Introduktion

Dagens VMware erbjuder inget enkelt sätt att konfigurera VASA Provider (VP) så att ett enda lagringssystem kan användas för vVols i flera oberoende vCenter. I den här kunskapsbasartikeln beskrivs de aktuella alternativen som är tillgängliga för användning av PowerStores VASA-leverantör i flera vCenter.  

Dessa alternativ är:

1. Använda utökat länkat läge
2. Dela vCenter-rotcertifikat mellan vCenter 

Alternativ 1: Använda utökat länkat läge 

I miljöer där flera vCenter är sammanlänkade med Enhanced Linked Mode är det enkelt att registrera Powerstore VASA-providern. Förbättrat länkat läge replikerar betrodda rotcertifikat i alla länkade vCenter-instanser. 

Gör så här: 

1. Om du vill dela en enda PowerStore över flera vCenter för vVol-tjänster ansluter du vCenter-centren med hjälp av Enhanced Linked Mode Följ dessa steg från VMware: https://docs.vmware.com/en/VMware-vSphere/6.7/com.vmware.vcenter.install.doc/GUID-4394EA1C-0800-4A6A-ADBF-D35C41868C53.html  

2. När vCenter är länkade går du till PowerStore Manager och registrerar ett av dina vCenter med alternativet VASA-leverantör valt. PowerStore Manager ger synlighet i lagringsobjekt så som det hanteras av detta vCenter. 

3. Registrera PowerStore VASA-leverantören manuellt med varandras vCenter: 

• Logga in på vCenter och gå till Konfigurera > lagringsproviders under vCenter-inventeringsobjektet.
• Öppna dialogrutan för att lägga till en lagringsleverantör.
  • Namnet kan vara vilket namn som helst.
  • URL-adressen måste ha formatet: https://< IP-adress>:8443/version.xml, där <IP-adressen> är IP-adressen för hantering av PowerStore T-modellklustret. 
  • Användarnamnet är den PowerStore Manager-användare som har rollen VM-administratör i rätt format:
    • För lokala användare, använd lokalt>/<användarnamn
    • För LDAP-användare ska du använda <domän>/<användarnamn>
  • Lösenordet är lösenordet för PowerStore Manager-användaren med VM-administratörsrollen.
• Välj inte Använd lagringsprovidercertifikat.
• Klicka på OK.
• Kontrollera informationen som du angav i vCenter Server 

Alternativ 2: Manuell delning av vCenter-rotcertifikat mellan vCenter 

För att PowerStore ska fungera med flera icke-länkade vCenter-instanser måste det betrodda rotcertifikatet för vCenter-instansen, där VASA-leverantören registrerades först, laddas upp och registreras på alla andra vCenter-instanser innan VASA-leverantören registreras, för att säkerställa att de litar på VASA-providercertifikatet och inte initierar omsignering.

Den här proceduren innebär att VMCA-rotcertifikatet för ett vCenter tillämpas på alla vCenter. SAN-installation skiljer sig lite från HCI-installation eftersom HCI förutsätter att det finns vCenter där VASA Provider ursprungligen registrerades. Vid SAN-installation kan du välja en vCenter-instans som den första.
 

Steg med GUI-metoden: 

1. Ladda ner betrodd rotcertifikatutfärdare från det "första" vCenter med hjälp av gränssnitt:

Gå till inloggningssidan för första vCenter och ladda ner "Betrodda rotcertifikatutfärdarcertifikat"

2.  Packa upp ZIP-filen. Du kommer att få en. CRT-fil för varje certifikatutfärdare (CA) i den här SSO-domänen.

 
3. Ladda upp certifikat till andra vCenter:

• Logga in på VC och gå till Menyadministration >> Certifikat > Certifikathantering.  
• På höger sida, under "Trusted Root Certificates", klickar du på ADD.  
• Klicka på Bläddra och navigera till mappen där du extraherade certifikat i steg 2:  
• Kontrollera att kryssrutan "Start Root certificate push to vCenter Hosts" är markerad – detta säkerställer att certifikatet som du lägger till skickas till alla ESXi-värdar som hanteras av motsvarande vCenters.

4. Logga in på var och en av nödvändiga vCenter-instanser och registrera VASA-leverantören där. Det bör sluta med att VASA-leverantören är registrerad i varje vCenter.  

• Logga in på vCenter och gå till Konfigurera > lagringsproviders under vCenter-inventeringsobjektet.
• Öppna dialogrutan för att lägga till en lagringsleverantör.
  • Namnet kan vara vilket namn som helst.
  • URL-adressen måste ha formatet: https://< IP-adress>:8443/version.xml, där <IP-adressen> är IP-adressen för hantering av PowerStore T-modellklustret. 
  • Användarnamnet är den PowerStore Manager-användare som har rollen VM-administratör i rätt format:
    • För lokala användare, använd lokalt>/<användarnamn
    • För LDAP-användare ska du använda <domän>/<användarnamn>
  • Lösenordet är lösenordet för PowerStore Manager-användaren med VM-administratörsrollen.
• Välj inte Använd lagringsprovidercertifikat.
• Klicka på OK.
• Kontrollera informationen som du angav i vCenter Server 

Obs! Endast ett vCenter kan registreras i PowerStore Manager, och med den här metoden visar PowerStore Manager endast vVol-relaterade virtuella datorer för det enskilda vCenter som är registrerat med PowerStore och har därför ingen insyn i andra vCenter som delar samma VASA-leverantör via den här delade rotcertifikatmetoden. 

 
Alternativt kan certifikat hanteras manuellt med hjälp av VC-skalet och PowerCLI. 
 

Steg med CLI-metoden: 

1. Hämta den "första" VC:s rotcertifikatutfärdare: 
   • Open shell-session på VC 
   • $ /usr/lib/vmware-vmafd/bin/vecs-cli entry list --store TRUSTED_ROOTS
   • Kopiera certifikatets innehåll (det fullständiga värdet i fältet med namnet "Certifikat", inklusive "-----BEGIN CERTIFICATE-----" och "-----END CERTIFICATE-----". 
2. Lägg till vCenters betrodda rotcertifikatutfärdarcertifikat till betrodda rotcertifikat för VARJE vCenter som behövs: 
   • Open shell-session på VC 
   • Spara certifikatinnehåll som tidigare kopierats till en fil i ett filsystem 
   • $ sudo /usr/lib/vmware-vmafd/bin/dir-cli trustedcert publish –chain --cert <certificate file> 
3. Sprid CA-certifikatändringar till alla värdar på varje VC med hjälp av PowerCLI och PowerShell: 
   • Connect-VIServer -server [VC ip eller FQDN] 
   • Get-Cluster -Name "Cluster" | Get-VMhost | % {(Get-View -Id (Get-View ServiceInstance). Content.CertificateManager). CertMgrRefreshCACertificatesAndCRLs($_. ExtensionData.MoRef)} 
4. Registrera VP på varje VC enligt beskrivningen ovan. 

VANLIGA FRÅGOR:

Q. Är det möjligt att manuellt sprida rotcertifikat till ESXi-värdar?

S. Spridning av certifikat till ESXi-värdar som är anslutna till vCenter kan göras manuellt med hjälp av VC GUI. 

Värdar och kluster –> {Välj en värd} –> Konfigurera –> System –> Certifikat –> UPPDATERA CA-CERTIFIKAT): 

 

 
Q. Vad händer om certifikatet för den "första" VC måste förnyas? 

S. Förnyelse av certifikatet kan göras med hjälp av vSphere Certificate Manager, som beskrivs i https://kb.vmware.com/s/article/2097936. 

Observera att certifikathanteraren inte genererar VP-certifikat – om du behöver signera det med förnyat VC-certifikat måste du använda Uppdatera certifikat på lagringsleverantörsmenyn i VC. 

1. Den gamla rotcertifikatutfärdaren måste avpubliceras från varje vCenter-instans med hjälp av CLI: 
   • $ sudo /usr/lib/vmware-vmafd/bin/dir-cli trustedcert unpublish --cert file.crt 
2. När VP-certifikatet har signerats av den nya rotcertifikatutfärdaren måste denna rotcertifikatutfärdare distribueras över alla andra vCenter-instanser enligt beskrivningen ovan. 
3. Förnya CA-certifikat på VC-värdar med PowerCLI eller VC GUI (beskrivs ovan).