PKI bouwen met Windows servers, vmware virtualcenter en ESX

[Verwijderd]

Hallo mede tweakers,

Ik ben bezig om een PKI te bouwen die certificaten moet gaan uitgeven aan ESX hosts. Dit is een afstudeeropdracht; nu krijgen gebruikers (studenten) een certificaat melding als zij verbinding maken met de ESX host met Vsphere clietns.

De PKI heb ik in Windows Server 2008 omgeving opgezet en werkt inmiddels prima. Deze geeft al automatisch certificaten uit aan gebruikers waarvan ik heb gezegd dat deze een certificaat mogen ontvangen. Van de site van Vmware heb ik de installation en configuation guide gelezen en het document hoe je met ESX van start gaat.

Dit gelezen te hebben, trek ik grofweg 2 conclusies:

-Virtual center is een software pakket om je gehele virtuele netwerk te managen en te monitoren
-De ESX host(s) is/zijn de hosts waarop meerdere virtuele machines kunnen worden geinstalleerd

Het is de bedoeling dat de ESX host straks een vertrouwd certificaat krijgt vanuit de root CA die in Windows Server 2008 is gebouwd. Klopt het als ik zeg dat ik virtual center niet nodig heb om dit te testen?

Dat wanneer de ESX host is opgezet, een IP adres en subnet mask heeft, dit door Windows Server als een computer/server in het netwerk wordt opgemerkt?

En dat dan dus heel gemakkelijk in de PKI omgeving op Windows Server zo ingesteld kan worden dat deze ESX host automatisch een certificaat krijgt toegewezen?

Hopelijk kan iemand mij vertellen of ik op deze manier in de juiste richting denk en kan vertellen of het inderdaad zo simpel is.

[Rolfie]

Volgens mij is het zo dat vCenter alleen een trusted certificaat moet hebben. Immers de clients connecten alleen maar naar vCenter in het algemeen. En zolang daar een trusted certificaat aanwezig is, heb je dus geen issues. en normale gebruiker zal eingelijk niets met ESX te maken hebben of de certificaten die daar in zitten.

Of vCenter ook automatisch het certificaat kan gebruiken van een WIndows 2008 PKI. Dat druk ik niet te zeggen.

ps: Is het niet gemakkelijker om het vCenter certificaat te exporteren, en via een GPO te importeren bij de clients?

[ Voor 10% gewijzigd door Rolfie op 20-02-2012 14:29 ]

[Question Mark]

Welke versie ESX praten we over, en welke versie VCenter?

Verder zijn er verder tegenwoordig twee smaken vcenter:

• Een softwarepakket op een Windows machine
• Een kant en klare downloadable appliance

Je ESX hosts zijn default geen domain member. Ze zijn wel zo in te richten dat ze domain authenticatie ondersteunen, maar volwaardig domain member zou ik het niet willen noemen. Automatisch certificaat uitrol gaat dus niet lukken. VMWare heeft daar overigens keurige handleidingen voor:

Replacing vCenter Server 4.0 Certificates

Voor de rest is het uiteraard wel een afstudeeropdracht en dus de bedoeling dat je zelf een en ander uitvogelt in plaats van voorgekauwd krijgen op een forum.

Rolfie schreef op maandag 20 februari 2012 @ 14:28:
ps: Is het niet gemakkelijker om het vCenter certificaat te exporteren, en via een GPO te importeren bij de clients?

Makkelijker misschien wel. Voor de rest is het een oplossing die je in mijn ogen niet moet willen.

[Verwijderd]

Bedankt voor de antwoorden!

De hoe vraag heb ik inmiddels beantwoord, ik weet nu dat de SSL certificaten van Virtualcenter server moet vervangen door een zelfgetekend SSL certificaat vanuit de Windows root CA.

Dit heb ik op de website http://www.virtualvcp.com...r-server-ssl-certificates gelezen, wat een uistekende blog is waar stap voor stap uitgelegd stat hoe je dit moet doen.

Maar, ik heb de indruk dat het voor 1 bepaalde ESX host is. Of kun je op deze manier de Virtualcenter server een certificaat toewijzen zodat de onderhangende 3 ESX hosts datzelfde certificaat krijgen/vertrouwen?

[ Voor 3% gewijzigd door Verwijderd op 26-02-2012 09:44 ]

[Teutlepel]

Nee, vCenter staat los van de ESXi hosts.

Zie ook http://www.google.nl/url?...g2=0c7fLbSbqWPK5h15hPmR5Q

[Verwijderd]

Ik heb dat document eens door zitten nemen. Dus Vcenter is hetgeen wat de hosts managed en de ESX hosts zelf moeten dus allemaal een zelf ondertekent certificaat krijgen per host met in het certificaat de FQDN van de ESX host (bijvoorbeeld esxhost1.pkiseclab.com; esxhost2.pkiseclab.com; esxhost3.pkiseclab.com).

Klopt het wat ik hier zo heb neergezet?