VCSA6.x各種証明書更新手順

Irana

切れるとVCSAにログインできなくなったり、管理できなくなったり、色々不都合があるのでメモとして。
割と盲点なのは、マシンSSLを更新した時のNSXとVeeamかなぁ。。。

1.STS証明書更新

※参考：VCSA 6.5.x/6.7.x 及び vCenter Server 7.0.x の「署名証明書が有効ではありません (Signing certificate is not valid)」エラー (76719)

  1. ホストクライアントからvCenterのスナップショットを取得
  2. VCSA管理の「アクセス」でSSHとBashシェルを有効化する
  3. SSHでvCenterにログイン
  4. KB76719に添付のfixsts.shをアップする（できなかったらviで中身コピー）
  5. chmod +x fixsts.shでfixsts.shに実行権限をつける
  6. fixsts.shを実行する（administrator@vsphere.localのパスワードを要求される）
  7. サービスを再起動する（5～10分くらいかかる）
    service-control --stop --all
    service-control --start --all
  8. flashクライアントでSTS証明書の有効期限を確認する

2.SSL証明書更新

2-1.6.5の場合

※参考：Platform Services Controller Web インターフェイスからの新しい VMCA 署名付き証明書への証明書の置き換え

  1. Platform Services Controller（以下PSC）にadministrator@vsphere.localでログインする
    （https://vcenter-FQDN/psc）
  2. Certificates→Certificate Management→信頼できるルート証明書タブで期限を確認する（以下、期限に余裕がある場合。期限が近い場合はルート証明書も更新する必要がある）
  3. マシンSSL証明書タブ及び及びソリューション証明書タブでそれぞれの期限を確認する
  4. マシンSSL証明書タブで対象の証明書を選択し「更新」→「はい」
  5. 正常に終了することを確認する
  6. ソリューション証明書に移動し、「すべてを更新」→「はい」
  7. 正常に終了することを確認する
  8. vCenterにSSHで接続し、サービスを再起動する（5～10分くらいかかる）
    service-control –stop –all
    service-control –start –all
  9. ブラウザのキャッシュを削除し、vCenterにログインする
  10. メニュー→管理→証明書の管理
  11. vCenterのFQDN、Administrator@vSphere.localでログイン
  12. 証明書の期限が更新されている事を確認する

2-2.6.7の場合

※参考：vSphere Clientからの新しい VMCA 署名付き証明書への証明書の置き換え

  1. vCenterにログイン、メニュー→管理→証明書の管理
  2. vCenterのFQDN、Administrator@vSphere.localでログイン
  3. 信頼できるルート証明書（一番下）の期限を確認する
  4. ルート証明書の期限に余裕がある事を確認する（期限が近い場合は別途）
  5. マシンSSL証明書及びソリューション証明書の期限を確認する
  6. マシンSSL証明書のアクション→更新を実施する
  7. ソリューション証明書の「すべてを更新」を実施する
  8. ブラウザのキャッシュを削除し、vCenterにログインする
  9. メニュー→管理→証明書の管理
  10. vCenterのFQDN、Administrator@vSphere.localでログイン
  11. 証明書の期限が更新されている事を確認する

3.関連サービスの証明書再インポート（再認証）

これ忘れると、SSLエラーが起きてvCenterとSSLで通信してるサービスが使えなくなる。。。
とりあえず、NSXとVeeamだけメモ的に。

3-1. NSX再認証（再登録）

  1. NSXManagerにログインする（https://nsxmanager-fqdn/ ）
  2. 「Manage vCenter Registration」をクリック
  3. 「Lookup Service URL」と「vCenter Server」のステータスがDisconnectedであることを確認
  4. 「vCenter Server」→「Edit」
  5. 「vCenter Server」にvCenterのFQDN、「vCenter User Name」に「Administrator@vSphere.local」、「Password」にパスワードを入力し、「OK」
  6. 「Trust Certificate?」と聞いてくるので「Yes」
  7. 「Status」が「Connected」であることを確認する
  8. 同様に「Lookup Service URL」→「Edit」
  9. 「SSO Administrator User Name」、「Password」は4と同様に入力し、「OK」
  10. 「Trust Certificate?」と聞いてくるので「Yes」
  11. 「Status」が「Connected」であることを確認する
  12. 「Last successful inventory」の日付が、再認証した時間であることを確認する

※補足

VMware公式ドキュメントに以下の記述がある。

既存の NSX Manager の vCenter Server の登録を変更する場合は、最初にすべての NSX 構成を削除し、vCenter Server システムから NSX Manager プラグインを削除する必要があります。手順については、NSX 環境の安全な削除を参照してください。または、新しい NSX Manager アプライアンスをデプロイして、新しい vCenter Server システムを登録することも可能です

NSX Manager への vCenter Server の登録

この場合の「登録変更」とは、「新しいvCenterをNSXに登録すること」であり、「既存vCenterの登録情報を変更すること」ではないため、証明書更新の場合は構成削除は不要。

3-2. Veeam再認証

  1. Veeamサーバにログイン
  2. Veeamマネージャを起動
  3. INVENTORY→Virtual Infrastracture→VMware vSphere→vCenter Servers→vCenterのホスト名を右クリックして「Properties」
  4. 「Credentials」まで進める
  5. VeeamからvCenterに接続するアカウントとパスワードに変更がなければそのまま「Apply」を、あった場合は「Manage Accounts」でアカウント情報を修正する
  6. 「Apply」後、Certificate Security Alert ダイアログが出るので、「View」をクリック
  7. 証明書が出力されるので、「証明書のインストール」をクリック
  8. 証明書のインポートウィザードで証明書を再インストールする（保存場所は「ローカルコンピュータ」、証明書ストアは「自動」）
  9. Certificate Security Alert で「Continue」をクリック
  10. VCSAと接続ができていることを確認
  11. VCSAと接続後DBの再構築が発生するので、少し待ってから再度INVENTORY→Virtual Infrastracture→VMware vSphere→vCenter Servers→vCenterのホスト名をクリック
  12. 右ペインに仮想マシン名が表示されたらOK

※参考手順

Veeam Backup & Replication 9.5u4b の証明書の再インストール手順
（あくまで参考。もしJOBの失敗後の場合は、上記リンクのやり方でも多分大丈夫）