SDDC Manager は、認証局の構成が編集、保存されると新しいルート CA 証明書を生成する

Products

• VMware SDDC Manager
• VMware Cloud Foundation

Issue/Introduction

免責事項： これは英文の記事 SDDC Manager generates a root CA certificate every time if the Certificate Authority configuration is edited and saved (411718) の日本語訳です。記事はベストエフォートで翻訳を進めているため、ローカライズ化コンテンツは最新情報ではない可能性があります。最新情報は英語版の記事で参照してください。

• SDDC Manager で証明書を更新するたびに、新しいルート CA 証明書が生成されます。
• 認証局のタイプは OpenSSL です。
• 証明書を更新する前に、「編集」>「保存」をクリックして認証局の構成を確認しています。

Environment

SDDC Manager 5.x 
SDDC Manager 9.0

Cause

SDDC Manager UI で認証局の構成を保存すると、既存のルート CA 証明書 (ca.crt) が必ず削除されます。そのため、証明書の更新タスクを実行すると、署名用の新しいルート証明書が生成されます。設定を何も変更せずに保存した場合でも発生します。

root@sddc01 [ /opt/vmware/vcf/operationsmanager/certificates/openssl-ca ]# ls -l
total 52
-rwxr-x--- 1 vcf_operationsmanager vcf 2185 Mar 14  2024 ca.cnf
-rw-r--r-- 1 vcf_operationsmanager vcf 2260 Sep  4 05:53 ca.conf
-rw-r--r-- 1 vcf_operationsmanager vcf 2204 Sep  4 05:53 ca.crt　<============ このファイルが認証局の構成で設定を保存すると削除されます。
-rw------- 1 vcf_operationsmanager vcf 3272 Sep  4 05:53 ca.key
-rw-r--r-- 1 vcf_operationsmanager vcf  190 Sep  4 06:31 index.txt
-rw-r--r-- 1 vcf_operationsmanager vcf   20 Sep  4 06:31 index.txt.attr
-rw-r--r-- 1 vcf_operationsmanager vcf   20 Sep  4 05:53 index.txt.attr.old
-rw-r--r-- 1 vcf_operationsmanager vcf   95 Sep  4 05:53 index.txt.old
drwxr-xr-x 2 vcf_operationsmanager vcf 4096 Sep  4 06:31 newcerts
-rwxr-x--- 1 vcf_operationsmanager vcf 2263 Mar 14  2024 openssl.cnf
-rw-r--r-- 1 vcf_operationsmanager vcf 2319 Sep  4 05:53 openssl.conf
-rw-r--r-- 1 vcf_operationsmanager vcf   17 Sep  4 06:31 serial
-rw-r--r-- 1 vcf_operationsmanager vcf   17 Sep  4 05:53 serial.old

以下のログは、新しいルート証明書が生成されたことを示しています。

-operationmanager.log

YYYY-MM-DDT05:53:29.817+0000 DEBUG [vcf_om,68b929597110730af4e81dc14bc2d572,7799] [c.v.e.s.c.util.LocalProcessService,om-exec-22] Executing the Local command: openssl req -new ***** -out /opt/vmware/vcf/operationsmanager/certificates/openssl-ca/ca.crt -config /opt/vmware/vcf/operationsmanager/certificates/openssl-ca/ca.conf -days 3650

Resolution

既存のルート CA 証明書を置き換えたくない場合は、SDDC Manager 認証局の構成の保存ボタンを押さないでください。

Additional Information

SDDC Manager 5.2.1 以降では、UI にキャンセル ボタンが追加されました。