vCenter Server で STS 証明書の有効期限を確認する

Products

• VMware vCenter Server

Issue/Introduction

Symptoms:
免責事項： これは英文の記事 「Checking Expiration of STS Certificate on vCenter Server」の日本語訳です。記事はベストエフォートで翻訳を進めているため、ローカライズ化コンテンツは最新情報ではない可能性があります。最新情報は英語版の記事で参照してください。


STS 証明書の有効期限を識別するための手順を提供します。

• VMware Security Token Service (STS) 証明書の有効期限が近づいている。
• VMware Secure Token Service (STS) 証明書の有効期限の確認

注:

• この KB に添付されているスクリプトは非推奨となりました。 すべての証明書の管理・置換作業には、改善された新しい証明書管理ツール  vCert - Scripted vCenter Expired Certificate Replacement をご利用ください。 
• 6 か月以内に有効期限が近づいている場合、VMware は証明書の置き換えを推奨します。有効期限が 6 か月よりも長い場合は、適切なタイミングで証明書の置き換えをスケジューリングします。
• STS 証明書の有効期限が近づいている場合、または、すでに有効期限が切れている場合は、以下を参照してください。
  • "Signing certificate is not valid" error in vCenter Server Appliance
  • "Signing certificate is not valid" error in vCenter Server 6.5.x and 6.7.x on Windows
    

Cause

これは、STS 署名証明書の有効期間が約 2 年であると予想されるシナリオです。

注:

• PSC / vCenter Server 6.5 U2 以降の 6.5 リリースを新規インストールして、6.7 および 7.0 を含む新しいバージョンにアップグレードしました。
• STS 署名証明書は、PSC または vCenter Server のインストール後に certool を使用して置き換えられました。
• STS 署名証明書は、カスタム証明書(内部/外部 CA 署名済み)に置き換えられました。

Resolution

重要: vCenter Server version 7.0 U1では、vCenter Single Sign-On Security Token Service （STS）署名証明書の有効期限が近づくと、毎週通知が届きます。通知は、STS証明書の有効期限が切れる90日前に開始され、有効期限が切れる前の1週間にわたって毎日になります。

VMware Security Token Service (STS) の有効期限を確認するには:

VC vSphere Client UI 

注: vCenter Server 7.0 Update 2 以降から利用可能

1. https://vcenter_server_ip_address_or_fqdn/ui を介して vSphere HTML5 Client に接続します。
2. ホームメニューから管理を選択
3. 証明書の下の証明書の管理をクリック
4. STS 署名証明書の情報を確認してください

注: カードには次の情報が含まれます:

• 証明書の有効期限が切れる時期を示す有効期限の日付。
• 有効な証明書の緑色のチェックと、証明書の有効期限のオレンジ色のチェック警告。
• [詳細表示] のリンクからアクティブな証明書チェーンの追加の詳細情報を表示する。

VCSA CLI - STS 証明書が失効し、vSphere Client へアクセスできない場合

新しい証明書管理ツール  vCert - Scripted vCenter Expired Certificate Replacementでの管理や更新を実施ください。

• vCert の vCenter Server アプライアンスへのダウンロードとインストールの方法はインストール項目
• STS 証明書の確認
  • メニュー 2:  View Certificate Infoから オプション 7 -  View STS signing certificates を選択する。
• STS 証明書を置き換える
  • メニュー 3: Manage Certificatesからオプション 7 - STS signing certificates  を選択する。

この KB に添付されているスクリプトは非推奨となりました。

1. このナレッジ ベース記事の英語版に添付されている checksts.py スクリプトをダウンロードします。
2. スクリプトを VCSA にアップロードします。
   
   例：/tmp
   
   注意：: WinSCP でスクリプトを VCSA へアップロードします。

• • もし WinSCP で VCSA への接続エラーが発生した場合、VCSA CLI で次のコマンドを実施します。
    
    chsh -s /bin/bash root (per Connecting to vCenter Server Virtual Appliance using WinSCP fails with the error: Received too large (1433299822 B) SFTP パケット. 転送可能なパケット最大サイズ 1024000 B)

3. VCSA にスクプトをアップロード後、/tmp ディレクトリへ移動します。
   
   例: cd /tmp
    
4. python checksts.py を実行します。
   
   

Additional Information

重要: 証明書の有効期限アラームでは、STS 証明書は考慮されません。STS 証明書の有効期限を判断する方法は、このナレッジベース記事の解決策のみです。VMware は、STS 証明書が期限切れにならないように定期的にチェックすることを推奨します。 詳細については、VMware's vSphere blog を参照してください:
Signing Certificate is Not Valid – Security Token Service Certificate Issue in vSphere.

Main certificates article: 証明書に関するメイン記事:　STS 証明書以外の証明書のステータス アラームの詳細については、CertificateStatusAlarm - 「期限が切れているか、期限切れが近い証明書があります」/証明書のステータス変更アラームが VMware vCenter Server でトリガされる (68171) を参照してください。

VMware Skyline Health Diagnostics for vSphere - FAQ
Error "503 Service Unavailable" when attempting to access vCenter Server vSphere Client