VMware vCenter Server Applianceで利用している、以下の証明書の更新方法を説明します。

vSphere 7.0、及びvSphere 8.0の場合は、「マシンSSL証明書、及びソリューションユーザ証明書の更新」のみ実施してください。

• STS証明書の更新
• マシンSSL証明書、及びソリューションユーザ証明書の更新

STS証明書の更新

VMware vCenter Server Applianceで利用しているSTS証明書の更新方法を説明します。

なお、SSHでリモート接続するには、SSHクライアントソフトをご用意ください。本オンラインマニュアルでは、Windows用フリーソフトウェアとして配布されているターミナルエミュレータ「Tera Term」を使用した更新方法を説明します。

1．以下のURLより「fixsts.sh」スクリプトをダウンロードします。

• 「"Signing certificate is not valid" error in VCSA 6.5.x,6.7.x or vCenter Server 7.0.x (76719)（https://kb.vmware.com/s/article/76719）」

2．リモートデスクトップ接続を使用し、運用管理サーバへ接続します。

3．ダウンロードした「fixsts.sh」スクリプトを、運用管理サーバのローカルディスクへアップロードします。

4．「fixsts.sh」スクリプトをVMware vCenter Server Appliance上に転送します。STS証明書が有効期限内である場合は、手順5.に進んでください。

５．スタートボタンをクリックし、「Windows PowerShell」フォルダの「Windows PowerShell」を右クリックして、「管理者として実行する」をクリックします。

６．以下のコマンドを実行し、VMware vCenter Server Applianceに接続します。

PS> Connect-VIServer -Server ＜VMware vCenter Server ApplianceのIPアドレスまたはFQDN＞ -User administrator@vsphere.local -Password ＜administrator@vsphere.localのパスワード＞

７．以下のコマンドを実行し、「fixsts.sh」スクリプトをVMware vCenter Server Applianceに転送します。

PS> Copy-VMGuestFile -VM ＜VMware vCenter Server Applianceの仮想マシン名＞ -LocalToGuest -Source ＜fixsts.shスクリプトのファイルパス＞ -Destination “/tmp/fixsts.sh” -GuestUser root -GuestPassword ＜VMware vCenter Server Applianceのrootユーザのパスワード＞

８．以下のコマンドを実行し、Windows PowerShellを終了します。

PS> exit

９運用管理サーバからログオフします。

10．「Tera Term」を起動し、VMware vCenter Server Applianceに接続します。

11. VMware vCenter Server Applianceに接続後、以下の画面が表示されるため、「shell」と入力し、Enterキーを押します。

12．以下のコマンドを実行し、「fixsts.sh」スクリプトが存在することを確認します。

# ls -l /tmp/fixsts.sh
 -rw-r--r-- 1 root root 9126 Aug 10 09:00 /tmp/fixsts.sh

13．以下のコマンドを実行し、「fixsts.sh」スクリプトに実行権限を付与します。

# chmod +x /tmp/fixsts.sh

14．以下のコマンドを実行し、「fixsts.sh」スクリプトを実行します。スクリプト実行後、administrator@vsphere.localのパスワードの入力を求められるため、パスワードを入力します。

15．「adding new entry」から始まる2行、及び「Replacement finished」が表示されることを確認します。

16．更新した証明書を適用するため、以下のコマンドを実行し、VMware vCenter Serverのサービスを停止します。

# service-control --stop --all

17．以下のコマンドを実行し、VMware vCenter Serverのサービスを起動します。

# service-control --start --all

18．STS証明書の有効期限が更新されていることを確認します。

マシンSSL証明書、及びソリューションユーザ証明書の更新

VMware vCenter Server Applianceで利用しているマシンSSL証明書、及びソリューションユーザ証明書を更新する方法を説明します。

なお、SSHでリモート接続するには、SSHクライアントソフトをご用意ください。本オンラインマニュアルでは、Windows用フリーソフトウェアとして配布されているターミナルエミュレータ「Tera Term」を使用して更新する方法を説明します。

1．「Tera Term」を起動し、VMware vCenter Server Applianceに接続します。

2．VMware vCenter Server Applianceに接続後、以下の画面が表示されるため、「shell」と入力し、Enterキーを押します。

3．以下のコマンドを実行し、vSphere Certificate Managerを起動します。

# /usr/lib/vmware-vmca/bin/certificate-manager

オプション選択画面が表示されます。

4．更新する証明書に応じて、「3」、または「6」を入力し、実行します。

Option[1 to 8]: ＜3、または6を入力＞

5．「6」を入力した場合は、ソリューションユーザ証明書のすべてのSTOREを更新するか確認されるため、「Y」を入力し、実行します。「6」以外を入力した場合は、手順6.に進みます。

Do you wish to generate all certificates using configuration file : Option[Y/N] ? : Y

6．vCenter Single Sign-OnのAdministrator権限の認証情報を入力します。

Please provide valid SSO and VC priviledged user credential to perform certificate operations.
Enter username [Administrator@vsphere.local]:
Enter password:

7．証明書の発行に必要な情報を入力します。各パラメータには「デフォルト値」、あるいはご利用の環境の情報を入力してください。

オプション選択画面が表示されます。

certool.cfg file exists, Do you wish to reconfigure : Option[Y/N] ? : ＜YまたはNを入力＞

8．入力された値に誤りがないことを確認し、「Y」を入力し、実行します。

Continue operation : Option[Y/N] ? : Y

9．「Status : 100% Completed [All tasks completed successfully]」と表示されることを確認します。

10．マシンSSL証明書を更新した場合は、以下のコマンドを実行し、VMware vCenter Server Appliance管理インターフェイスを再起動します。再起動により、管理インターフェイス画面の証明書が更新されます。マシンSSL証明書を更新していない場合は、手順11.に進みます。

# /etc/init.d/vami-lighttp restart
  Restarting vami-lighttp (via systemctl): [ OK ]
 #

11．証明書の有効期限が更新されていることを確認します。

12．証明書の更新時、更新前の証明書が自動的にバックアップされます。バックアップされた証明書の有効期限まで30日以内になった場合は、アラームが発生します。アラームは、バックアップされた証明書を削除することで抑止できます。削除方法は、「バックアップされた証明書の削除」をご参照ください。

（アラーム例）
「BACKUP_STORE」からの証明書「C=US,CN=ehv12345678vcsa.pri.p2.local」の有効期限は 2020-08-01 17:00:00.000 です。

13．バックアップセット/VW、VMware NSX、及びVMware vSphere Replicationをご利用の場合は、「VMware vCenter Serverと連携している製品の対応」の手順を実施してください。