【vSphere7.0u2】証明書の有効期限はどうなったのか。マシンSSL証明書が切れるとどうなるか。人生初めての適応障害を患い、普通の生活が送れなくったところから、復活する経緯を綴ったブログです。書店Tのまとめお気に入りサイトvimチートシートソフトウェアWordPressプラグインChromeアドオンTのジレンマについてTへお問い合わせホーム技術備忘録VMware【vSphere7.0u2】証明書の有効期限はどうなったのか。マシンSSL証明書が切れるとどうなるか。VMwareどうも、Tです。過去にvSphereの証明書問題で有効期限を調べてまとめました。vSphere7はどうなるのか気になったので備忘録です。【vSphere】vSphereの証明書有効期限の確認方法どうも、Tです。下記にある通り、vSphereの証明書問題が顕著化しそうで検証しています。参考まとめここでの結論vSphere7.0u2では、STS署名証明書は10年になっていますが、マシンSSL証明書が2年のままで、これを過ぎるとvCenterサービスが使えなくなります。やりたいことvSphere7の証明書周りを調べてみる。気になったのは、下記のドキュメントでvCLSがWCPサービスによって管理されている部分です。Tanzuを管理するものであり、証明書も2年でした。vCLSのドキュメントを確認したところWCPが絡んでいる文章があり証明書が絡んでくると放置もしにくいので再調査です。サービスによって管理されます。17867351vcsa管理のrootユーザーのパスワード無期限化済みvSphereのSSOドメインのパスワード無期限化済みNTPサーバーを起点とした時刻同期済み操作は、Administrator@vSphere.localを使用しています。vSphere環境はアップグレードではなくvCenterもESXiも記載バージョンでに新規インストールしています。(バージョンアップによる短い証明書は引き継いでいない状態)vCenterは2021年8月9日にインストールしました。物理のESXi上に時刻同期に関わるコンポーネントを準備しました。ESXi上に作成しています。MaxNegPhaseCorrectionに0xFFFFFFFを設定しています。構成する方法について説明します。vSphere7の証明書期限を確認し、証明書期限切れの場合の動作を確認します。調べたところvSphere7.0Updateなし、Update1、Update2で確認方法が少々異なるようです。証明書期限も異なる可能性があります。今回は、Update2で確認しています。物理ESXiを含めて、時刻を未来時間に設定し証明書が切れた場合、どのようになるのか確認します。未来時間にする際、差異が多い未来時間への同期はNTP上問題が発生する可能性が高いため、物理ESXi以外を停止して、未来時間設定後に起動します。※この辺りは、常時稼働と少々動きがことなるかもしれません。検証パターン下記の順番で進めていきます。証明書期限の確認まずは、証明書がどうなっているか確認します。Clientのホームメニューから「管理」をクリックします。「証明書」->「証明書の管理」をクリックします。マシンSSL証明書の有効期限が2年になっています。Cleintに接続する際のWebブラウザのSSLに利用されています。Clientから確認できるのはvCenter7.0u2以降のようです。それ以外のバージョンの場合は、下記のKBを参考にchecksts.pyを実行して確認してください。Serverskb.vmware.comvCSAのコマンドラインから確認vcsaへログインして、shellモードで下記コマンドを実行します。下記コマンドの詳細は、下記KBを参照してください。done下記のような結果が出力されます。Clientで表示されたいたマシンSSL証明書になります。MACHINE_SSL_CERTをwcpの有効期限が2年であることがわります。Clientには表示されていません。Clientでは2023年8月10日で、コマンドでは1日早い2023年8月9日になっているのは、コマンドがGMT(グリニッジ標準時)になっているからだと思われます。Clientでは、コマンド出力結果の+9時間のJST時間になっています。2年の期限(vcsa)切れ1週間前MACHINE_SSL_CERTとwcpの証明書が切れる1週間前の(未来時間)2023年8月2日検証時時刻に設定します。vcsaから見ると未来時間になっていることが確認できます。vCenterのサマリ画面で「証明書のステータス」エラーが表示されます。これはデフォルトで用意されているアラーム定義「証明書のステータス」によって出力されています。このアラームついては、下記のナレッジが公開されています。Serverは、VMwareエンドポイント証明書ストア上のすべての証明書を監視します。vCenterServer内で証明書ステータスアラームがトリガーされます。期限の何日前に出力されるのかは定かではありませんが、STS証明書の有効期限のKBでは、下記の記載がありました。他の証明書も90日前にアラートが出力されると推測されます。バージョンによって動作が異なるようなので注意が必要です。(STS)署名証明書の有効期限が近づくと、毎週通知が届きます。通知は、STS証明書の有効期限が切れる90日前に開始され、有効期限が切れる前の1週間にわたって毎日になります。ここから–STS証明書期限は上記KBの通り90日ですが、VECS(VMwareエンドポイント証明書ストア)については、有効期限が30日以内になるとアラームを発行します。これは、vpxd.cert.threshold詳細オプションで設定可能な値になります。Serverは、VMwareエンドポイント証明書ストア(VECS)内のすべての証明書を監視し、証明書の有効期限が30日以内になるとアラームを発行します。vpxd.cert.threshold詳細オプションで警告されるまでの時間を変更できます。起動後に、Retreatモードを有効にしたところvCLSも正常に動いています。Retreatモードについては、下記をご参照ください。Services)とは何者なのかどうも、Tです。14:13ここまでは、想定していた動作です。次にMACHINE_SSL_CERTとwcpの証明書が切れた1週間後の(未来時間)2023年8月16日検証時時刻に設定します。vcsaから見ると未来時間になっていることが確認できます。upstream」が表示されログイン画面が表示されません。20分放置したあたりです。vcsa管理画面に入ると自動起動のサービスを起動しようとしていますが、なかなか起動しません。1時間放置したあたりです。すべて停止状態で静止してしまいました。サービス起動のタイムアウトになってしまったのでしょう。upstream」から変わることはありませんでした。7.0.xkb.vmware.comまとめ今回の確認では、停止状態から証明書期限が過ぎた後に起動するという本番ではありえなさそうな形でしたが、やはり放置していい問題ではなさそうですね。解決方法の記事もまとめねば・・・。証明書の再生成手順についてまとめました。【vSphere7.0u2】マシンSSL証明書が切れた後にvCenterを直す方法(すべての証明書の再生成:オプション8)どうも、Tです。【vSphere7.0u2】ESXiホストの証明書はどうなったのかどうも、Tです。vcsaを中心に証明書の確認をしましたが、ESXiホスト証明書について確認します。E...【vSphere7】vSphereの権限・ロールを確認してみるどうも、Tです。vSphereの権限・ロールの前提知識をまとめてみました。Managementに「ログインできません」が表示されログインできない(applmgmtの原因)どうも、Tです。久々にvCenterアプライアンスの管理画面に入ろうと思ったら、ログインできず焦ったので、備忘録です。Appliance6.7のファイルレベルバックアップ・リストアを試してみるどうも、Tです。22.04のテンプレート仮想マシンを作成してみた(仮想マシンのカスタマイズ仕様使う前提)どうも、Tです。Services)とは何者なのかどうも、Tです。Services)なるものが実装されま...【vSphere】仮想マシンクローンのカスタマイズがうまく動かないときに確認した方がよいことどうも、Tです。PROを使う理由どうも、Tです。僕「メイン...【vSphere7.0u2】vcsa(VMCA)の証明書構成をフルカスタムモードにしてみる(マシンSSL証明書とソリューションユーザー証明書を置き換え)どうも、Tです。VMwareさんの推奨しないvSphereの証明書管理アプローチのフルカスタムモードを試してみます。8のIPアドレスを変更してみたどうも、Tです。検証環境構築中にvCenterのIPアドレスを変更する必要が出てきたため備忘録です。コメントをキャンセルメールアドレスが公開されることはありません。*サイト次回のコメントで使用するためブラウザーに自分の名前、メールアドレス、サイトを保存する。コメントデータの処理方法の詳細はこちらをご覧ください。挫折したITエンジニアの復活劇.。