vmware替换自签名证书解说.docxVIP

一、概要 在安装vmware产品的过程中，默认情况下安全访问都是采用vmware的自签名证书，为了实现企业内部的统一安全访问，需要将vmware自签名证书替换为企业内部证书。 二、替换vCenter Server自签名证书 替换vCenter Server自签名证书的方法有两种，手动方式和采用替换工具方式，手动方式（可参考vmware的KB2034833）步骤多而且容易出错，在这里主要介绍采用vmware提供的工具进行替换。 1、企业内部安装企业根CA 具体参考微软官方网站，这里不再赘述。 2、创建vsphere5.5证书模板 登录证书服务器，打开证书管理控制台，右击“证书模板”-“管理” 右击“web服务器”选择“复制模板” 选择”windows Server2003 Enterprise”实现最大兼容性 在“常规”中输入模板名称 在“扩展”选项中选择“应用程序策略”-“添加”选择“客户端身份验证” 同时编辑“密钥用法”，勾选“数字签名为原件的证明”和“允许使用用户数据加密” 可颁发的证书里需要添加新建模板,选择 vSphere-Cert按 OK 完 查看添加的模板是否正确 登录证书网站，查看模板是否添加正常 3、创建证书请求文件CSR,向CA申请证书CRT,创建证书链PEM 登录vCenter Server服务器，运行vCenter安装包，选择“vCenter证书自动化工具”-浏览介质 工具解压到路径c:\vCenterTools（可自定义） 1）、创建证书请求文件CSR 执行解压出来的批处理文件ssl-updater.bat，选择“2” 选择各个组件，创建各自的证书请求文件 按要求输入相应的申请证书信息，并执行所有组件证书请求（1-7步骤） 执行完后，在工具目录requests下生成相应的目录及证书请求文件 打开 http://Root_CA IP地址/Certsrv下载 CA 根证书 ,Base64编码，保存在C: \vCenterTools\Root64.cer,,并导入到受信任的证书颁发机构/本地计算机里。要安装由该 CA 颁发的证书,需要导入CA 根证书 ,以信任根CA. 2）、使用以下命令行获取证书.CRT Cd c:\vCenterTools\requests\vCenterSSO-VCS Certreq –submit –config “AD.\root-AD-CA” -attrib “CertificateTemplate:vsphere-cert” rui.csr rui.crt 3）、创建PEM文件 证书 CRT和密钥KEY创建完成之后 ,你必须创建 PEM证书链用于每个证书，证书链包含所有证书,以朝向 CA 根证书的顺序组成。注意 :如果证书顺序错误 ,将会导致失败。 复制下载好的CA根证书Root64.cer到各个c:\vCenterTools\requests\Component-hostname 使用copy source1.file+source2.file target.file命令合并rui.crt+Root64.cer=chain.pem Cd c:\vCenterTools\requests\vCenterSSO-VCS copy rui.crt+Root64.cer chain.pem 重复步骤2，完成所有组件pem文件生成 使用记事本打开生成的chain.pem文件，删除最后一行的-字符，保存 4、替换vCenter5.5组件证书 1）、执行ssl-updater.bat选择1，显示需要升级的顺序 2）、选择需要升级的组件，升级所有组件需要18步之多，输入9返回，开始升级 3）、按顺序完成所有组件（如果所有组件都有安装）的升级 按要求输入每个组件相应正确的路径和信息（如升级Inventory Service证书，则切换到该requests相应路径下vCenterInventoryService-VCS） 4）、确定每一步都提示升级成功，并使用vsphere client和web登录vCenter看是否替换成功 三、替换Horizon View自签名证书 1、创建HorizonView证书模板 1）复制Web Server证书模板,兼容性选择2003以实现最大兼容. 2）修改模板显示名,并允许私钥可导出 3）安全选项卡里,给Authenticated Users和Administrator添加Write和Enroll权限. 4）将修改模板颁发成可以使用的模板 5）验证View- Cert证书模板已经可用 2、创建CSR证书请求文件 登录Connection Server服务器，证书请求文件生成keytool工具路径在Connection Server安装目录C:\Program