cfg