- Download the new certificate and root certificate
- Generate the certificate signing request
- Lab setup
- Upload and generate the new certificate
- Verification time
- Vmca in default mode
- Vmware cloud.
- Vmware data center virtualization.
- Vmware network virtualization.
- Виртуализация – 10 полезных вещей, которые надо знать об ssl-сертификатах vmware vsphere.
- Виртуализация – как заменить сертификаты vmware vcenter, sso, web client и прочего – вышел vcenter certificate automation tool 1.0.
- Виртуализация – как работает механизм оповещения об устаревающих сертификатах vmware vcenter.
Download the new certificate and root certificate
After submitting the CSR, you’ll be presented with a download page.
On the download page, Select “Base 64 encoded” and click on “Download Certificate”. The downloaded file will be called “certnew.cer”. Rename this to “machine_ssl.cer”
Go back to the download web page and click on “Download certificate chain” (ensuring that “Base 64 encoded” is still selected). The downloaded file will be called “certnew.pb7”. Rename this to “cachain.pb7”
We are now going to export the CA Root certificate from the cachain.pb7 files. Right-click on the cachain.pb7 file and select “Open”
Expand the list and click on the Certificates folder. Right-click on the CA root cert (lab-DC1-CA in this example), select All Tasks…Export
You’re now presented with the Certificate Export Wizard. Click Next and then select the format you want to use. Select “Base 64 encoded X.509 (CER)”
In the next window, click on Browse… and provide a file location and filename. I used “root-64.cer” in the c:tempvcsa.lab.localMachine_SSL” folder I had previously created.
After successfully saving and exporting the root-64.cer file, it’s time to upload it to vCenter. Here I’ll use WinSCP again to copy the machine_ssl.cer and root-64.cer file to VCSA.
Generate the certificate signing request
The first thing we are going to do is generate the Certificate Signing Request (CSR) for the “Machine SSL” certificate. As mentioned in the previous blog, “The Machine SSL certificate is the certificate you get when you open the vSphere Web Client in a web browser.
It is used by the reverse proxy service on every management node, Platform Services Controller, and embedded deployment. You can replace the certificate on each node with a custom certificate.”To generate the CSR we’ll use the Certificate Manager utility. This is located in:
•Windows
– C:Program FilesVMwarevCenter Servervmcad certificate-manager
•VCSA
– /usr/lib/vmware-vmca/bin/certificate-manager
Run the utility and select Option 1
Now select Option 1 again to generate the CSR and provide the output directory path to write out the files created. In my example I used the “/root/machine_ssl” folder I previously mentioned.
Lab setup
CN = lab-DC1-CA, DC = lab, DC = local
- VMware vCenter Service Appliance (VCSA) 6.0 – vcsa.lab.local. This is a fully embedded installation. VMCA will issue the certificates and they will be referenced as
O = vcsa.lab.local, C = US, DC = local, DC = vsphere, CN = CA
Note: Although the two CA’s come from systems in the same “lab.local” domain name in this example, they are two entirely different CA’s with no shared chain between them.As such, the Windows CA could just as easily be in an entirely different domain and this would still work.
- VMware ESXi server – esxi-a.lab.local. This is part of the cluster that is managed by vcsa.lab.local. The VMCA on vcsa.lab.local manages the certificates on esxi-a.lab.local.
Create a folder that you’ll be able to download and upload files to during the exercise. On the VCSA I created a folder in the root account. “/root/Machine_SSL”. I’ll be connecting using WinSCP later. If you’re using WinSCP to connect to VCSA, read KB 2107727 and save yourself some frustration!
Upload and generate the new certificate
Next, I logged into my Windows system (DC1.lab.local), fired up WinSCP and downloaded the Machine_SSL csr and key files.
Open the CSR file in your favorite text editor and copy the contents to the clipboard
Verification time
Now it’s time to check to see if all this work has paid off. One thing to remember before we start. Because the new Machine SSL cert has been issued by the CA on the domain controller, browsers that use the Windows certificate store will automatically recognize the vCenter web page.
In my experience, Internet Explorer and Google Chrome will use the Windows certificate store. Mozilla Firefox does NOT use the Windows certificate store and as such you need to import the root certificate. Import the previously created root-64.cer into Firefox’s Trusted Root Authority and then open the vCenter web page and you should be all set.
Now open your vCenter login page and check the certificate being used to protect it.
You’ll see that the certificate has been verified by “lab-DC1-CA”. This is the CA running on the Windows domain controller. If I click on More Information and then View Certificate and scroll down to Issuer, you’ll see the hierarchy details of the certificate I referenced above in Lab Details.
So now that we’ve confirmed we’re using the Microsoft CA issued cert for vSphere Web Client logon, let’s see what’s going on after we log in.
Vmca in default mode
In a previous blog post I went over the different modes you can run VMCA in. The “Default Mode” is when VMCA uses its own root certificate and issues certificates that change to the root. You can install that root certificate in your browsers if you don’t want to see things as “untrusted”. Read more about the default modes and installing the root cert.
When you add an ESXi server to vCenter, VMCA will automatically issue it a certificate.
You can see that the issuer matches the values from the Lab Setup portion of this blog.
And the SSL thumbprint/fingerprint (SHA256) has a specific value ending in 1C:0D:E8
Now we’ll go back to vCenter and renew the ESXi certificate. Open vCenter, right click on the host and select Certificates…Renew…
Confirm by clicking on Yes.
Refresh your browser and repeat the steps to display the certificate properties. You’ll see in this example that the SHA256 thumbprint/fingerprint value has changed. The new ending values are now E8:E5:E1. VMCA has re-issued a completely new certificate.
To wrap up, let’s review what we’ve done.
- Using the Certificate Manager utility and the SSL Certificate Template we created in a previous blog article, we generated a Certificate Signing Request for the externally-facing vSphere Web Client login page (The Machine SSL certificate).
- We submitted the CSR to the Microsoft Certificate Authority that was installed on our Domain Controller and downloaded the newly generated certificate and root CA certificate
- Using the Certificate Manager utility we replaced the Machine SSL certificate with the certificate generated by the Microsoft CA
- We verified that the vSphere Web Client login page is now using the Microsoft CA-issued certificate
- We then verified that the ESXi host was using a VMware CA issued certificate
- Finally, we renewed the VMCA issued certificate and verified the change.
Here’s a video of the whole process:
Vmware cloud.
VMware Certified Associate – Cloud
) — начальная ступень в специализации посвященной виртуализации центров обработки данных и продуктов для построения облачных сервисов на основе продуктов VMware. В данном треке очень много уделяется продуктам VMware vCloud Director и vCenter Automation Center.
Для получения сертификации необходимо:
Экзамен достаточно прост, в основном он касается обзора продуктов линейки VMware vCloud Suite и знания портала vCloud Director. Как и VCA-DCV представляет собой онлайн тест (который можно пройти из любой точки) с вопросами-ответами. Тест состоит из 50 вопросов, для сдачи необходимо набрать 300 баллов (всего можно набрать 100-500 баллов), на экзамен выделяется 75 минут.
VMware Certified Professional – Cloud
) – следующая ступень в специализации виртуализации центров обработки данных и облачных сервисов на основе продуктов VMware.
Получение сертификации возможно несколькими способами.
Способ первый (для версии 5.5):
1) Обязательно пройти один из следующих курсов:
2) Сдать экзамен VCPC550
Способ второй (для версии 5.1):
1) Обязательно пройти курсVMware vCloud Director: Install, Configure, Manage [V5.1]
2) Сдать экзамен VCPC510
Способ третий:
1) Иметь актуальный статус VCP
2) Пройти курс(необязательно) vCloud Director Fundamentals [V5.1/V5.5]
3) Сдать экзамен VCPVCD510 (Infrastructure as a Service (IaaS) Exam)
4) Сдать один из экзаменов VCPC510 или VCPC550
В экзамене VCPC550 135 вопросов, на которые выделяется 120 минут времени (плюс к ним еще 30 минут, для стран, где английский не является основным языком). Для прохождения необходимо набрать 300 баллов (всего можно набрать от 100 до 500 баллов).
VMware Certified Advanced Professional – Cloud Infrastructure Design
) – сертификация для архитекторов частных, публичных и гибридных, умеющих анализировать элементы облачных продуктов и проектировать решения, которые обеспечивают построение надежны, масштабируемых облачных решений.
Для получения сертификации требуется:
1) Иметь актуальный статус VCP
2) Пройти курс (не обязательно) vCloud: Design Best Practices [V1.5]
3) Сдать экзамен VCID510
Экзамен состоит из 115 вопросов, среди которых будут 6 симуляций на дизайн решений по облачным технологиям, на экзамен выделяется 225 минут (195 30 минут для стран где английский не является основным языком). Для прохождения необходимо набрать 300 баллов (всего можно набрать от 100 до 500 баллов).
Vmware data center virtualization.
VMware Certified Associate Data Center Virtualization
) – начальная ступень в специализации посвященной виртуализации центров обработки данных.
Для получения сертификации необходимо:
Экзамен достаточно прост, в основном он касается обзора продуктов и знания продуктов VMware. Представляет собой онлайн тест (который можно пройти из любой точки) с вопросами-ответами. Экзамен состоит из 50 вопросов, для сдачи необходимо набрать 300 баллов (всего можно набрать 100-500 баллов), на экзамен дается 75 минут.
VMware Certified Professional Data Center Virtualization
) – следующая ступень в специализации виртуализации центров обработки данных.
Получение сертификата возможно несколькими способами.
Способ первый:
1) Обязательно пройти один из следующих курсов:
2) Сдать экзамен VCP510 или VCP550
Способ второй:
1) Иметь актуальную VCP сертификацию (например, VCP-Cloud)
2) Пройти курс vSphere: What’s New [V4.XtoV5.5] (не обязательно)
3) Сдать экзамен VCP510 или VCP550
Способ третий:
1) Ранее пройти курс VCP4-DCV (но не сдавать экзамен VCP4-DCV)
2) Пройти один из курсов (обязательно):
3) Сдать экзамен VCP510 или VCP550
Экзамен VCP510 отличается от VCP550 лишь тем, что один по версии vSphere 5.1 – а второй уже по версии 5.5 (последней на данный момент). Сам экзамен представляет собой тест с симуляциями, тоже не является особо сложным.
В экзамене VCP550 135 вопросов, на которые выделяется 120 минут времени (плюс к ним еще 30 минут, для стран, где английский не является основным языком). Для прохождения необходимо набрать 300 баллов (всего можно набрать от 100 до 500 баллов).
Vmware network virtualization.
VMware Certified Professional – Network Virtualization
) – сертификация для администраторов способных установить, настроить и администрировать NSX реализации виртуальной сети, независимо от базовой физической архитектуры от начального до продвинутого реализаций виртуальных сетей.
Получение сертификации возможно тремя способами.
Способ первый:
1) Обязательно пройти один из следующих курсов:
2) Сдать экзамен VCPN610
Способ второй:
1) Иметь актуальную сертификацию VCP
2) Желательно пройти один из следующих курсов:
3) Сдать экзамен VCPN610
Способ третий (для сетевых инженеров Cisco – доступно только до 28.02.2021):
1) Иметь актуальную сертификацию CCNA Data Center или CCNA Routing&Switching или CCNP Data Center или CCNP Routing&Switching.
2) Желательно пройти один из следующих курсов:
3) Сдать экзамен VCPN610
В экзамене 120 вопросов, на которые выделяется 150 минут времени (с учетом дополнительных 30 минут, для стран, где английский не является основным языком). Для прохождения необходимо набрать 300 баллов (всего можно набрать от 100 до 500 баллов).
VMware Certified Implementation Expert – Network Virtualization
) — сертификация для продвинутых администраторов способных установить, настроить и администрировать NSX реализации виртуальной сети, независимо от базовой физической архитектуры от начального до экспертного уровней реализаций виртуальных сетей.
Получение сертификации возможно тремя способами.
Способ первый:
1) Иметь статус VCP-NV
2) Сдать экзамен VCXN610
Способ второй:
1) Иметь актуальную сертификацию одного из направлений VCP5-DCV, VCP-Cloud, VCP5-DT.
2) Желательно пройти курсVMware NSX: Install, Configure Manage
3) Сдать экзамен VCXN610
Способ третий (для сетевых инженеров Cisco – доступно только до 28.02.2021):
1) Иметь актуальную сертификацию CCIE Data Center или CCIE Routing&Switching.
2) Желательно пройти один из следующих курсов:
3) Сдать экзамен VCXN610
Экзамен представляет собой большую четырех часовую лабораторную работу, в лабораторной работе будет всего 17 заданий, которые требуется выполнить в режиме онлайн – задания будут по продуктам VMware NSX. Для прохождения необходимо набрать 300 баллов (всего можно набрать от 100 до 500 баллов).
VMware Certified Design Expert – Network Virtualization
) – сертификация для экспертов в сфере сетей в целом и software-defined-network (SDN) в частности, умеющими проектировать дизайн для сетей ЦОД.
Для получения сертификации требуется:
1) Иметь актуальный статус VCIX-NV
2) Пройти курс(не обязательно) VMware NSX Fast Track for Internetworking Experts
3) Защитить работу-дизайн VCDX-NV
Защита должна длиться около двух часов, из которых не менее 15 минут должна быть презентация с вашим дизайном, рассказ о своем дизайне 15 минут, ответы на вопросы в режиме дискуссии (около часа), рассказ о проблемах при разработке дизайна в режиме дискуссии (в течении 30 минут) и рассказ о траблшутинге при внедрении решения (15 минут). Экзамен, аналогично с другими уровня Expert, сдается только на английском языке.
Виртуализация – 10 полезных вещей, которые надо знать об ssl-сертификатах vmware vsphere.
Многие администраторы платформы VMware vSphere очень часто интересуются вопросом замены сертификатов для серверов ESXi в целях обеспечения безопасности. Как правило, это просто инструкции, которые не дают понимания – а зачем именно нужно менять эти сертификаты.
Недавно VMware выпустила интересную статью на тему сертификатов в vSphere и других продуктах, приведем ниже основные выдержки из нее.
1. Сертификаты – это вопрос доверия и шифрования.
При соединении с различными веб-консолями компонентов инфраструктуры VMware vSphere используется протокол HTTPS, где S означает “Secure”. Инфраструктура SSL, а точнее ее последователь Transport Layer Security (TLS), использует известный в криптографии принцип открытого и закрытого ключей, который позволяет узлам, доверяющим друг другу безопасно обмениться информацией по шифрованному каналу.
TLS развивается по следующему пути:
Если вы используете сертификаты vSphere, то независимо от того, какие они (самоподписанные или выданные центром сертификации) – общение между компонентами виртуальной инфраструктуры будет вестись посредством TLS с надежным шифрованием. Вопрос сертификатов тут – это всего лишь вопрос доверия: какому объекту, выпустившему сертификат, вы доверяете – это и есть Центр сертификации (он же Certificate Authority, CA).
Многие крупные компании, имеющие определенный вес (например, Microsoft) сами являются Центрами сертификации, а некоторые компании используют службы Microsoft Active Directory Certificate Services, чтобы встроить собственные CA в операционную систему и браузеры (импортируют корневые сертификаты), чтобы “научить” их доверять этим CA.
2. В VMware vSphere сертификаты используются повсеместно.
Как правило, они используются для трех целей:
Полный список компонентов, где vSphere использует сертификаты, приведен вот тут.
3. vSphere имеет собственный Центр сертификации.
Платформа vSphere из коробки поставляется с собственным CA, который используется для коммуникации между компонентами. Называется он VMware Certificate Authority (VMCA) и полностью поддерживается для vSphere как с внешним PSC, так и для vCenter Server Appliance (vCSA) со встроенным PSC.
Как только вы добавляете хост ESXi в окружение vCenter, то VMCA, работающий на уровне vCenter, выпускает новый сертификат на этот ESXi и добавляет его в хранилище сертификатов. Такая же штука происходит, когда вы настраиваете интеграцию, например, с решениями vRealize Operations Manager или VMware AppDefense.
Надо понимать, что CA от VMware – это всего лишь решение для защищенной коммуникации между серверами, которое поставляется из коробки. Ваше право – доверять этой модели или нет.
4. Есть 4 способа внедрить инфраструктуру сертификатов на платформе vSphere.
Вот они:
- Использовать самоподписанные сертификаты VMCA. Вы можете просто скачать корневые сертификаты с веб-консоли vCenter, импортировать их в операционную систему клиентских машин. В этом случае при доступе к веб-консоли, например, vSphere Client у вас будет отображаться зеленый замочек.
- VMCA можно сделать подчиненным или промежуточным (subordinate/ intermediate) центром сертификации, поставив его посередине между CA и конечными хостами, что даст дополнительный уровень сложности и повысит вероятность ошибки в настройке. VMware не рекомендует так делать.
- Отключить VMCA и использовать собственные сертификаты для любых коммуникаций. Ваш ответственный за сертификаты должен нагенерировать запросы Certificate Signing Requests (CSR) для всех компонентов. Эти CSR-запросы вы отсылаете с CA, которому вы доверяете, получаете их подписанными, после чего устанавливаете их в ручном режиме. Это отнимает время и чревато ошибками.
- Использовать гибридный подход – для хостов ESXi в их коммуникации с vCenter использовать самоподписанные VMCA сертификаты, а для веб-консолей vSphere Client и прочих использовать перевыпущенные сертификаты, которые надо установить на сервере vCenter и хостах, с которых будет управляться инфраструктура через браузер (тогда в нем появится зеленый замочек). Это самый рекомендуемый VMware вариант использования сертификатов.
5. Enterprise-сертификаты – тоже самоподписанные.
Подумайте – самоподписанными являются не только сертификаты VMCA, но и ваши корпоративные сертификаты. Если вы выпускаете эти сертификаты только на уровне своей компании, то у вас 2 точки потенциального недоверия – сторона, выпустившая сертификаты у вас в компании, а также, собственно, сам VMCA. Такая схема создает дополнительный уровень сложности администрирования, а также нарушения безопасности.
6. Не создавайте промежуточный Центр сертификации.
Если вы создаете intermediate CA (он же subordinate CA) для VMCA, превращая его в посредника, вы создаете потенциальную опасность для виртуальной инфраструктуры – если кто-то получает доступ к корпоративному центру сертификации и его парам ключей, то он может навыпускать любых сертификатов от имени VMCA и перехватывать потом любые коммуникации.
7. Можно изменять информацию для самоподписанных сертификатов CA.
С помощью утилиты Certificate Manager utility вы можете сгенерировать новый VMCA с необходимой информацией о вашей организации внутри него. Эта утилита перевыпустит все сертификаты и заменит их на всех хостах виртуальной инфраструктуры. Это хорошая опция для гибридной модели. Кстати, вы можете менять даты устаревания сертификатов, если дефолтные вас не устраивают.
8. Тестируйте инфраструктуру сертификатов перед внедрением.
Вы можете развернуть виртуальную инфраструктуру и провести все эксперименты с сертификатами в виртуальной среде, где вы можете использовать виртуальные (nested) серверы ESXi. Приятная штука в том, что вы можете создавать снапшоты виртуальных машин, а значит в случае чего – быстро откатитесь на рабочий вариант. Еще одна среда для экспериментов – это облачная инфраструктура VMware Hands-on Labs, где можно безопасно ставить любые эксперименты.
Попробуйте также новую vSphere 6.7 Lightning Lab.
9. Делайте бэкапы своей инфраструктуры.
Делайте резервную копию вашего vCenter и PSC на уровне файлов через веб-консоль VAMI. Также утилитой Certificate Manager можно скопировать старый набор сертификатов перед развертыванием новых (но только один набор сертификатов, учитывайте это). Также эта процедура полностью поддерживается со стороны VMware Global Support Services.
10. Понимайте, зачем вы заморачиваетесь с заменой сертификатов.
Ответьте для себя на несколько вопросов:
Дополнительные ресурсы
Виртуализация – как заменить сертификаты vmware vcenter, sso, web client и прочего – вышел vcenter certificate automation tool 1.0.
На днях компания VMware выпустила полезную штуку под названием vCenter Certificate Automation Tool 1.0. Как знают многие администраторы VMware vSphere в последней версии платформы (5.1) сертификаты стали играть более заметную роль, чем ранее, и теперь их приходится настраивать для различных компонентов.
Теперь же с помощью утилиты командной строки vCenter Certificate Automation Tool 1.0 (это набор скриптов) можно просто заменить сертификаты для следующих продуктов VMware:
Утилита работает в интерактивном режиме, и прежде, чем приступить к работе с ней, необходимо ознакомиться с инструкциями, приведенными в KB 2041600. Также полезно будет почитать KB 2044696 (это о том, как сгенерировать сертификаты для использования с vCenter Certificate Automation Tool).
Надо отметить, что продукт поддерживает только vCenter 5.1 и его компоненты, развернутые на платформах Windows Server 2003 R2 SP2 и Windows Server 2008 R2 SP2.
Для vCenter Certificate Automation Tool есть три режима работы:
Кроме того, напомним для интересующихся, что в данный момент разрабатывается средство vCert Manager от VSS Labs, выполняющее схожие функции (но намного больше), бета которого уже есть:
Вот какие функции по сравнению с vCenter Certificate Automation Tool заявляют авторы:
Более подробно об утилите vCert Manager можно прочитать по этой ссылке.
Виртуализация – как работает механизм оповещения об устаревающих сертификатах vmware vcenter.
Как многие из вас знают, в рамках платформы VMware vSphere коммуникация между ее компонентами происходит на базе SSL-сертификатов. Если на сервере vCenter вы используете собственные сертификаты с ограниченным сроком действия, то их надо регулярно продлять и обновлять, иначе однажды вы не сможете выполнять привычные операции в виртуальной инфраструктуре.
Например, если сертификат vCenter устареет, то при попытке выполнить горячую миграцию vMotion, вы получите сообщение о невозможности соединения с демоном vpxd и ошибкой “server certificate chain not verified” в консоли vSphere Client. Если при этом посмотреть вот в этот лог-файл:
/var/log/vmware/vmware-sps/sps.log
то можно увидеть там подобные сообщения:
com.vmware.vim.vmomi.client.exception.SslException: com.vmware.vim.vmomi.core.exception.
CertificateValidationException: Server certificate chain not verified
Чтобы посмотреть сроки действия текущих сертификатов, нужно воспользоваться следующими командами на хосте vCSA (vCenter Server Appliance):
/usr/lib/vmware-vmafd/bin/vecs-cli entry list –store MACHINE_SSL_CERT –text |less
/usr/lib/vmware-vmafd/bin/vecs-cli entry list –store machine –text |less
По умолчанию сервер vCenter предупреждает администратора об истечении срока действия сертификатов за 30 дней. О том, как заменить сертификаты хорошо рассказано вот тут.
Этот срок можно поменять, для этого:
Ну а чтобы аларм об истечении сертификатов точно сработал, нужно зайти в Alarm settings –> Certificate Status и убедиться, что установлена галка Enable this alarm.
Источник.