Dell VxRail: Anleitung zum manuellen Erneuern des VxRail Manager-Zertifikats mit einer Active Directory-Zertifizierungsstelle

Diese Anweisungen gelten für VxRail 7.0.010 oder höher und 8.x.

1. Führen Sie einen Snapshot von VxRail Manager mit Arbeitsspeicher durch.

2. Melden Sie sich bei VxRail Manager über SSH als mystic und dann als SU als root an.

3. Zertifikatordner sichern.

# mkdir /tmp/ssl
# cp /etc/vmware-marvin/ssl/* /tmp/ssl/

4. Generieren Sie den Schlüssel in VxRail Manager.

# env OPENSSL_FIPS=1 openssl-1.0.2 genrsa -out /etc/vmware-marvin/ssl/server.key 4096

5. Ändern Sie die Berechtigung von server.key.

# chmod 640 /etc/vmware-marvin/ssl/server.key

6. Bearbeiten Sie das Testkennwortfeld in /etc/vmware-marvin/ssl/ca.cnf, falls gewünscht.

7. CSR (Zertifikatsignierungsanfrage) erstellen.

# env OPENSSL_FIPS=1 openssl-1.0.2 req -config /etc/vmware-marvin/ssl/ca.cnf -new -key /etc/vmware-marvin/ssl/server.key -out /etc/vmware-marvin/ssl/server.csr

8. Anzeigen/Katen der CSR und Hochladen in AD CA (Kopieren Sie alles, einschließlich der Bindestriche)

# cat /etc/vmware-marvin/ssl/server.csr

9. Exportieren Sie base64-Zertifikate von der Zertifizierungsstelle. (Zertifikat und Zertifikatkette auf der angezeigten Webseite herunterladen)
10. Öffnen Sie die Zertifikatskette p7b auf dem Windows-Computer.
11. Klicken Sie mit der rechten Maustaste und exportieren Sie alle drei Elemente als base64 .cer
12. Kombinieren Sie die Base64-Stammzertifizierungsstelle und die Sub-.cer Datei nacheinander (nach dem Öffnen in einem Texteditor) und legen Sie sie auf VxRail Manager ab als: /etc/vmware-marvin/ssl/rootcert.crt

Eg:
# cd /etc/vmware-marvin/ssl
  201  2022-09-27 20:41:40 echo '' > rootcert.crt
  202  2022-09-27 20:41:42 vi rootcert.crt
 
Side note for vi:
i to insert
right-click to paste
esc+:wq and enter to save

13. Platzieren Sie die aus der Kette exportierte Base64-host.cer Datei auf VxRail Manager unter Verwendung von vi als server.crt.

Eg:
# cd /etc/vmware-marvin/ssl
  203  2022-09-27 20:42:10 echo '' > server.crt
  204  2022-09-27 20:42:17 vi server.crt

14. Berechtigungen ändern:

205  2022-09-27 20:42:49 chmod 644 rootcert.crt
206  2022-09-27 20:42:57 chmod 644 server.crt

15. Kopieren Sie server.crt nach server.api.gateway.crt

# cp /etc/vmware-marvin/ssl/server.crt /etc/vmware-marvin/ssl/server.api.gateway.crt

16. Ändern Sie die Berechtigungen:

# chmod 644 server.api.gateway.crt

17. Erzeugen Sie die Pfx direkt mit dem Kennwort am Ende, wenn sie anstelle von testpassword angepasst wurde:

# openssl pkcs12 -export -out /etc/vmware-marvin/ssl/server.pfx -inkey /etc/vmware-marvin/ssl/server.key -in /etc/vmware-marvin/ssl/server.crt -CAfile /etc/vmware-marvin/ssl/rootcert.crt -chain -password pass:testpassword

18. Starten Sie die Services neu:

# systemctl restart vmware-marvin runjars
# tail -f /var/log/mystic/web.log

-> It will say ADC is start when it's ready.

19. Laden Sie nginx neu:

-If VxRail Manager version is 7.0.010 ~7.0.350:
    Reload nginx, command:
    # docker exec -u root $(docker ps -q -f name=func_api-gateway) sh -c "/usr/sbin/nginx -s reload"

-If VxRail Manager version is 7.0.37x:
    Reload nginx command:
    # kubectl exec -it $(kubectl get pods -o=name | grep api-gateway) -- /usr/sbin/nginx -s reload

-If VxRail Manager version is 7.0.400 and up or 8.0.x:
    Delete secret: # kubectl delete secrets server.key
    Create new secret : # kubectl create secret generic server.key --from-file=server.key=/etc/vmware-marvin/ssl/server.key
    restart api-gateway: # kubectl rollout restart deployment api-gateway

20. Registrieren Sie das VxRail-Plug-in erneut.

Randnotiz:
So überprüfen Sie das Zertifikat:

# openssl x509 -in /etc/vmware-marvin/ssl/server.crt -text -noout

- Die automatische Verlängerung sollte an dieser Stelle aktiviert werden können