vCert ツールを使用して vCenter Server 証明書を確認するとVMdir 証明書が有効期限切れのステータスとなる

Products

• VMware vCenter Server

Issue/Introduction

免責事項：これは英文の記事「vCert tool Reports VMDIR certificate expired status」の日本語訳です。記事はベストエフォートで翻訳を進めているため、ローカライズ化コンテンツは最新情報ではない可能性があります。最新情報は英語版の記事で参照してください。

• vCert ツールでオプション 1「現在の証明書の状態を確認する」を実行すると、「VMdir 証明書を確認しています」項目が期限切れとして表示されます
  

  Checking Certificate Status
  -----------------------------------------------------------------
  Checking VMDir certificate                                EXPIRED 

• 信頼されたルートは期限切れではなく、他のサービスにも問題はありません
• vCert.log ファイルに次のログ エントリが確認できます
  

  /var/log/vmware/vCert/vCert.log
  YYYY-MM-DDTHH:MM:SS - [operation.check_certificate - check_file_system_certificate] - INFO - Checking certificate at /usr/lib/vmware-vmdir/share/config/vmdircert.pem
  
  YYYY-MM-DDTHH:MM:SS - [operation.check_certificate - check_certificate_basic] - WARNING - Certificate is expired

  
  
  

Environment

vCenter Server 7.0.x

vCenter Server 8.0.x

Cause

• VMware vCenter Server 7.x以降、VMDIR証明書はシステムで使用されなくなりました。この証明書は廃止されており、通常のvCenter操作には必要ありません
• 以前のバージョンからのレガシー証明書ファイルはvCertチェックユーティリティは、これらのファイルが機能しなくなっても監視を続けます
• 証明書ファイルは古い残骸として存在しますが、システムの機能には影響しません

Resolution

Workaround 1:

手順1: 古い証明書ファイルをバックアップして削除します

• vmdir configディレクトリに移動します
  

  cd /usr/lib/vmware-vmdir/share/config

• 既存のファイルのバックアップを作成する（オプション）
  

  cp vmdircert.pem vmdircert.pem.backup

• 古い証明書ファイルを削除します
  

  rm vmdircert.pem

手順2: vCert ツールでオプション 1「現在の証明書の状態を確認する」を実行しVMdir 証明書が表示されないことを確認します

Workaround 2:

代替手順（証明書ファイルの削除に問題が発生する、またはvmdircert.pem ファイルが見つからない場合の手順）

•  現在のマシンSSL証明書をエクスポートします
  

  /usr/lib/vmware-vmafd/bin/vecs-cli entry getcert --store MACHINE_SSL_CERT --alias __MACHINE_CERT > /tmp/machine_ssl.pem

• vmdir証明書をマシンSSLに置き換えます
  

  cp /tmp/machine_ssl.pem /usr/lib/vmware-vmdir/share/config/vmdircert.pem

• 一時ファイルをクリーンアップします
  

  rm /tmp/machine_ssl.pem

• 上記の回避策を適用した後、コマンド (service-control --stop --all && service-control --start --all) を使用して vCenter サービスを再起動し、vCert - Scripted vCenter Expired Certificate Replacement を再度実行します

手順2: vCert ツールでオプション 1「現在の証明書の状態を確認する」を実行しVMdir 証明書が表示されないことを確認します