【vSphere 7/8】深入浅出 vSphere 证书 Ⅲ—— vSphere 证书的更新和替换概述

摘要

本系列博文会深入浅出的引导读者认识，了解，理解 vSphere 环境中的证书。
本篇博文主要介绍了 vSphere 证书（替换）关系示意图

1. vSphere Certificate Architecture

一个 vSphere 虚拟化环境中一般包括一台或以上的 vCenter Server，外加一台或以上的 ESXi 主机。那么这样一个虚拟化环境中，其证书架构图如下所示：
VMCA CA 作为 vSphere 中的根证书，为各种服务和组件签发证书。vSphere 环境中主要的证书有 ESXi 证书，Machine SSL 证书，Solution User 证书，SMS 证书，data-encipherment 证书以及 STS Signing 证书。如上图所示。其中

• ESXi 证书存储在 ESXi 主机中，
• Machine SSL 证书，Solution User 证书，SMS 证书，data-encipherment 证书存储在 VECS 中，
• STS Signing 证书存储在 SSO 中。

2. 证书更新和替换概述

vSphere 支持用户根据公司安全策略和系统需求来使用企业签名 CA 替换 vSphere 默认证书。用户可以根据喜好，自行选择替换证书的方式，包括

• 通过 vSphere Client UI （Certificate Management）
• 通过 vSphere Certificate Manager 实用程序（certificate-manager）
• 通过安装时附带的 CLI 手动执行证书替换（dir-cli、certool 和 vecs-cli ）

2.1更新 VMCA 签名的证书

如果 VMCA 证书过期或由于其他原因要对其进行替换，可以使用证书管理 CLI 执行此过程。默认情况下，VMCA 根证书有效期为十年，且 VMCA 签名的所有证书都会在根证书过期时过期，即有效期最长为十年。

由 VMCA 签发的证书有两大类，分别是

• Machine SSL Certificate 计算机 SSL 证书
• Solution User Certificate解决方案用户证书

由 VMCA 签名的证书存储在 VECS 中

（1）使用 vSphere Client UI

在 UI 上只能对 Machine SSL 证书进行更新。

关于 VMCA 根证书，包括 Trusted Root 证书和解决方案用户证书，需要使用 CLI 工具（certificate-manager 或 dir-cli、certool、vecs-cli）来进行更新和替换。

（2）使用 vSphere Certificate Manager 命令行工具（自动）

更新时可以使用以下 选项：

• Replace Machine SSL Certificate with VMCA Certificate （将计算机 SSL 证书替换为 VMCA 证书）
• Replace Solution User Certificate with VMCA Certificate（将解决方案用户证书替换为 VMCA 证书）
• Reset all Certificates（重置所有证书，包括 Machine SSL 和 Solution User 证书）

（3）使用 dir-cli、certool 和 vecs-cli 命令行工具（手动）

• 生成新的 VMCA 签名根证书（请关注后续章节）
• 生成新的计算机 SSL 证书（请关注后续章节）
• 生成新的解决方案用户证书（请关注后续章节）

（4）使用 vSphere Automation API（自动化脚本）

以 Python 为例，Python API 提供了 vcenter.certificate_management.vcenter.Tls.renew() 方法，用于刷新 Machine SSL 证书。具体步骤请参考博客：【vSphere | Python】vSphere Automation SDK for Python Ⅶ—— Certificate Management APIs(上)

[!NOTE]

这里说明的 VMCA 签名的证书可以分为两种情况：

• 第一种是 vSphere 默认证书。
• 第二种是 VMCA 已经是企业自签证书，由 VMCA 继续签名 Machine SSL 和 Solution User 两大类证书，此时这两大类证书也是企业自签名证书。详见1.2 小节

2.2 使 VMCA 成为中间 CA

vSphere 支持将 VMCA 根证书替换为由企业 CA 或第三方 CA 签名的证书。

每次置备 VMCA 证书时都会签署自定义根证书，从而使 VMCA 成为中间 CA。

由第三方或企业 CA 签名的证书使用 VMCA 作为中间 CA

（1）使用 vSphere Certificate Manager 命令行工具（自动）

更新时可以使用以下 选项：

• 将 VMCA 根证书替换为自定义签名证书并替换所有证书。
• Replace Machine SSL Certificate with VMCA Certificate （将计算机 SSL 证书替换为 VMCA 证书）多节点增强型链接模式部署。
• Replace Solution User Certificate with VMCA Certificate（将解决方案用户证书替换为 VMCA 证书）多节点增强型链接模式部署。

（2）使用 dir-cli、certool 和 vecs-cli 命令行工具（手动）

• 替换根证书（中间 CA）（请关注后续章节）
• 替换计算机 SSL 证书（中间 CA）（请关注后续章节）
• 替换解决方案用户证书（中间 CA）（请关注后续章节）

2.3 使用自定义证书替换 VMCA 签名证书

vSphere 支持将现有的 VMCA 签名证书替换为自定义证书。如果使用外部CA直签证书替换，用户必须负责置备和监控所有证书。

外部证书直接存储在 VECS 中

（1）使用 vSphere Client UI

在 UI 上只能对 Machine SSL 证书进行替换成自定义证书。

（2）使用 vSphere Certificate Manager 命令行工具（自动）

更新时可以使用以下 选项：

• Replace Machine SSL Certificate with Custom Certificate（将计算机 SSL 证书替换为自定义证书）
• Replace Solution User Certificates with Custom Certificates（将解决方案用户证书替换为自定义证书）

（3）使用 dir-cli、certool 和 vecs-cli 命令行工具（手动）

• 自定义根证书
• 自定义计算机 SSL 证书

2.4 混合部署

vSphere 支持让 VMCA 提供一些证书，同时对基础架构的其他部分使用自定义证书。

例如，由于解决方案用户证书仅用于验证 vCenter Single Sign-On 的身份，因此可以考虑让 VMCA 提供这些证书。使用自定义证书替换计算机 SSL 证书，以确保所有 SSL 流量的安全。

公司策略通常不允许使用中间 CA。在这些情况下，混合部署是一种有效的解决方案。它会最大程度地减少要替换的证书数量并确保所有流量的安全。混合部署只保留内部流量，即解决方案用户流量，以便使用默认的 VMCA 签名证书。

2.5 ESXi 证书替换

ESXi 证书替换的情况分为两种：

• 被 vCenter Server 纳管的 ESXi 主机
• 不被 vCenter Server 纳管的 ESXi 主机

对于被 vCenter Server 纳管的 ESXi主机，用户可以从 vSphere Client 更改证书置备行为。

选项	描述
VMware Certificate Authority（默认值）	默认情况下，VMware Certificate Authority (VMCA) 被用作 ESXi 主机证书的证书颁发机构 (CA) 。默认情况下，VMCA 为根 CA，但可将其设置为其他 CA 的中间 CA。在 vmca 模式下，您可以从 vSphere Client 中续订和刷新证书。如果 VMCA 是辅助证书，也将使用 VMCA。
自定义证书颁发机构模式	如果希望仅使用第三方或企业 CA 签名的自定义证书，则使用此模式。在自定义模式下，您必须自行管理证书。从 vSphere 8.0 Update 3 开始，用户可以从 vSphere Client 中管理自定义证书。 **注：**除非将证书模式更改为“自定义证书颁发机构”（ custom），否则在 vSphere Client 中选择 续订等情况下，VMCA 可能会替换自定义证书。
指纹模式	vSphere 5.5 使用指纹模式，且此模式在 vSphere 6.x 中仍可用作后备选项。在此模式下，vCenter Server 会检查证书格式是否正确，但不会检查证书是否有效。甚至会接受已过期的证书。 除非使用其他两种模式之一时遇到无法解决的问题，否则不要使用此模式。某些 vCenter Server 6.x 及更高版本服务在指纹模式下可能无法正常运行。

对于不被 vCenter Server 纳管的 ESXi 主机，用户需要借助 ESXi 命令行工具来刷新证书。

参考文献

• vSphere 7 ：Certificate Replacement Overview
• vSphere 8 ：Replacing vSphere Certificates

关联博文

关于深入浅出 vSphere 证书，请查阅下面的博文：
1：初识和了解 vSphere证书
2：了解 vSphere 证书的类型，作用以及保存位置
3：vSphere 证书的更新和替换概述