Zertifikate für vCenter 7 im vSphere Client ausstellen, erneuern oder ersetzen

In der neuen Version verringert VMware die Komplexität des Themas, verkleinert die Anzahl der erforderlichen Zertifikate und integriert die Zertifikats­verwaltung vollständig in den HTML5-Client.

Das neue Zertifikats-Management findet sich in der Navigation unter Verwaltung im Abschnitt Zertifikate unter Zertifikat­verwaltung. Die Seite bietet die folgenden Optionen:

• Anzeigen und Verwalten von Details zum SSL-Zertifikat des vCenter Server-Computers (Machine SSL-Zertifikat)
• Anzeigen von Details zu vertrauens­würdigen Stammzertifikaten und Hinzufügen neuer vertrauenswürdiger Stammzertifikate

Lösungsbenutzer-Zertifikate werden ab vSphere 7 in der GUI ausgeblendet, denn sie gelten nun als veraltet ("deprecated"). Sie wurden laut VMware durch einen weniger komplexen, aber genauso sicheren Mechanismus ersetzt, um andere Produkte wie vRealize Operations oder vRealize Log Insight anzubinden.

Übrigens: Das Lösungs­benutzer­zertifikat machine ist nicht mit dem SSL-Zertifikat machine identisch. Ersteres wird ausschließlich für den Austausch von SAML-Tokens benötigt, während das Zweite für SSL-Verbindungen mit einer Maschine verwendet wird.

Mit einem Klick auf Details anzeigen lassen sich die Eigenschaften des Zertifikats ausgeben, ein­schließlich des Zeitraums, für den das Zertifikat gültig ist.

Im Menü Aktionen des SSL-Zertifikats für den vCenter-Server stehen die Optionen Erneuern, Zertifikat importieren und ersetzen sowie Zertifikatssignierungs­anforderung, also das Generieren einen CSR, zur Auswahl.

Zertifikat erneuern

Mit Erneuern kann man ein von der VMware CA, die in vCenter Server integriert ist, ausgestelltes Zertifikat verlängern. Hier muss man dann nur im Dialog Zertifikat mithilfe von VMCA verlängern auf den Button Erneuern klicken.

Diese Aktion führt dazu, dass die Dienste von vCenter durch den Neustart offline geschaltet werden, so dass davon abhängige Prozesse während dieser Zeit nicht verfügbar sind. Daher wird für den Austausch von Zertifikaten ein geplantes Wartungs­fenster vorgeschlagen.

vCenter-Zertifikat ersetzen

Mit der zweiten Option kann man das Maschinen­zertifikat von vCenter entweder durch das VMCA-Zertifikat oder durch ein selbst­signiertes Zertifikat ersetzen. Alternativ bietet sich an, ein von einer CA eines Drittanbieters signiertes Zertifikat zu installieren.

Wir wählen für die folgende Abbildung zunächst die erste Variante, füllen die Zertifikatsdetails nach den eigenen Vorgaben aus und klicken auf Replace.

Die VMware CA generiert dann eine CSR, um das aktuelle Zertifikat zu ersetzen. Auch dieser Vorgang zieht wieder einen Neustart des vCenter-Servers nach sich, der etwa 10 bis 15 Minuten in Anspruch nehmen kann.

Um ein selbstsigniertes Computer-Zertifikat für vCenter Server zu importieren oder zu ersetzen, dessen CSR von VMware CA erstellt wurde, wählt man dann bei Typ des zu ersetzenden Zertifikats auswählen den Eintrag Durch ein vom vCenter Server generiertes Zertifikat ersetzen.

Hier muss der Admin dann mit Hilfe der beiden Schaltflächen Datei durchsuchen die jeweiligen Dateien zum Maschinen-SSL-Zertifikat und zur vertrauens­würdigen Root-CA angeben.

Um das aktuelle vCenter Server-Zertifikat durch eine von einem Drittanbieter ausgestellte Kombination aus Zertifikat und Schlüssel zu ersetzen, wählt man ebenfalls Zertifikat importieren oder ersetzen und dann Durch externes CA-Zertifikat ersetzen (privater Schlüssel erforderlich). Hier importiert man ein CA-signiertes Zertifikat eines Drittanbieters.

Zum Generieren einer Zertifikats­signierungs­anforderung (CSR) muss man die passenden Informationen wie den allgemeinen Namen, die Organisation, die Organisationseinheit und das Land eingeben.

Zertifikatanforderung erzeugen

Auch ein CSR lässt sich in Version 7 nun über GUI erzeugen.

Hierzu wählt man im Menü Aktionen des aktuellen Maschinen­zertifikats den Eintrag Zertifikats­signierungs­anforderungen generieren und füllt den Dialog Info eingeben gemäß den eigenen Anforderungen aus.