Handbuch zur Serverkonfiguration für ESX - VMware

Handbuch zur Serverkonfiguration für ESX
4 Falls Hosts vorhanden sind, die eine manuelle Validierung erfordern, vergleichen Sie die für die Hosts
aufgeführten Fingerabdrücke mit den Fingerabdrücken in der Hostkonsole.
Führen Sie den folgenden Befehl aus, um den Fingerabdruck des ESX-Hosts zu erhalten.
openssl x509 -in /etc/vmware/ssl/rui.crt -fingerprint -sha1 -noout
5 Stimmen die Fingerabdrücke überein, wählen Sie das Kontrollkästchen [Überprüfen] neben dem Host
aus.
Hosts, die nicht ausgewählt sind, werden getrennt, nachdem Sie auf [OK] klicken.
6 Klicken Sie auf [OK] .
Generieren neuer Zertifikate für den ESX-Host
Der ESX-Host generiert Zertifikate, wenn das System das erste Mal gestartet wird. Unter gewissen Umständen
kann es sein, dass Sie den Host zwingen müssen, neue Zertifikate zu erzeugen. Normalerweise werden neue
Zertifikate nur dann erstellt, wenn der Hostname geändert oder das Zertifikat versehentlich gelöscht wird.
Bei jedem Neustart des Prozesses vmware-hostd sucht das Skript mgmt-vmware nach bestehenden Zertifikatdateien
(rui.crt und rui.key). Ist die Suche nicht erfolgreich, werden neue Zertifikatdateien erstellt.
Vorgehensweise
1 Sichern Sie im Verzeichnis /etc/vmware/ssl alle vorhandenen Zertifikate, indem Sie sie mit folgenden
Befehlen umbenennen.
mv rui.crt orig.rui.crt
mv rui.key orig.rui.key
HINWEIS Wenn Sie Zertifikate nach versehentlichem Löschen neu erstellen, müssen diese nicht umbenannt
werden.
2 Verwenden Sie folgenden Befehl, um den Prozess vmware-hostd neu zu starten.
service mgmt-vmware restart
3 Bestätigen Sie, dass der ESX-Host neue Zertifikate erfolgreich erstellt hat, indem Sie den folgenden Befehl
verwenden, der die Zeitstempel der neuen Zertifikatsdateien mit orig.rui.crt und orig.rui.key vergleicht.
ls -la
Ersetzen eines Standardzertifikats durch ein Zertifikat einer Zertifizierungsstelle
Der ESX-Host verwendet automatisch generierte Zertifikate, die als Teil des Installationsprozesses erstellt
wurden. Zwar sind diese Zertifikate eindeutig und ermöglichen die Verwendung des Servers, sie können
jedoch nicht verifiziert werden und wurden nicht von einer bekannten, vertrauenswürdigen Zertifizierungsstelle
(CA) signiert.
Die Verwendung von selbst signierten Zertifikaten widerspricht möglicherweise der Sicherheitsrichtlinie Ihrer
Organisation. Wenn Sie ein Zertifikat von einer vertrauenswürdigen Zertifizierungsstelle anfordern, können
Sie das Standardzertifikat ersetzen.
HINWEIS Wenn auf dem Host die Option zum Verifizieren von Zertifikaten aktiviert ist, beendet vCenter Server
möglicherweise die Verwaltung des Hosts, wenn das Standardzertifikat ersetzt wird. Falls das neue Zertifikat
von vCenter Server nicht verifiziert werden kann, müssen Sie den Host mithilfe des vSphere-Clients neu verbinden.
206 VMware, Inc.