Certificate stores do vCenter Server e alarmes de certificados comuns

Objetivo

O vCenter Server utiliza vários certificados para diferentes funções internas e externas.

Um alarme genérico Certificate Status não significa necessariamente que o Machine SSL certificate apresentado publicamente esteja a expirar. O workflow correto começa por identificar qual certificate store contém o certificado expirado ou próximo de expirar.

Esta referência fornece um mapa prático dos principais certificate stores do vCenter e das primeiras verificações a realizar.

Listar certificate stores

Liga por SSH ao VCSA e executa:

/usr/lib/vmware-vmafd/bin/vecs-cli store list

Stores comuns:

MACHINE_SSL_CERT
TRUSTED_ROOTS
TRUSTED_ROOT_CRLS
machine
vsphere-webclient
vpxd
vpxd-extension
hvc
data-encipherment
APPLMGMT_PASSWORD
SMS
wcp
BACKUP_STORE

Nem todos os ambientes têm todos os stores não standard.

Verificar datas de expiração em VECS

Utiliza:

for store in $(/usr/lib/vmware-vmafd/bin/vecs-cli store list | grep -v TRUSTED_ROOT_CRLS); do
  echo "===== STORE: $store ====="
  /usr/lib/vmware-vmafd/bin/vecs-cli entry list --store "$store" --text |
  grep -ie "Alias" -ie "Not After"
done

Este é um comando de inventário read-only e é um bom primeiro passo para a maioria dos alarmes de certificados no vCenter.

Principais certificate stores

MACHINE_SSL_CERT

Utilizado pelo reverse proxy do vCenter e apresentado a clientes que se ligam ao serviço HTTPS do vCenter.

Sintomas típicos quando existe um problema:

• Browser ou API trust errors
• Ferramentas externas de backup/monitoring rejeitam o certificado
• Alarmes de Machine SSL expiration
• SSL handshake failures

Workflow de gestão preferido:

• vCert
• Workflow suportado de substituição de certificados no vSphere Client, quando disponível

Não o substituas antes de validares a data de expiração e a certificate chain.

TRUSTED_ROOTS

Contém os trusted CA certificates utilizados pelo vCenter.

Problemas típicos:

• Root/issuer certificates expirados ou obsoletos
• Alarmes Certificate Status
• Alarmes de storage profile ou service health em alguns casos
• Avisos de upgrade ou health checks

Roots expiradas devem ser analisadas cuidadosamente antes de serem removidas. Uma root antiga pode já não ser usada, mas apagar um trust anchor ativo pode quebrar integrações.

Solution User stores

Stores típicos de Solution User incluem:

machine
vsphere-webclient
vpxd
vpxd-extension
hvc
wcp

Estes certificados autenticam serviços internos do vCenter.

Sintomas típicos quando expiram:

• Alarmes de Solution User certificate
• Falhas de autenticação entre serviços internos
• Funcionalidades do vCenter parcialmente indisponíveis

Utiliza vCert ou o procedimento de substituição suportado pelo fabricante, em vez de gerar manualmente certificados de substituição.

SMS

O SMS certificate é utilizado pelo Storage Management Service.

O SMS suporta integrações de storage como VASA providers, e SPBM depende do SMS para partes da gestão de storage policies.

Por isso, um problema no SMS certificate pode aparecer como problema de storage management ou profile-driven storage e não como um problema HTTPS óbvio.

data-encipherment

Utilizado para dados do vCenter relacionados com encriptação, como secrets de guest customization specifications.

Não é o certificado apresentado aos browsers.

Gere-o através das ferramentas de certificados suportadas documentadas pela Broadcom.

APPLMGMT_PASSWORD

Contém uma secret key utilizada pelo appliance management para dados encriptados relacionados com backups.

Não é um TLS certificate store normal e não segue o mesmo workflow de renovação de Machine SSL ou Solution User certificates.

BACKUP_STORE

É criado quando workflows de substituição de certificados mantêm cópias anteriores de Machine SSL e Solution User certificates para rollback.

Características importantes:

• Contém cópias históricas de backup
• Os backup certificates não estão ativos
• Backup certificates expirados não precisam de ser renovados
• Em versões afetadas, entradas expiradas podem continuar a disparar Certificate Status

Workflow de limpeza preferido:

vCert
  -> Manage Certificates
  -> Clear expired certificates in BACKUP_STORE in VECS

Certificados que não estão necessariamente em VECS

Nem todos os certificados importantes relacionados com vCenter aparecem como um store VECS normal.

STS signing certificate

O Security Token Service signing certificate é gerido separadamente do inventário VECS standard.

Utiliza vCert para verificar e gerir o estado do certificado STS.

A expiração de STS pode provocar problemas graves de autenticação, incluindo falhas de login no vSphere Client.

ESXi host certificates

VMCA-signed ESXi host certificates são armazenados localmente em cada ESXi host e não no VECS do vCenter.

Um host certificate alarm como:

ESXi Host Certificate Status
Expiration imminent

deve ser tratado através do workflow de certificados do ESXi host no vCenter.

Mapeamento comum de alarmes para stores

Certificate Status

Começa por um inventário completo do VECS.

Possíveis causas:

• Machine SSL certificate próximo de expirar
• Solution User certificate próximo de expirar
• Trusted Root expirada
• Certificado histórico expirado em BACKUP_STORE
• Outras entradas de certificados obsoletas

Não renoves certificados às cegas. Identifica primeiro o store e alias exatos.

MACHINE_SSL_CERT certificate is about to expire

Inspeciona MACHINE_SSL_CERT.

Se estiver realmente próximo da expiração, substitui-o com vCert ou através do workflow suportado no vSphere Client.

Depois da substituição, o alarme pode precisar de ser manualmente reposto a green.

Solution User certificate is about to expire

Inspeciona:

machine
vsphere-webclient
vpxd
vpxd-extension
hvc
wcp

Substitui os Solution User certificates através do procedimento suportado.

Root certificate about to expire

Inspeciona TRUSTED_ROOTS.

Confirma se a root ainda está em uso ativo antes de a remover ou substituir.

STS Signing Certificates are about to expire

Utiliza vCert para inspecionar o STS certificate.

Trata a expiração do STS certificate como prioridade elevada porque a autenticação pode falhar após a expiração.

ESXi Host Certificate Status

Este é um problema de host certificate, não um problema VECS normal do vCenter.

Inspeciona:

Host
  -> Configure
  -> System
  -> Certificate

e valida a validade da VMCA Root antes de renovares o host certificate.

vCert como ferramenta principal de certificados

A Broadcom recomenda vCert para os workflows atuais de gestão e reparação de certificados do vCenter.

Utilizações típicas:

• Certificate health checks
• Substituição de Machine SSL
• Substituição de Solution User certificates
• Operações sobre VMCA certificates
• Verificação de STS certificates
• Gestão de LDAPS certificates
• Limpeza de entradas expiradas de BACKUP_STORE

Antes de qualquer operação de repair ou replacement, segue os requisitos de backup/snapshot para todo o SSO domain.

Ordem prática de troubleshooting

Quando aparece um alarme de certificados no vCenter:

1. Regista o nome exato do alarme.
2. Confirma a versão do vCenter.
3. Lista todos os VECS stores e respetivas datas Not After.
4. Identifica o store e alias exatos do certificado expirado ou próximo de expirar.
5. Determina se o certificado é ativo, trusted ou apenas um historical backup.
6. Seleciona o workflow de correção suportado pelo fabricante.
7. Valida serviços e datas de certificados após a alteração.
8. Faz reset do alarme para green se a condição subjacente já estiver corrigida.

Comandos úteis

Listar stores:

/usr/lib/vmware-vmafd/bin/vecs-cli store list

Listar um store:

/usr/lib/vmware-vmafd/bin/vecs-cli entry list   --store MACHINE_SSL_CERT   --text

Listar aliases e datas de expiração em todos os stores:

for store in $(/usr/lib/vmware-vmafd/bin/vecs-cli store list | grep -v TRUSTED_ROOT_CRLS); do
  echo "===== STORE: $store ====="
  /usr/lib/vmware-vmafd/bin/vecs-cli entry list --store "$store" --text |
  grep -ie "Alias" -ie "Not After"
done

Notas de segurança

• Não apagues certificados apenas porque têm uma data expirada
• Confirma se o certificado é ativo ou histórico
• Não substituas manualmente Solution User ou Machine SSL certificates sem seguir um procedimento suportado
• Faz o backup/snapshot exigido antes de alterar certificate stores
• Em Enhanced Linked Mode, coordena a proteção de todos os nós vCenter no SSO domain
• Trata alterações a STS e trusted roots como operações de risco superior

Conhecimento relacionado

• vCenter Certificate Status alarm caused by expired BACKUP_STORE certificates
• vCenter virtual disks show 0 GB or blank properties due to SSL trust mismatch
• ESXi Host Certificate Status shows Expiration imminent

Fontes

Consulta as referências oficiais da Broadcom indicadas nos metadados do artigo.