- Создание сертификатов
- Начнем менять с Vcenter
- Замена сертификата на VMware Site Recovery Manage
- Veeam vmsp and vmtsp – done |
- Аудит
- Виртуализация – управление сертификатами в vmware vsphere 7 и режимы оперирования
- Замена сертификата на vmware vcsa 6.x |
- Подготовка к экзамену
- Поддержка, проверка и сертификация
- Сертификаты — ниалком
- Требования к сдающему экзамен
- Экзамен
- Язык экзамена
Создание сертификатов
Я буду использовать локальный сервер выдачи сертификатов, но данный способ подойдет для выпуска сертификатов и на коммерческих площадках.
Подготовим запросы к центру сертификации.
Я дал имена типа FQDN:
- Vcenter Server имеет имя vc.home.local и ip 192.168.233.11
- VMware Replication Server я назвал как vr.home.local и ip 192.168.233.12
- VMware Site Recovery Manage также srm.home.local и ip 192.168.233.13
Для этих имен будем готовить запросы и закрытые ключи в программе
openssl
. Для этого изготовим небольшой конфигурационный файл
vc.cfg
с содержимым. Далее для каждого нового сервера я буду менять содержимое этого файла подставляя имена серверов и ip адреса:
[req]
default_bits = 2048
distinguished_name = req_distinguished_name
req_extensions = v3_req
prompt = no
[req_distinguished_name]
countryName = RU
stateOrProvinceName = RO
localityName = RnD
organizationName = HOME
commonName = vc.home.local (меняем)
emailAddress = root@home.local
[v3_req]
basicConstraints = CA:FALSE
keyUsage = digitalSignature, keyEncipherment, keyAgreement
subjectAltName = @alt_names
[alt_names]
DNS.1 = vc.home.local (меняем)
IP.2 = 192.168.233.11 (меняем)
Далее используем openssl
1.1 Делаем vc.home.local
openssl req -batch -new -newkey rsa:2048 -nodes -keyout vc.home.local.key -out vc.home.local.req -config vc.cfg1.2 Меняем имена и ip сервера в vc.cfg и выпускаем ключ и запрос для vr.home.local
openssl req -batch -new -newkey rsa:2048 -nodes -keyout vr.home.local.key -out vr.home.local.req -config vc.cfg1.3 Меняем имена и ip сервера в vc.cfg и выпускаем ключ и запрос для srm.home.local
openssl req -batch -new -newkey rsa:2048 -nodes -keyout srm.home.local.key -out srm.home.local.req -config vc.cfg1.4 Дополнительно понадобятся сертификаты для служб vcenter (vpxd, vsphere-webclient, vpxd-extension)
делаем их командой:
openssl req -new -newkey rsa:2048 -nodes -keyout vpxd.key -out vpxd.req
Мы попадем в небольшой визард, там мы введем информацию о себе или о компании. Обязательно в поле «Common Name» мы пишем имя службы. Повторяем процедуру для оставшихся служб. На выходе у нас получается закрытый ключ и запрос на сертификат.
Начнем менять с Vcenter
Для этого мы заходим в раздел
администрирования
, и переходим в раздел
сертификаты
Замена сертификата на VMware Site Recovery Manage
На этом сервере все делается из веб интерфейса в меню
Certificate
Заходим в административную панель srm.home.local:5480
- Добавляем наш root ca кнопкой ADD
- Меняем текущий сертификат кнопкой CHANGE
На этом мы закончили смену всех сертификатов.
Всем спасибо!
Veeam vmsp and vmtsp – done |
Had a bit of down time running towards Christmas and updated my Veeam Certifications to 9.5 for VMSP and VTSP. These are very useful certifications for the company I work for, it demonstrates that we know as an organisation how to best implement Veeam for our clients with our backup and disaster recovery services.
I personally this time around found the VTSP quite a challenging exam and it was pretty technical, but you should know your products if you want to sell and implement them correctly. The VMSP certification was useful in updating myself and clients on what the key updates to 9.5 are.
Check the exams and certifications here..
Tags: Certifcations, veeam
Allen is an IT Consultant and holds the following accreditations. MCSA, MCSE, MCTS, MCITP, CCA, CCSP, VCP 4,5, 6 and HP ASE, AIS – Network Infrastructure.
Аудит
Некоторые считают (включая автора
на Хабре), что заявка подвергается аудиту по какой-то причине: неполноты информации или «подозрительного» вида. На практике это в чистом виде «рандом»: система случайным образом выбирает 10% всех заявок и рассылает письма о необходимости прислать подтверждения документов через курьерскую службу.
Вы вкладываете копию диплома (PMI надеется на вашу честность, но не проверяет подлинность диплома), его перевод на английский в свободно форме (нотариальный перевод не требуется – не тратьте лишних денег), сертификаты, подтверждающие обучение и получение PDU (или письмо в свободной форме от тренера, подтверждающее, что вы проходили курс), а также письмо (или письма) от руководителя (руководителей), подтверждающие ваш практический опыт, в конверт.
Конверт желательно отправить курьерской службой на адрес PMI. Почему-то все пишут о немецком DHL, но мы бы в целях экономии рекомендовал американский Pony Express. Во-первых, это логичнее, раз уж отправляете конверт в США, во-вторых, на момент написания этого текста, цена в DHL была свыше 3000 рублей, в Pony – менее полутора.
В течение 2-3 недель после этого приходит письмо об успешном прохождении аудита. Таким образом, аудит может лишь увеличить стоимость получения сертификата (как для честного, так и для не очень честного кандидата), но никак не обеспечить соответствие кандидата требованиям.
Виртуализация – управление сертификатами в vmware vsphere 7 и режимы оперирования
Как все уже знают, недавно компания VMware выпустила обновление своей флагманской платформы VMware vSphere 7. Одновременно с этим были выпущены новые версии и других продуктов серверной и десктопной линеек.
Сегодня мы поговорим об особенностях управления сертификатами в обновленной инфраструктуре vSphere 7. Во-первых, сертификаты Solution User Certificates были заменены на VMCA Certificates (Intermediate CA), что сильно упростило управление инфраструктурой сертификатов для виртуальной среды:
Второй полезный момент – это интерфейс REST API для обработки сертификатов vCenter Server как часть общей стратегии по управлению всеми аспектами vSphere через API:
Также в vCenter Server и ESXi было сделано много улучшений, чтобы снизить число необходимых сертификатов для случаев, когда вы управляете ими вручную, либо автоматически с помощью центра сертификации VMware Certificate Authority (VMCA), который является частью vCenter.
VMCA – это полностью автономный и самодостаточный компонент для управления сертификатами для защищенной шифрованием виртуальной среды, исключая собственно сами сервисы и приложения в виртуальных машинах (для этого уже нужна инфраструктура PKI, в этом отличие VMCA от обычного CA).
В инфраструктуре vSphere 7 есть 4 способа управления сертификатами:
- Fully Managed Mode – в этом случае на vCenter есть VMCA с новым корневым сертификатом. Этот режим используется для управления сертификатами внутри кластеров (защита коммуникации между хостами ESXi, а также между ESXi и vCenter). Для этого используются так называемые Machine Certificates. Сертификат VMCA root CA certificate можно загрузить с главной веб-страницы vCenter и импортировать его на свой компьютер для настройки траста. Также можно перегенерировать корневой VMCA-сертификат на базе собственной информации вместо дефолтной (вроде “VMware Engineering” и т.п.).
- Hybrid Mode – если у вас слишком много пользователей, которые управляют элементами инфраструктуры vSphere, может оказаться непрактичным заставлять всех их импортировать корневые сертификаты на свои машины. Вместо этого вы можете заменить сертификат, который использует vSphere Client, чтобы браузеры принимали его по умолчанию. Однако администраторы vSphere могут по-прежнему хотеть импортировать корневой сертификат VMCA в целях настройки траста с хостами ESXi, чьи управляющие интерфейсы могут иметь сертификаты, подписанные со стороны VMCA. Как правило, команда администраторов не такая большая, поэтому для этого не требуется много усилий.
Надо понимать, что ни в режиме Fully Managed Mode, ни в Hybrid Mode не используются самоподписанные сертификаты. Все эти сертификаты подписаны со стороны VMCA как центра сертификации. Доверяя VMCA, мы безоговорочно доверяем и серверу VMware vCenter, что надо учитывать при планировании защиты виртуальной инфраструктуры.
- Subordinate CA Mode – в этом режиме VMCA может оперировать как подчиненный центр сертификации, подчиняясь корпоративному CA. В этом режиме vCenter продолжает выполнять функции по автоматизации управления сертификатами как в режиме Fully Managed Mode, за исключением того, что они генерируются на стороне корпоративного центра сертификации. В этом случае надо уделять внимание процессу передачи сертификатов со стороны корпоративного CA на vCenter, так как в это время может произойти их подмена со стороны злоумышленника. Поэтому даже крупные организации, как правило, используют режим Hybrid Mode.
- Full Custom Mode – в этом случае VMCA не используется для управления сертификатами, а администратор в ручном режиме занимается их генерацией и импортом. Это весьма экзотический сценарий, так как в этом случае придется управлять десятками и даже сотнями сертификатов, в зависимости от размера инфраструктуры. Это рождает большую вероятность человеческой ошибки. Возможно, этот вариант применим для каких-то особо секретных инфраструктур, где доверие людям больше, чем доверие ИТ-системам.
VMware в своей статье про сертификаты для vSphere 7 однозначно рекомендует использовать режим Hybrid Mode, если к нему в вашей инфраструктуре нет каких-либо противопоказаний или ограничений.
Замена сертификата на vmware vcsa 6.x |
Статей по замене сертификата на vCSA 6.5/6.7 достаточно много (навскидку раз, два).
Решил поделиться нашим корпоративным опытом на основе статьи из Wiki от Артема. Данная статья покрывает замену сертификата для самого vCenter Server (machine certificate). Остальные сертификаты остаются неизменными!
1) Создайте резервную копию VMware vCSA с помощью встроенного инструмента. Несмотря на достаточно хорошо задокументированный путь есть вероятность разломать vCSA (https://www.youtube.com/watch?v=r05k2AeQgcU).
2) Сделайте запрос на сертификат через certificate-manager
В каталоге /etc/vmware-sso/keys/ получаем файлы с закрытым ключом и запросом на сертификат в файле (vmca_issued_csr.csr). Данный файл нужно скачать для генерации сертификата.
3) Для скачивания запроса можно воспользоваться WinSCP, однако по умолчанию он к vCSA не подключится.
Варианта два:
— узнать расположение sftp-server
find / -name "sftp-server"
и указать его в настройках WinSCP перед подключением
— подключиться по ssh, зайти в shell и сменить Shell
chsh -s "/bin/bash" root
в целях безопасности после скачивания файлов и заливки готовых открытых ключей Shell рекомендуется сменить обратно
chsh -s /bin/appliancesh root
4) Итак, вы скачали файл запроса. Для выпуска сертификата вам потребуется кастомизированный (на базе WebServer) шаблон
В результате вы получаете сертификат (он же открытый ключ).
5) Делаем complete chain file, в нашем случае это три сертификата. Сертификат, который получили от запроса; саб сертификат и рут сертификат, согласно со статьей.
Также нужно приготовить сертификат «подписчика», содержащий сертификаты №№2 и 3.
В итоге мы получаем два chain-файла, которые копируем в vCSA. Если меняли Shell на третьем шаге, можете вернуть его назад.
6) Снова запускаем certificate-manager
…
PROFIT.
Подготовка к экзамену
Один раз прочитать PMBoK в любом случае нужно – даже если Вы хотите пойти наиболее коротким путем. Это может занять 10-12 часов времени и быть довольно скучным процессом. Ну а дальше есть несколько вариантов. Книга PMPExam Prep от Rita Mulcany, которая в прошлом являлась безальтернативным методом подготовки, сегодня стала уже немного архаичным и не самым быстрым путем.
В ней есть полезные упражнения, и она улучшает понимание PMBoK, но есть гораздо более интересные книги по управлению проектами и гораздо более эффективные способ подготовки. Главный из них – сайты и программы с набором вопросов. В этом плане PMPне сильно отличается от технических экзаменов от Microsoft или Cisco: есть долгий и трудоемкий, но более честный пусть с чтением литературы и практикой, а есть быстрый и менее трудозатратный, но не очень этичный путь «набития руки» на вопросах, часть из которых потом встретится на экзамене в том или ином виде.
Поддержка, проверка и сертификация
Каждая категория продуктов и решений VMware Ready требует успешного прохождения специального тестирования интеграции и совместимости. Заказчики могут быть уверены в том, что продукты и решения VMware Ready будут надежно взаимодействовать со средами VMware и предоставлять уникальные функции, обеспечивая значительное преимущество.
Чтобы получить сертификат VMware Ready, партнеры должны принять участие в соответствующей программе сертификации или подписки. Ниже перечислены категории VMware Ready и соответствующие сертификации, необходимые для получения логотипа. Обратите внимание, что некоторые из этих программ входят в более масштабную программу подписки, например SDDC Integration, SDDC Foundation, EUC Integration или EUC Foundation. Дополнительные сведения см. на странице партнерских программ и сервисов.
Сертификаты — ниалком
Во всем мире торгово-промышленные палаты — это признанные гаранты надежности деловых отношений.
Торгово-промышленная палата Тюменской области способствует развитию деловых контактов тюменских предприятий с российскими и зарубежными партнерами, формированию благоприятных условий для развития крупного, среднего и малого бизнеса.
Сведения о компании ООО «Ниалком» внесены в Реестр членов Торгово-промышленной палаты РФ как наиболее перспективных для установления делового сотрудничества.
Помимо этого, вступление в Союз ТПП позволяет нашей компании принимать активное участие в деловых встречах и переговорах с представителями иностранных делегаций и фирм, а также с представителями предприятий из других регионов.
Требования к сдающему экзамен
Итак, начнем с опыта. Официально PMI требует 36 календарных месяцев опыта управления проектами (в течение которых непосредственно на управление проектами потрачено минимум 4500 часов). В заявке нужно разделять часы по областям знаний. В случае, если не повезет, и заявка попадет под аудит (см. ниже «Аудит»), то в качестве подтверждения потребуется письмо от руководителей, которое подтвердит, что Вы действительно руководили этими проектами.
Никакого подтверждения стажа работы, личности написавшего письмо, даже существования такой организации не требуется. Теоретически письмо можете написать сами, указав контактом второй мобильный номер – или попросить друга. Не воспринимайте как практический совет – лишь указание на «уязвимость» процесса.
Для сдачи экзамена так же желательно высшее образование. Оно подтверждается сканом диплома и свободным переводом на английский язык. Печально, но и это требование легко обходится даже в случае проверки: подлинность диплома PMI не проверяет. При аудите требуется свободный перевод, а не нотариально заверенный – это позволяет не только нечестным кандидатам избежать риска, но и честным сэкономить тысячу-полторы на услугах нотариуса.
Впрочем, есть вариант получения сертификата и без высшего образования: однако, для этого потребуется 60 месяцев опыта вместо 36, в течении которых непосредственно на управление проектами потрачено 7500 часов. Еще один пункт требований – курсы. Нужно набрать 35 contact hours — то есть часов обучения управлению проектами.
Подойдут любые он-лайн или оффлайн курсы, даже если это было 20 лет назад. В отличается от pdu, которые нужны для поддержания сертификации, для contract hours не требуется, чтобы курс проводился зарегистрированным провайдером обучения PMI. Важно только, чтобы было подтверждение пройденного обучения.
Заполнять заявку можно за несколько «подходов»: её моно сохранять в наполовину заполненном состоянии в течение 90 дней. Чаще всего в течение недели после заполнения заявки приходит ответ, что заявка проверена, и Вы допущены до экзамена. Если ответ не пришел в течение двух недель (такое случается) – то нужно написать или позвонить в PMI: по какой-то причине (это случается довольно редко), заявка «зависает» где-то посередине процесса и без письма/звонка так и не доходит до одобрения. Многих пугает, что их заявка попадет под аудит, однако…
Экзамен
Очевидный совет: перед любым экзаменом нужно выспаться и не нервничать. Помните, экзамен мало чем отличается от того симулятора, который вы прошли. При этом достаточно будет и более низкого результата для успешной сдачи.
Важно не забыть с собой паспорт, без него на экзамен не пустят. Вещи нужно будет оставить в специальном ящике: с собой разрешат взять лишь самый простой калькулятор (чем нужно воспользоваться – он может пригодиться).
В самом начале экзамена желательно записать все формулы на лист бумаги, который вам будет предоставлен. Это поможет успокоиться, даже если в процессе экзамена формула вылетит из головы – её можно посмотреть на листе. Списывать не стоит. В помещении ведется видеонаблюдение, достаточно велика вероятность «попасться».
В процессе экзамена есть возможность помечать вопросы, чтобы потом к ним вернуться. Однако, не стоит этим злоупотреблять. 4 часа вполне достаточно на экзамен, но не достаточно, чтобы вникать в каждый вопрос дважды.
В любом случае отмечайте один из вариантов ответов. Даже если наугад. Несмотря на то, что, возможно, потом планируете вернуться к этому вопросу. Ответ наугад дает 25% вероятности «попасть» в правильный ответ. А если отбросить 1-2 очевидно неверных варианта, то шансы еще увеличиваются!
В тесте много вопросов на метод критического пути. Чтобы ответить на них лучше всего рисовать сетевые диаграммы на бумаге – даже если ответ кажется очевидным, иногда легко перепутать.
Еще немного о времени. По статистике большинству хватает 3 часов на ответы на все вопросы, еще час остается на перепроверку ответов — суетиться смысла нет. Большая часть вопросов окажется идентичной тем, которые вы отработали во время тренировки, поэтому не займет у вас много времени.
Сразу по окончанию экзамена вы узнаете результат. Если на симуляторе у вас было больше 80% правильных ответов, то с почти стопроцентной вероятностью результат будет PASSED.
Язык экзамена
Если вы будете сдавать экзамен в одном из центров
в России, то вам будет предложено выбрать язык экзамена — английский или русский. Очень заманчивым выглядит вариант сдавать экзамен на русском языке, особенно для тех, кто не в совершенстве владеет английским. Однако, перевод вопросов на русский оставляет желать лучшего.
Хорошая новость: даже если вы выбрали русский язык, ниже вы будете видеть английскую версию вопроса. Поэтому в случае, если вопрос на русском выглядит непонятным, то всегда можно прочитать его на английском.
Но если знание английского языка у вас не очень хорошее и вы планируете опираться только на русские вопросы, то заранее смиритесь с потерей 5-10% правильных ответов – в этом случае готовиться вам нужно с расчетом на это.