[ESX 6.7] Certificaat Web Client

[YellowOnline]

Ik heb een wildcardcertificaat dat ik gebruik voor zo ongeveer alle diensten bij mijn klant hier, van WWW over WTS tot VPN portalen enzovoort. Ik dacht dit ook te gebruiken voor de tegenwoordig jammerlijk web-based ESX, maar de informatie die ik daarover lees is nogal verwarrend.

Wat ik bereiken wil is dat aanmelden op de FQDN van de vSphere Web Appliance op https://vcenter.contoso.com geen certificaatmelding meer geeft omdat hij mijn *.contoso.com certificaat gebruiken kan - dus niet door het self-signed certificaat van de VMCA te verdelen zoals de meesten blijbaar doen.

Nu lijkt het certificatenmodel van ESX ingewikkelder dan gedacht aangezien er ook nog certificaten uitgewisseld worden tussen de VMs en de host. Aan dat systeem wil ik voor alle duidelijk niets veranderen: ik wil enkel het certificaat veranderen dat voor de web access gebruikt wordt.

Ziet iemand daar de bomen door het bos?

[Equator]

@YellowOnline
Heb je een testomgeving ter beschikking of niet?

Zo ja, dan kan je het eens proberen met de commandline certificate manager.

root@vmware [ ~/.acme.sh ]# /usr/lib/vmware-vmca/bin/certificate-manager
                 _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _
                |                                                                     |
                |      *** Welcome to the vSphere 6.7 Certificate Manager  ***        |
                |                                                                     |
                |                   -- Select Operation --                            |
                |                                                                     |
                |      1. Replace Machine SSL certificate with Custom Certificate     |
                |                                                                     |
                |      2. Replace VMCA Root certificate with Custom Signing           |
                |         Certificate and replace all Certificates                    |
                |                                                                     |
                |      3. Replace Machine SSL certificate with VMCA Certificate       |
                |                                                                     |
                |      4. Regenerate a new VMCA Root Certificate and                  |
                |         replace all certificates                                    |
                |                                                                     |
                |      5. Replace Solution user certificates with                     |
                |         Custom Certificate                                          |
                |                                                                     |
                |      6. Replace Solution user certificates with VMCA certificates   |
                |                                                                     |
                |      7. Revert last performed operation by re-publishing old        |
                |         certificates                                                |
                |                                                                     |
                |      8. Reset all Certificates                                      |
                |_ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _|
Note : Use Ctrl-D to exit.
Option[1 to 8]:

Note : Use Ctrl-D to exit.
Option[1 to 8]: 1
 
Please provide valid SSO and VC privileged user credential to perform certificate operations.
Enter username [[e-mail]]:[e-mail]
Enter password:
 
Performing operation on distributed setup, Please provide valid Infrastructure Server IP.
Server : hostname.9r.com.au
         1. Generate Certificate Signing Request(s) and Key(s) for Machine SSL certificate
 
         2. Import custom certificate(s) and key(s) to replace existing Machine SSL certificate
 
Option [1 or 2]: 2
 
Please provide valid custom certificate for Machine SSL.
File :

Maar welk certificaat je daarmee dan exact vervangt is mij ook een raadsel.

Ook de Vmware Docs zijn daar wat inclompleet in: https://docs.vmware.com/e...BE-B0B9-6D73ECF99864.html

Overigens vond ik ook deze link: https://wiki.9r.com.au/di...cates+for+vCenter+and+PSC

Een script/tool om een LE certificaat op je vCenter en Platform Services Controller te krijgen.

[wiert.tweakers]

Equator schreef op woensdag 27 juni 2018 @ 07:21:
@YellowOnline

https://wiki.9r.com.au/di...cates+for+vCenter+and+PSC

Het hele 9r.com.au lijkt verdwenen; heb je toevallig kopietjes van de scripts die op https://web.archive.org/w...cates+for+vCenter+and+PSC gerefereerd worden?

--jeroen

[Equator]

Nee sorry. Ik linkte er alleen naar omdat ik dat ergens gevonden had.

[Acmosa]

Voor zo ver ik weet zijn wildcard certificates niet ondersteund...

https://docs.vmware.com/e...ghgNiBcIO4EsIBMDGYBOyQF8g

Bij mij kreeg ik het in ieder geval niet netjes werkend en ben uiteindelijk voor een interne CA gegaan.... (HashiCorp Vault)